IT-Sicherheits-Check für kleine Firmen: 30 Fragen, kostenlos
Wo steht Ihre Firma bei Zugängen, Datensicherung, Updates und Notfall? Sie bekommen die wichtigsten Lücken und was Sie zuerst tun sollten.
- Fragen in 7 Bereichen
- 30 Fragen in 7 Bereichen
- ungefähr
- 15 Min. ungefähr
- Antworten bleiben in Ihrem Browser
- Lokal Antworten bleiben in Ihrem Browser
- Ergebnis drucken oder teilen
- PDF Ergebnis drucken oder teilen
Ihr Ergebnis
Werte je Bereich
- Verantwortung und Regeln
- Zugänge
- Datensicherung
- Updates
- Schutz vor Schadsoftware
- Netz und Geräte
- Notfall und Dienstleister
Das zuerst
Keine Frage mit Nein. Die übrigen Maßnahmen stehen unten.
- Benennen Sie schriftlich eine zuständige Person samt Vertretung und legen Sie fest, wie oft sie der Geschäftsleitung berichtet. Frage 1 · Kernfrage · Ihre Antwort:
- Schreiben Sie eine IT-Richtlinie von ein bis zwei Seiten und lassen Sie alle Mitarbeitenden die Kenntnisnahme bestätigen. Frage 2 · Ihre Antwort:
- Schulen Sie alle Mitarbeitenden jährlich, auch zu Phishing und gefälschten Chef-Anweisungen, und halten Sie die Teilnahme fest. Frage 3 · Kernfrage · Ihre Antwort:
- Lassen Sie jeden Dienstleister mit Zugriff auf Ihre Systeme eine Vertraulichkeitsvereinbarung unterschreiben und legen Sie sie ab. Frage 4 · Ihre Antwort:
- Legen Sie eine Meldestelle mit Telefonnummer und Vertretung fest und machen Sie sie allen bekannt, etwa auf einer Karte am Arbeitsplatz. Frage 5 · Ihre Antwort:
- Richten Sie für jede Person ein eigenes Konto ein und ersetzen Sie geteilte Zugänge durch Postfächer mit Zugriffsrechten. Frage 6 · Ihre Antwort:
- Legen Sie für Verwaltungsaufgaben eigene Administrator-Konten an und entziehen Sie den Alltagskonten die Administrator-Rechte. Frage 7 · Kernfrage · Ihre Antwort:
- Schalten Sie die Anmeldung in zwei Schritten zuerst für Administratoren, dann für E-Mail und jeden Zugang von außen ein. Frage 8 · Kernfrage · Ihre Antwort:
- Legen Sie lange Passwörter ohne Mehrfachnutzung als Regel fest und stellen Sie allen einen Passwortmanager bereit. Frage 9 · Ihre Antwort:
- Vergeben Sie Zugriffe nach Aufgabe und gehen Sie die Liste der Berechtigungen einmal im Jahr mit den Abteilungen durch. Frage 10 · Ihre Antwort:
- Führen Sie eine Austrittsliste mit allen Zugängen und sperren Sie die Konten spätestens am letzten Arbeitstag. Frage 11 · Ihre Antwort:
- Richten Sie eine automatische Sicherung aller wichtigen Daten ein, mindestens wöchentlich, besser täglich, und prüfen Sie die Meldungen. Frage 12 · Kernfrage · Ihre Antwort:
- Halten Sie eine Kopie getrennt vom Netz: wechselnde Platten außer Haus oder eine unveränderbare Sicherung mit eigenen Zugangsdaten. Frage 13 · Kernfrage · Ihre Antwort:
- Spielen Sie einmal im Jahr probeweise Daten aus der Sicherung zurück und schreiben Sie Datum, Umfang und Dauer auf. Frage 14 · Kernfrage · Ihre Antwort:
- Benennen Sie eine zuständige Person und eine Vertretung für die Datensicherung und halten Sie das schriftlich fest. Frage 15 · Ihre Antwort:
- Schalten Sie automatische Updates ein und prüfen Sie monatlich, ob alle Geräte und Programme auf aktuellem Stand sind. Frage 16 · Kernfrage · Ihre Antwort:
- Erfassen Sie Geräte und Programme ohne Herstellerupdates und ersetzen Sie sie oder trennen Sie sie vom übrigen Netz. Frage 17 · Ihre Antwort:
- Nehmen Sie Router, Firewall, Drucker und Netzspeicher in die monatliche Update-Prüfung auf. Frage 18 · Ihre Antwort:
- Stellen Sie sicher, dass auf jedem Rechner und Server ein Schutz vor Schadsoftware läuft und sich selbst aktualisiert. Frage 19 · Kernfrage · Ihre Antwort:
- Lassen Sie Programme nur durch die zuständige Person installieren und halten Sie eine Liste der erlaubten Programme. Frage 20 · Ihre Antwort:
- Sperren Sie Makros in Dateien aus dem Internet zentral und erlauben Sie nur signierte Makros, die Sie wirklich brauchen. Frage 21 · Ihre Antwort:
- Schalten Sie bei Ihrem Mail-Anbieter die Prüfung von Anhängen und Links ein oder setzen Sie einen Mailfilter davor. Frage 22 · Ihre Antwort:
- Benennen Sie eine zuständige Person für die Firewall und lassen Sie die offenen Zugänge von außen einmal im Jahr prüfen. Frage 23 · Ihre Antwort:
- Schalten Sie auf allen Laptops und Smartphones mit Firmendaten die Verschlüsselung und eine automatische Bildschirmsperre ein. Frage 24 · Ihre Antwort:
- Schützen Sie das Firmen-WLAN mit einem langen Kennwort und richten Sie für Gäste ein getrenntes WLAN ein. Frage 25 · Ihre Antwort:
- Lassen Sie Zugriffe von außen nur über ein VPN oder eine Fernwartung zu, die jeweils freigegeben wird, und schließen Sie offene Zugänge. Frage 26 · Ihre Antwort:
- Schreiben Sie einen Notfallplan mit Zuständigen, Telefonnummern und ersten Schritten und legen Sie eine gedruckte Fassung bereit. Frage 27 · Kernfrage · Ihre Antwort:
- Legen Sie einen Betrag fest, ab dem eine zweite Person freigibt, und bestätigen Sie neue Kontonummern telefonisch unter bekannter Nummer. Frage 28 · Ihre Antwort:
- Führen Sie eine Liste aller Dienstleister, die Daten für Sie verarbeiten, und schließen Sie mit jedem einen Vertrag zur Auftragsverarbeitung. Frage 29 · Ihre Antwort:
- Halten Sie im Notfallplan fest, wer Kunden, Behörden und Versicherer informiert, mit Kontaktdaten und Fristen. Frage 30 · Ihre Antwort:
Alle Maßnahmen
- Benennen Sie schriftlich eine zuständige Person samt Vertretung und legen Sie fest, wie oft sie der Geschäftsleitung berichtet. (Frage 1, )
- Schreiben Sie eine IT-Richtlinie von ein bis zwei Seiten und lassen Sie alle Mitarbeitenden die Kenntnisnahme bestätigen. (Frage 2, )
- Schulen Sie alle Mitarbeitenden jährlich, auch zu Phishing und gefälschten Chef-Anweisungen, und halten Sie die Teilnahme fest. (Frage 3, )
- Lassen Sie jeden Dienstleister mit Zugriff auf Ihre Systeme eine Vertraulichkeitsvereinbarung unterschreiben und legen Sie sie ab. (Frage 4, )
- Legen Sie eine Meldestelle mit Telefonnummer und Vertretung fest und machen Sie sie allen bekannt, etwa auf einer Karte am Arbeitsplatz. (Frage 5, )
- Richten Sie für jede Person ein eigenes Konto ein und ersetzen Sie geteilte Zugänge durch Postfächer mit Zugriffsrechten. (Frage 6, )
- Legen Sie für Verwaltungsaufgaben eigene Administrator-Konten an und entziehen Sie den Alltagskonten die Administrator-Rechte. (Frage 7, )
- Schalten Sie die Anmeldung in zwei Schritten zuerst für Administratoren, dann für E-Mail und jeden Zugang von außen ein. (Frage 8, )
- Legen Sie lange Passwörter ohne Mehrfachnutzung als Regel fest und stellen Sie allen einen Passwortmanager bereit. (Frage 9, )
- Vergeben Sie Zugriffe nach Aufgabe und gehen Sie die Liste der Berechtigungen einmal im Jahr mit den Abteilungen durch. (Frage 10, )
- Führen Sie eine Austrittsliste mit allen Zugängen und sperren Sie die Konten spätestens am letzten Arbeitstag. (Frage 11, )
- Richten Sie eine automatische Sicherung aller wichtigen Daten ein, mindestens wöchentlich, besser täglich, und prüfen Sie die Meldungen. (Frage 12, )
- Halten Sie eine Kopie getrennt vom Netz: wechselnde Platten außer Haus oder eine unveränderbare Sicherung mit eigenen Zugangsdaten. (Frage 13, )
- Spielen Sie einmal im Jahr probeweise Daten aus der Sicherung zurück und schreiben Sie Datum, Umfang und Dauer auf. (Frage 14, )
- Benennen Sie eine zuständige Person und eine Vertretung für die Datensicherung und halten Sie das schriftlich fest. (Frage 15, )
- Schalten Sie automatische Updates ein und prüfen Sie monatlich, ob alle Geräte und Programme auf aktuellem Stand sind. (Frage 16, )
- Erfassen Sie Geräte und Programme ohne Herstellerupdates und ersetzen Sie sie oder trennen Sie sie vom übrigen Netz. (Frage 17, )
- Nehmen Sie Router, Firewall, Drucker und Netzspeicher in die monatliche Update-Prüfung auf. (Frage 18, )
- Stellen Sie sicher, dass auf jedem Rechner und Server ein Schutz vor Schadsoftware läuft und sich selbst aktualisiert. (Frage 19, )
- Lassen Sie Programme nur durch die zuständige Person installieren und halten Sie eine Liste der erlaubten Programme. (Frage 20, )
- Sperren Sie Makros in Dateien aus dem Internet zentral und erlauben Sie nur signierte Makros, die Sie wirklich brauchen. (Frage 21, )
- Schalten Sie bei Ihrem Mail-Anbieter die Prüfung von Anhängen und Links ein oder setzen Sie einen Mailfilter davor. (Frage 22, )
- Benennen Sie eine zuständige Person für die Firewall und lassen Sie die offenen Zugänge von außen einmal im Jahr prüfen. (Frage 23, )
- Schalten Sie auf allen Laptops und Smartphones mit Firmendaten die Verschlüsselung und eine automatische Bildschirmsperre ein. (Frage 24, )
- Schützen Sie das Firmen-WLAN mit einem langen Kennwort und richten Sie für Gäste ein getrenntes WLAN ein. (Frage 25, )
- Lassen Sie Zugriffe von außen nur über ein VPN oder eine Fernwartung zu, die jeweils freigegeben wird, und schließen Sie offene Zugänge. (Frage 26, )
- Schreiben Sie einen Notfallplan mit Zuständigen, Telefonnummern und ersten Schritten und legen Sie eine gedruckte Fassung bereit. (Frage 27, )
- Legen Sie einen Betrag fest, ab dem eine zweite Person freigibt, und bestätigen Sie neue Kontonummern telefonisch unter bekannter Nummer. (Frage 28, )
- Führen Sie eine Liste aller Dienstleister, die Daten für Sie verarbeiten, und schließen Sie mit jedem einen Vertrag zur Auftragsverarbeitung. (Frage 29, )
- Halten Sie im Notfallplan fest, wer Kunden, Behörden und Versicherer informiert, mit Kontaktdaten und Fristen. (Frage 30, )
Ihr Ergebnis steht nur in der Adresse dieser Seite. Wer den Link hat, sieht es; wir speichern nichts. Das Ergebnis ist eine Selbstauskunft.
Ergebnis mit allen 30 Maßnahmen per E-Mail
Wir schicken Ihnen den Link zu Ihrem Ergebnis, zum Drucken oder zum Abhaken mit Ihrem IT-Dienstleister.
Ergebnis speichern und Nachweismappe erstellen
In der App speichern Sie den Check, übernehmen die Maßnahmen als Aufgaben und stellen eine Nachweismappe für Kunden oder Ihren Cyberversicherer zusammen. Der Check bleibt kostenlos.
Kostenlos in der App weitermachenWas der Check nicht ist
Der Check prüft nichts von außen, stellt kein Zertifikat aus und ersetzt nicht die Beratung durch einen vom BSI geschulten IT-Dienstleister.
Der Check orientiert sich an den Themenfeldern der DIN SPEC 27076 und an den Fragen der Cyberversicherer. Die Fragen und die Bewertung sind eigene von frag.hugo.
Sie bauen schon ein Managementsystem für Informationssicherheit auf? Dann passt der ISMS-Schnellcheck besser.
Häufige Fragen
Nein. Der Check läuft vollständig in Ihrem Browser. Das Ergebnis steht nur in der Adresse der Seite, im Teil nach dem #, und dieser Teil wird nicht an unseren Server geschickt. Nur wenn Sie sich das Ergebnis per E-Mail schicken lassen, erhalten wir Ihre Adresse.
Die Fragen decken die Themen ab, nach denen Cyberversicherer in ihren Risikofragebögen typischerweise fragen: Zuständigkeit, Schulung, Zugänge, Anmeldung in zwei Schritten, Datensicherung, Updates, Schutz vor Schadsoftware und Notfallplan. Sie sehen so vor dem Ausfüllen, wo Sie ehrlich mit Nein antworten müssten. Beantworten Sie den Fragebogen des Versicherers immer wahrheitsgemäß; eine falsche Angabe kann den Versicherungsschutz kosten.
Für kleine Firmen bis etwa 50 Beschäftigte ohne eigene IT-Abteilung: Geschäftsführung, Büroleitung oder die Person, die sich nebenbei um die IT kümmert. Wer schon ein Managementsystem für Informationssicherheit aufbaut, ist mit dem ISMS-Schnellcheck besser bedient.
10 der 30 Fragen betreffen Grundlagen, ohne die ein Angriff schnell teuer wird, etwa die Anmeldung in zwei Schritten oder eine getrennte Datensicherung. Sie zählen doppelt, und wer drei davon mit Nein beantwortet, landet unabhängig vom Rest in der Stufe „Dringend“. Bei Kernfragen gibt es kein „Trifft nicht zu“.
Ja zählt zwei Punkte, Teilweise einen, Nein keinen; Kernfragen zählen doppelt, „Trifft nicht zu“ zählt nicht mit. „Solide“ heißt mindestens 80 Prozent und keine Kernfrage mit Nein. „Lücken“ heißt 50 bis 79 Prozent oder eine bis zwei Kernfragen mit Nein. „Dringend“ heißt unter 50 Prozent oder drei und mehr Kernfragen mit Nein.
Nein. Diese Beratung führen vom BSI geschulte IT-Dienstleister im Gespräch durch. Unser Check orientiert sich an den Themenfeldern der DIN SPEC 27076 und an den Fragen der Cyberversicherer; Fragen und Bewertung sind eigene von frag.hugo. Er ist eine Selbstauskunft und prüft nichts von außen.
Weitere kostenlose Werkzeuge
Alle ohne Anmeldung, alle ohne Kosten.
- Subprozessor-Monitor Wir prüfen die Unterauftragsverarbeiter-Listen der großen Anbieter täglich und zeigen jede Änderung mit Datum. Öffnen
- DSGVO-Bußgeldrechner Schätzt den Bußgeldkorridor für Ihr Unternehmen — nach demselben Modell, mit dem deutsche Aufsichtsbehörden rechnen. Öffnen
- Bußgeld-Datenbank Verhängte Bußgelder nach Behörde, Branche, Verstoß und Höhe filtern — jeder Fall mit Quelle. Öffnen
- E-Mail-Sicherheitscheck Prüft in wenigen Sekunden, ob Fremde in Ihrem Namen E-Mails verschicken können. Öffnen
- KI-Risikoklassen-Check Ordnet Ihren KI-Einsatz in die vier Risikoklassen der EU-KI-Verordnung ein und nennt die Pflichten mit Frist. Öffnen
- KI-Kennzeichnungs-Check Ordnet 14 typische KI-Einsätze nach Art. 50 der KI-Verordnung ein: von KI-Bildern über Texte bis zum Chatbot. Öffnen
- Widerrufsbutton-Check Prüft, ob Ihr Shop einen gut sichtbaren Link „Vertrag widerrufen“ hat und ob er zu einem Formular führt (§ 356a BGB). Öffnen
- Gefährdungsbeurteilung Gefahren anhaken, bewerten, Maßnahmen wählen: in sechs Schritten zur Gefährdungsbeurteilung für Büro oder Homeoffice. Öffnen
- Shop-Check Prüft einen Online-Shop auf Gewährleistungslabel, Umweltaussagen, GPSR-Angaben, KI-Chatbot-Kennzeichnung und Widerrufsbutton. Öffnen
- Schatten-KI-Check Acht Fragen zeigen, wie gut Sie im Blick haben, welche KI-Dienste mit Ihren Firmenkonten verbunden sind. Öffnen
- CRA-Hersteller-Check Klärt in elf Fragen, ob der Cyber Resilience Act für Sie gilt, in welcher Rolle und in welche Produktklasse Ihr Produkt fällt. Öffnen
- DSGVO-Prüfstand für Software ChatGPT, Notion, DeepL & Co. an zehn Kriterien geprüft — jede Aussage mit Quelle, Zitat und Abrufdatum, alle 90 Tage nachgeprüft. Öffnen
- Aufsichtsbehörden im Vergleich Die Jahresberichte aller 18 deutschen Datenschutzbehörden nebeneinander: Beschwerden, Datenpannen, Bußgelder und Prüfschwerpunkte. Öffnen
- Fristenkalender Alle Fristen aus DSGVO, NIS2, KI-Verordnung, CRA, DORA, Data Act und Co. auf einem Zeitstrahl — monatlich geprüft, jede mit Primärquelle. Öffnen
- Cyber-Lagebild Deutschland Täglich aktualisierte Zahlen zu Erpressungsangriffen mit Bezug zu Deutschland — nach Woche, Branche und Tätergruppe. Öffnen
Werkzeuge zeigen Lücken. Schließen muss sie jemand.
Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.
