IT-Sicherheitscheck / Technische Sicherheitsbewertung

IT-Sicherheitscheck.
Technische Risiken klar bewerten.

Eine strukturierte Sicherheitsbewertung für einen definierten Systembestand. Identitäten, Zugriffswege, Endgeräte, E-Mail-Sicherheit, Backup und Notfallreaktion werden anhand konkreter Konfigurationen und Nachweise eingeordnet.

Für IT-Verantwortliche, Administratoren und technische Projektverantwortliche.

02 / Technische Sicherheitsbewertung

Sechs Sicherheitsbereiche.
Ein abgegrenztes Prüfpaket.

Das Paket umfasst eine Organisation und einen Standort, eine AD-Domäne oder einen Entra-ID-Mandanten, bis zu fünf ausgewählte Server oder Clients, ein Firewall-/VPN-Gateway, eine Maildomain und die Sicherung eines kritischen Dienstes. Es handelt sich um eine gezielte, nicht statistisch repräsentative Stichprobe.

Enthalten sind die Vorbereitung des Prüfbereichs, bis zu drei Stunden gemeinsame Prüfung – vorzugsweise bei Ihnen vor Ort, alternativ remote, die anschließende Auswertung mit schriftlichem Bericht und eine 30-minütige Ergebnisbesprechung. Alle sechs Bereiche erhalten einen dokumentierten Status; fehlende Nachweise werden nicht als bestandene Prüfung gewertet.

IT-Sicherheitscheck anfragen Technischer Prüfkatalog

Prüfmethodik

Prüfen und belegen.

Vorab werden Prüfobjekte, Nachweise und zulässige Prüfhandlungen festgehalten. Für jeden Befund werden Objekt, Zeitpunkt, Methode und Evidenz dokumentiert. Maßstab sind vereinbarte betriebliche Anforderungen, passende Herstellerhinweise und ausgewählte Kontrollen aus CIS Controls v8.1.

01EXAMINE

Untersuchen

Konfigurationen, Exporte und Protokolle mit dem vereinbarten Sollzustand abgleichen. Quelle, Zeitpunkt und Prüfobjekt festhalten.

02INTERVIEW

Befragen

Betriebsabläufe und Zuständigkeiten mit den Verantwortlichen klären. Aussagen als solche kennzeichnen und mit technischen Nachweisen abgleichen.

03TEST

Verifizieren

Vorhandene Anmelde-, Alarm- und Restore-Nachweise auswerten. Neue Funktionstests und produktive Änderungen gehören nicht zum Festpreispaket und werden getrennt vereinbart.

Technischer Prüfkatalog / Auswahl

Konkrete Kontrollfragen.

Die sechs Bereiche strukturieren den Festpreischeck. Die Prüfpunkte beziehen sich ausschließlich auf den vereinbarten Bestand und die verfügbare Evidenz. Tiefergehende Tests, nicht zugängliche Konfigurationen und fehlende Nachweise werden als offen ausgewiesen; daraus entsteht keine Aussage über die gesamte Unternehmens-IT.

01 / PrüfbereichCIS Controls 5 / 6

Identitäten & privilegierte Zugriffe

Wird der administrative Zugriff tatsächlich begrenzt und abgesichert?

Technische Prüfpunkte

  1. In einer AD-Domäne oder einem Entra-ID-Mandanten bis zu fünf vereinbarte privilegierte Identitäten prüfen: Rollen, direkte und verschachtelte Gruppenmitgliedschaften, getrennte Administrationskonten und Dienstkonto-Zweck.
  2. Für einen administrativen Fern- oder Cloudzugriff MFA-Durchsetzung, Geltungsbereich, Ausnahmen und Authentifizierungsmethoden mit einer ausgewählten Anmeldung abgleichen. Report-only und reine MFA-Registrierung getrennt bewerten.
  3. Ein freigegebenes Offboarding-Beispiel prüfen: Kontosperrung, verbleibende Rollen, Gastzugriffe und dokumentierte Sitzungswiderrufe.
Nachweise & Vorgehen
Redigierte Rollen-/Gruppenauszüge, wirksame Zugriffsrichtlinien und ausgewählte Anmeldeprotokolle; technische Einsicht gemeinsam mit dem Administrator.
Bewertungsmaßstab
Überprivilegierung und Ausnahmen sind begründet; Richtlinienzuweisung und tatsächlich beobachtete Durchsetzung werden getrennt dokumentiert.
Aussagegrenze
Kein vollständiger AD-Angriffspfadgraph oder Identitätsaudit. Eine einzelne erfolgreiche MFA-Anmeldung belegt nicht die Absicherung aller Benutzer und Anwendungen.
02 / PrüfbereichCIS Controls 12 / 13

Firewall, VPN & Vertrauensgrenzen

Welche Administrations- und Kommunikationspfade sind im Prüfbereich freigegeben?

Technische Prüfpunkte

  1. Ein Firewall-/VPN-Gateway anhand der freigegebenen NAT-, Zugriffs- und Fernwartungskonfiguration prüfen: Managementzugänge, veröffentlichte Dienste, Quellnetze und Ausnahmen.
  2. Einen relevanten Datenfluss über Client-, Server-, Administrations- oder Backupnetz nachverfolgen: Quelle, Ziel, Port, Richtung, Routing und tatsächlich zugeordnete ACL.
  3. VPN-Authentifizierung, administrative Berechtigungen, Protokollierung und Zugang externer Dienstleister gegen die betriebliche Vorgabe abgleichen.
Nachweise & Vorgehen
Netzplan, redigierte Gateway-Konfiguration, VPN-Richtlinien und vorhandene Verbindungslogs; keine selbstständigen Netzwerkscans.
Bewertungsmaßstab
VLAN-Zuordnung allein zählt nicht als Zugriffssperre. Erlaubte Kommunikation muss dem freigegebenen Zweck und den wirksamen Filterregeln entsprechen.
Aussagegrenze
Keine vollständige Angriffsfächenermittlung, Port-, Schwachstellen- oder Lastscans. Ohne freigegebenen Funktionsnachweis bleibt die tatsächliche Erreichbarkeit als offene Prüfung dokumentiert.
03 / PrüfbereichCIS Controls 4 / 7 / 10

Patchstand, Hardening & Endpoint-Schutz

Erreichen die Schutzmaßnahmen die ausgewählten Systeme?

Technische Prüfpunkte

  1. Bis zu fünf vereinbarte Server oder Clients mit OS-/Softwareversion, Supportende, letztem Management-Kontakt und tatsächlich installiertem Patchstand abgleichen. Bekannte CVEs nur bei passender Version und erfüllten Voraussetzungen zuordnen.
  2. EDR-/Antimalware-Status, Richtlinienzuweisung, letzte Telemetrie, Ausschlüsse und Manipulationsschutz im ausgewählten Bestand prüfen.
  3. Lokale Administratorrechte, Host-Firewall, nicht benötigte Dienste und Laufwerksverschlüsselung anhand der vorhandenen Richtlinien und ausgewählten Systemnachweise bewerten.
Nachweise & Vorgehen
Versions-/Patchauszüge, Management- und EDR-Konsole sowie lesende Konfigurationseinsicht; Herstellerhinweise für konkrete Versionsbefunde.
Bewertungsmaßstab
Geplante Updates sind keine installierten Updates. Konfigurierte Schutzrichtlinien und ihr beobachteter Gerätestatus sind getrennte Nachweise.
Aussagegrenze
Keine agentengestützte Vollinventarisierung oder umfassende Benchmark-Prüfung. Der Check bestätigt keine Angriffsfreiheit und misst keine vollständige Erkennungsrate.
04 / PrüfbereichCIS Control 9 / SPF / DKIM / DMARC

E-Mail-Sicherheit & Domainauthentifizierung

Sind Absenderauthentifizierung und Mailzugriffe nachvollziehbar abgesichert?

Technische Prüfpunkte

  1. Für eine Unternehmens-Maildomain öffentliche SPF- und DMARC-Einträge sowie einen vom Betreiber benannten DKIM-Selektor prüfen; ein freigegebenes Nachrichten-Headerbeispiel auf Authentifizierung und Alignment auswerten.
  2. DMARC-Modus, SPF-Berechtigungen und DNS-Lookup-Grenze einordnen; eine Monitoring-Policy p=none ist keine Ablehnungsregel. Fehlender unbekannter DKIM-Selektor ist kein Nachweis fehlender DKIM-Signierung.
  3. Vorhandene Richtlinien für externe Weiterleitungen, Spam-/Phishingschutz und Legacy-Authentifizierung anhand der Mailadministration prüfen; eine auffällige Freigabe im Kontext der tatsächlichen Nutzung bewerten.
Nachweise & Vorgehen
Öffentliche DNS-Antworten, redigierte Mail-Header und verfügbare Mailrichtlinien. Keine Nachrichteninhalte, Versandtests oder Phishing-Simulationen.
Bewertungsmaßstab
SPF-Prüfung und DMARC-Alignment werden unterschieden: DMARC kann über ausgerichtetes SPF oder DKIM bestehen. Domainauthentifizierung verhindert nicht jede Form von Phishing.
Aussagegrenze
Eine Headerstichprobe repräsentiert nicht alle legitimen Versanddienste. Nicht lizenzierte oder nicht zugängliche Cloudfunktionen werden als Einschränkung ausgewiesen.
05 / PrüfbereichCIS Control 11

Backup-Schutz & Wiederherstellbarkeit

Ist die Sicherung gegen Löschung geschützt und der Wiederanlauf belegt?

Technische Prüfpunkte

  1. Für einen kritischen Dienst einen Backup-Job und sein Repository prüfen: Sicherungsumfang, Datenstand, Aufbewahrung, Applikationskonsistenz, Offsite-Kopie und notwendige Schlüssel.
  2. Schreib-/Löschrechte und Trennung von Produktions- und Backupadministration bewerten; konfigurierte Unveränderbarkeit mit ihrer Sperrdauer, Ausnahmen und tatsächlichen Berechtigungen abgleichen.
  3. Einen vorhandenen Restore-Nachweis auf getesteten Datenstand, Applikationsfunktion und gemessene Wiederherstellungszeit prüfen; mit dem abgestimmten RPO und RTO vergleichen.
Nachweise & Vorgehen
Jobhistorie, Repository-/Retention-Konfiguration, Rechte und datierter Wiederherstellungsnachweis für den ausgewählten Dienst.
Bewertungsmaßstab
Erfolgreicher Backup-Job, erfolgreicher Datei-Restore und vollständiger Applikations-Wiederanlauf sind unterschiedliche Nachweise; fehlende Tests sind Evidenzlücken.
Aussagegrenze
Kein produktiver oder isolierter Restore im Festpreis enthalten. Wiederanlaufübungen, Datenrettung und Änderungen an der Sicherungsarchitektur werden getrennt vereinbart.
06 / PrüfbereichCIS Controls 8 / 17

Logging & Notfallreaktion

Führt ein relevantes Ereignis zu einem nachvollziehbaren Reaktionsweg?

Technische Prüfpunkte

  1. Für einen Ereignistyp die Kette Quelle → Sammlung → Alarm → Empfänger anhand vorhandener Protokolle prüfen, etwa privilegierte Anmeldung oder fehlgeschlagene Sicherung.
  2. Zeitbezug, Logaufbewahrung, Zugriffsschutz und vorhandenen Zustellnachweis des Alarms gegen die betrieblichen Anforderungen abgleichen.
  3. Für ein Szenario das Runbook prüfen: Verantwortliche, Eskalation, Erstmaßnahmen, Wiederanlaufreihenfolge und Zugriff auf Notfallunterlagen bei Ausfall der produktiven IT.
Nachweise & Vorgehen
Ausgewählte Ereignis-/Alarmprotokolle, Logkonfiguration, Runbook und Gespräch mit dem technischen Ansprechpartner.
Bewertungsmaßstab
Eine eingerichtete Alarmregel belegt noch keine Zustellung oder Bearbeitung. Zuständigkeit und Verfügbarkeit der Notfallunterlagen müssen nachvollziehbar sein.
Aussagegrenze
Keine Angriffssimulation, Forensik oder fortlaufende Überwachung. Hinweise auf einen aktiven Vorfall erfordern eine gesonderte Abstimmung; Incident Response ist nicht Bestandteil des Pakets.

Schriftlicher Ergebnisbericht

Sicherheitsbericht mit Maßnahmenplan.

Der Bericht enthält eine Zusammenfassung, den vereinbarten Prüfbestand und eine Befundliste mit Evidenzstatus, Risikobegründung und priorisierten Maßnahmen. Jeder relevante Befund erhält einen konkreten nächsten Prüf- oder Umsetzungsschritt sowie ein Kriterium für die spätere Verifikation. Die Ergebnisse werden in einem 30-minütigen Abschlussgespräch erläutert.

Nachweisstatus

  • Belegt: benannte technische Evidenz oder dokumentierter Test.
  • Berichtet: Aussage eines Verantwortlichen, noch nicht technisch verifiziert.
  • Offen: nicht geprüft, widersprüchlich oder Nachweis nicht verfügbar.
  • Nicht anwendbar: mit Begründung für den vereinbarten Prüfbereich.

Risikoeinordnung

Auswirkung auf Verfügbarkeit, Integrität und Vertraulichkeit, erreichbarer Zugriffspfad, betroffene Systeme und vorhandene Gegenmaßnahmen werden qualitativ eingeordnet.

Priorität und Folgeschritte erhalten eine Begründung; eine CVE-Schwere ersetzt keine Risikobewertung des konkreten Systems. Maßnahmenumsetzung und spätere Nachprüfung sind separate Leistungen. Ohne belastbare Daten werden weder Angriffswahrscheinlichkeiten noch ein pauschaler Sicherheits-Score berechnet.

Methodenbeispiel / kein Kundenbefund

MFA registriert. Durchsetzung unbestätigt.

Für ein administratives Konto ist eine MFA-Methode registriert. Die ausgewertete Zugriffsrichtlinie läuft jedoch nur im Report-only-Modus. Belegt sind die Registrierung und die Konfiguration; eine wirksame MFA-Erzwingung für diesen Zugriffspfad ist damit nicht nachgewiesen.

Nächster Prüfschritt: Ausnahmen und Notfallzugang prüfen, eine wirksame Richtlinie kontrolliert planen und den ausgewählten Anmeldepfad nach Freigabe verifizieren. Änderungen und Funktionstests werden gesondert beauftragt.

Sie haben die Wahl.

Hier entscheiden Sie, ob die Nutzung dieser Webseite mit lokal betriebenem Umami ausgewertet werden darf. Ihre Auswahl können Sie jederzeit im Footer ändern.

Rechtsgrundlagen: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Weitere Informationen finden Sie in der Datenschutzerklärung.