Viele kleine und mittlere Unternehmen wissen, dass sie ihre IT-Sicherheit verbessern sollten. Offen bleibt oft, wo sie anfangen sollen und wer dabei hilft. Angebote für IT-Sicherheitsberatung unterscheiden sich stark: vom kurzen Fragebogen über einen technischen Angriffstest bis zur Begleitung über Monate.
Dieser Ratgeber zeigt, was eine gute IT-Sicherheitsberatung leisten sollte, welche Einstiegsformate es gibt und woran Sie ein passendes Angebot erkennen. Er hilft Ihnen, Angebote zu vergleichen, bevor Sie einen Auftrag vergeben.
Was eine IT-Sicherheitsberatung ist
Eine IT-Sicherheitsberatung bewertet, wie gut ein Unternehmen seine Daten, Systeme und Abläufe schützt, und leitet daraus konkrete Maßnahmen ab. Sie schaut nicht nur auf Technik wie Virenschutz und Firewall. Sie betrachtet auch Organisation und Menschen: Wer darf was, wer entscheidet im Notfall, wie werden Mitarbeitende geschult?
Der Unterschied zum laufenden IT-Betrieb liegt in der Blickrichtung. Der Betrieb sorgt dafür, dass Systeme laufen. Die Beratung fragt, was passiert, wenn etwas schiefgeht, und welche Risiken zuerst behandelt werden sollten.
Was eine gute Beratung leisten sollte
Eine nützliche Orientierung bietet das BSI-Gesetz. § 30 Abs. 2 BSIG nennt Mindestbereiche des Risikomanagements für Einrichtungen, die unter NIS2 fallen. Auch wenn Ihr Unternehmen nicht betroffen ist, eignet sich diese Liste als Prüfraster. Dazu gehören unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Datensicherung und Notfallwiederherstellung, Sicherheit der Lieferkette, Schulungen, Zugriffskontrolle, Multi-Faktor-Authentifizierung und die Bewertung der Wirksamkeit der Maßnahmen.
Wir empfehlen, dass eine Beratung mindestens diese Bausteine abdeckt:
- Bestandsaufnahme: Welche Geräte, Konten, Anwendungen, Cloud-Dienste, Standorte und Dienstleister gehören zum Betrieb? Ohne dieses Bild bleiben Lücken unsichtbar.
- Risikobewertung: Welche Prozesse und Systeme sind für das Unternehmen besonders wichtig? Was passiert, wenn sie ausfallen oder angegriffen werden?
- Priorisierter Maßnahmenplan: Jede Maßnahme mit Begründung, verantwortlicher Person und Termin. Nicht alles ist gleich dringend.
- Organisation: Notfallabläufe, Meldewege und Zuständigkeiten, auch für Abwesenheiten.
- Schulung: verständliche Regeln für Mitarbeitende und eine Einordnung für die Geschäftsleitung.
- Wirksamkeitsprüfung: ein vereinbarter Termin, an dem geprüft wird, ob die Maßnahmen umgesetzt sind und wirken.
Ein Bericht, der nur Schwachstellen auflistet, reicht nicht. Entscheidend ist, dass Sie danach wissen, was Sie in welcher Reihenfolge tun.
Einstiegsformate im Vergleich
Nicht jedes Unternehmen braucht zu Beginn ein großes Projekt. Diese Formate eignen sich je nach Ausgangslage:
| Format | Wofür geeignet | Typisches Ergebnis |
|---|---|---|
| Standardisierter Check im Interview | erste Standortbestimmung, besonders für kleine Unternehmen | Punktzahl und priorisierte Empfehlungen |
| Security-Check mit technischer Prüfung | Überblick über Systeme, Konten, Datensicherung und Abläufe | Bestandsbild und Maßnahmenplan |
| Technischer Angriffstest (Penetrationstest) | gezielte Prüfung einzelner Systeme, wenn die Grundlagen stehen | gefundene Schwachstellen mit Bewertung |
| Laufende Begleitung | Umsetzung, Wiederholungsprüfungen, Anpassung an Veränderungen | regelmäßige Berichte und fortgeschriebener Plan |
Der CyberRisikoCheck nach DIN SPEC 27076
Für kleine und Kleinstunternehmen hat ein Konsortium unter Leitung des BSI im Jahr 2023 einen standardisierten Einstieg vorgestellt, den CyberRisikoCheck nach DIN SPEC 27076. Nach Angaben des BSI führt ein IT-Dienstleister ein Interview von etwa ein bis zwei Stunden. Dabei werden 27 Anforderungen aus sechs Themenbereichen abgefragt. Das Unternehmen erhält einen Bericht mit Punktzahl und nach Dringlichkeit geordneten Empfehlungen für jede nicht erfüllte Anforderung. Das BSI betont, dass der Check keine Zertifizierung ist, sondern eine Standortbestimmung.
Wann ein Angriffstest sinnvoll ist
Ein Penetrationstest liefert wertvolle Erkenntnisse über einzelne Systeme. Wir empfehlen ihn aber erst, wenn Bestand und wichtigste Risiken bekannt sind. Sonst entsteht ein technisch interessanter Bericht, aber keine Prioritätenliste für das ganze Unternehmen.
NIS2: Was die Beratung klären sollte
Für Unternehmen, die unter NIS2 fallen, gelten seit dem 6. Dezember 2025 die Pflichten des neu gefassten BSI-Gesetzes. Das hat das BSI zum Inkrafttreten mitgeteilt. Eine Beratung sollte deshalb früh klären, ob Ihr Unternehmen betroffen ist. Eine erste Einschätzung liefert die NIS-2-Betroffenheitsprüfung des BSI. Ihr Ergebnis ist nach Angaben des BSI nur eine Orientierung und rechtlich nicht verbindlich. In unklaren Fällen ist eine rechtliche Prüfung sinnvoll.
Für betroffene Einrichtungen ist auch die Geschäftsleitung gefordert. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Eine gute Beratung bezieht die Geschäftsleitung deshalb von Anfang an ein und übersetzt Pflichten in prüfbare Maßnahmen.
Wie Sie das passende Angebot auswählen
Vergleichbar werden Angebote erst, wenn sie dieselben Fragen beantworten. Wir empfehlen, diese Punkte schriftlich zu klären:
- Umfang: Welche Standorte, Systeme, Cloud-Dienste und Abteilungen werden betrachtet? Wie viele Gespräche und Prüfungen sind enthalten?
- Ergebnisse: Welche Dokumente erhalten Sie, zum Beispiel Bestandsbild, Risikobewertung, Maßnahmenplan und eine Zusammenfassung für die Geschäftsleitung?
- Vorgehen: Nach welcher Methode bewertet der Anbieter Risiken? Orientiert er sich an anerkannten Grundlagen wie dem IT-Grundschutz des BSI oder ISO/IEC 27001?
- Erfahrung: Welche Erfahrung hat der Anbieter mit Unternehmen Ihrer Größe und Ihrer Branche?
- Unabhängigkeit: Verkauft der Anbieter auch Produkte oder Betriebsleistungen? Das ist kein Ausschlussgrund, sollte aber offen besprochen werden.
- Umsetzung: Wer setzt die Maßnahmen um: Ihr Team, Ihr IT-Dienstleister oder der Berater? Wie wird die Übergabe geregelt?
- Preis: Was ist im Festpreis enthalten, was wird nach Aufwand berechnet?
- Vertraulichkeit: Wie werden Ergebnisse, Zugangsdaten und Berichte geschützt und wann gelöscht?
Ein pauschales Angebot ohne festgelegten Umfang und ohne beschriebene Ergebnisse lässt sich kaum vergleichen. Fragen Sie in diesem Fall nach.
So bereiten Sie das Erstgespräch vor
Je besser die Vorbereitung, desto schneller kommt die Beratung zum Kern. Hilfreich sind:
- eine grobe Übersicht über Standorte, Server, Microsoft 365 und andere Cloud-Dienste, wichtige Fachanwendungen und externe Dienstleister,
- eine Liste der Geschäftsprozesse, die nicht ausfallen dürfen,
- vorhandene Regeln, etwa zur Datensicherung oder zu Zugriffsrechten,
- Anforderungen von Kunden oder Versicherern, die Ihnen vorliegen,
- eine Ansprechperson mit Entscheidungsbefugnis und eine Vertretung.
Die Übersicht muss nicht vollständig sein. Sie zeigt dem Berater, wo Abhängigkeiten liegen.
Nach der Beratung: dranbleiben
Eine Beratung wirkt erst, wenn die Maßnahmen umgesetzt werden. Legen Sie fest, wer intern für den Maßnahmenplan verantwortlich ist und wie oft der Fortschritt besprochen wird. Wir empfehlen eine Wiederholungsprüfung in festem Abstand und zusätzlich bei größeren Veränderungen, etwa einem neuen Standort, einer neuen Fachanwendung oder einem Dienstleisterwechsel.
Zwei Themen tauchen in vielen Maßnahmenplänen auf. Wie ein Notfallplan aufgebaut ist, beschreibt unser Beitrag zum Incident Response Plan. Wie Sie Zugriffe grundsätzlich prüfen, statt Geräten im Firmennetz pauschal zu vertrauen, zeigt unser Beitrag zu Zero Trust für KMU.
IT-Sicherheit mit der GSL Groß GmbH
Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Was wir bei der IT-Sicherheit anbieten, einschließlich unseres Security-Checks, beschreibt unsere Seite zur IT-Sicherheit. Fragen zu NIS2 behandelt unsere Seite NIS2 und Risikomanagement. Für die laufende Überwachung und die Reaktion auf erkannte Angriffe gibt es unsere Seite zu Managed Detection and Response (MDR).
Sie möchten wissen, welcher Einstieg für Ihr Unternehmen passt? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.