IT-Sicherheit im Grundschutz: die zehn Dinge, die zählen
IT-Sicherheit im Grundschutz konzentriert sich auf die zehn Maßnahmen, die den größten Teil der Angriffe auf mittelständische Betriebe verhindern: Mehrfaktor-Anmeldung, aktueller Patch-Stand, Endgeräteschutz, Rechte nach Bedarf, getrennte Admin-Konten, gesicherte Fernzugänge, Backup außer Reichweite, Schulung, Notfallplan und ein Blick auf die Logs. Bestandsaufnahme zum Festpreis, Maßnahmen als Projekt oder Monatspauschale.
Worum es geht
IT-Sicherheit im Grundschutz auf einen Blick
Angriffe auf mittelständische Betriebe sind selten raffiniert. Eine Phishing-Mail, ein Passwort ohne zweiten Faktor, ein Server ohne Updates, ein Admin-Konto, mit dem auch gesurft wird, ein Backup im selben Netz. Wer diese Türen schließt, hält den größten Teil der Angreifer draußen, ohne Sicherheitsabteilung und ohne Zertifikat. Das ist der Grundschutz: nicht alles, sondern das, was zählt.
- Bereich
- Sicherheit und Vorsorge
- Passt, wenn
- Die Cyberversicherung oder ein Großkunde fragt nach, und die Antworten liegen nicht vor.
- Abrechnung
- Bestandsaufnahme zum Festpreis, Maßnahmen als Projekt oder Pauschale
- Preis
- Für Ihren Betrieb kalkuliert, nach der Bestandsaufnahme
- Bericht
- Monatsbericht mit Störungen, Patch-Stand, Backup-Prüfung, offenen Punkten und Kosten
- Leistungen dazu
Kapitel 1
Was die Leistung umfasst
Eine Bestandsaufnahme entlang von zehn Maßnahmen, jede mit Ampel: Mehrfaktor-Anmeldung überall, wo man von außen hineinkommt; Patch-Stand von Servern, Arbeitsplätzen und Netzwerkgeräten; Endgeräteschutz mit zentraler Überwachung; Rechte nach Bedarf statt „jeder darf alles“; getrennte Konten für Verwaltung und Alltag; gesicherte Fernzugänge ohne offene Ports; Backup außer Reichweite eines Angreifers; Schulung der Mitarbeitenden gegen Phishing; ein Notfallplan; und ein Blick auf die Logs, der Auffälliges meldet. Dazu eine Maßnahmenliste mit Aufwand, Dringlichkeit und Reihenfolge. Danach: Umsetzung der Maßnahmen, die Sie beauftragen, und auf Wunsch laufende Pflege mit Monatsbericht.
Kapitel 2
So arbeitet die Leistung konkret
Die Bestandsaufnahme dauert zwei Wochen und braucht einen Tag Zugang zu Systemen und einen Vormittag mit dem, der die IT heute betreut. Das Ergebnis ist eine Seite Ampel und drei Seiten Maßnahmen. Typisch rot: Fernzugang ohne zweiten Faktor, Admin-Konto, mit dem Mails gelesen werden, Backup erreichbar vom Dateiserver. Typisch gelb: Patch-Stand, Rechte, Schulung. Die roten Punkte werden in der Regel in den ersten zwei Wochen danach geschlossen, oft an einem Tag, weil sie Einstellungen sind, keine Projekte.
Ein Rechenbeispiel: Ein Handwerksbetrieb mit 25 Arbeitsplätzen bekam von der Versicherung einen Fragebogen mit 18 Punkten und konnte 7 davon ankreuzen. Nach Bestandsaufnahme und drei Wochen Maßnahmen waren es 16; die beiden offenen waren ein Notfallplan und die jährliche Schulung, beide im folgenden Quartal erledigt. Der Beitrag sank, aber wichtiger: Das Admin-Konto, mit dem der Chef Mails gelesen hatte, war weg.
| Prozess | Nutzen | Aufwand | Datenlage | Rang |
|---|---|---|---|---|
| Eingangsrechnungen prüfen | hoch | mittel | gut | 1 |
| Bestellungen aus E-Mails erfassen | hoch | gering | gut | 2 |
| Serviceberichte strukturieren | mittel | gering | mittel | 3 |
| Angebote aus Lastenheften | hoch | hoch | schwach | später |
| Kundenchatbot | gering | hoch | mittel | nein |
Kapitel 3
Was Sie vor dem Start klären sollten
Welche Fernzugänge es gibt, auch die vom Softwarehersteller und vom Systemhaus. Ob es eine Cyberversicherung gibt und was ihr Fragebogen verlangt. Wer Admin-Rechte hat und warum. Und wie viel Umstellung die Mitarbeitenden auf einmal vertragen, denn Mehrfaktor-Anmeldung für alle ist an einem Tag eingerichtet, aber eine Woche lang Gesprächsthema.
Kapitel 4
Wie ein Einstieg aussieht
Erstgespräch, Bestandsaufnahme in zwei Wochen, rote Punkte sofort, gelbe nach Plan. Danach entweder Übergabe der Maßnahmenliste an Ihr Systemhaus oder laufende Pflege mit Monatsbericht, monatlich kündbar. Die Bestandsaufnahme gehört Ihnen und ist so geschrieben, dass sie auch Ihre Versicherung versteht.
Häufige Fragen
Brauchen wir eine Zertifizierung?
Für die meisten Betriebe nicht. Wer für Großkunden oder Behörden arbeitet, braucht manchmal ISO 27001 oder TISAX; dann ist der Grundschutz die Vorarbeit, nicht der Ersatz. Für alle anderen zählt, dass die zehn Maßnahmen umgesetzt und nachweisbar sind, etwa gegenüber der Versicherung.
Was fragt die Cyberversicherung?
Fast immer dasselbe: Mehrfaktor-Anmeldung für alle Fernzugänge und Admin-Konten, Backup vom Netz getrennt und getestet, Endgeräteschutz, Patch-Stand, Schulung der Mitarbeitenden. Die Bestandsaufnahme beantwortet den Fragebogen; die Maßnahmen schließen die Lücken, die er aufdeckt.
Was kostet IT-Sicherheit im Grundschutz?
Die Bestandsaufnahme mit Ampel und Maßnahmenliste zum Festpreis. Die Maßnahmen danach einzeln zum Festpreis, die laufende Pflege mit Überwachung als Monatspauschale. Sie entscheiden nach Dringlichkeit, was zuerst kommt.
Nächster Schritt
Welcher Prozess kostet Sie die meiste Zeit?
Erzählen Sie es in 30 Minuten. Sie bekommen eine ehrliche Einschätzung, ob KI dort hilft und was der erste Schritt wäre.