IT-Wissen · IT-Wissen

IT-Bewertung: Risiken erkennen und IT verlässlich ausrichten

Kurz zusammengefasst: Eine IT-Bewertung schafft eine belastbare Grundlage für Entscheidungen. Sie macht sichtbar, wie gut Systeme, Daten, Zuständigkeiten und Schutzmaßnahmen zum Geschäftsmodell passen. Für kleine Unternehmen und den Mittelstand geht es nicht um eine theoretische Vollprüfung, sondern um eine nachvollziehbare Einordnung von Risiken, Handlungsbedarf und Prioritäten.

Was eine IT-Bewertung leistet

IT-Bewertung bezeichnet die strukturierte Betrachtung der Informationstechnik eines Unternehmens. Bewertet werden nicht nur Computer, Server und Software, sondern auch Daten, Geschäftsprozesse, Verantwortlichkeiten, Sicherheitsmaßnahmen, externe Dienstleister und die Fähigkeit, den Betrieb nach einem Ausfall wieder aufzunehmen.

Der wichtigste Nutzen liegt in besseren Entscheidungen. Ein Unternehmen erkennt, welche Systeme geschäftskritisch sind, wo Wissen bei einzelnen Personen konzentriert ist und welche Maßnahmen zuerst umgesetzt werden sollten. Investitionen lassen sich dadurch stärker am tatsächlichen Geschäftsrisiko und weniger an Einzelmeinungen ausrichten.

Eine IT-Bewertung kann außerdem die Kommunikation zwischen Geschäftsführung, Mitarbeitenden und IT-Dienstleistern verbessern. Alle Beteiligten erhalten ein gemeinsames Bild davon, welche Anforderungen bestehen, welche Schwachstellen belegt sind und welche Verbesserungen mit welcher Priorität verfolgt werden.

Welche Bereiche untersucht werden

Am Anfang steht eine nachvollziehbare Bestandsaufnahme. Dazu gehören Endgeräte, Server, Netzwerke, Cloud-Dienste, Fachanwendungen, Benutzerkonten, Schnittstellen und externe Anbieter. Wichtig ist die Verbindung zum Geschäft: Welche Anwendung wird für Aufträge, Produktion, Kommunikation, Buchhaltung oder Kundenservice benötigt? Welche Daten müssen verfügbar, unverändert oder vertraulich bleiben?

Danach werden Schutz und Betriebsfähigkeit betrachtet. Typische Prüfpunkte sind Zugriffsschutz, Mehrfaktor-Authentisierung, Aktualisierungen, Datensicherungen, Wiederherstellbarkeit, Protokollierung, Netzwerksegmentierung und Notfallverfahren. Ebenfalls relevant sind dokumentierte Zuständigkeiten, geregelte Berechtigungen, Lieferantenabhängigkeiten und der Umgang mit Sicherheitsvorfällen.

Eine belastbare Bewertung trennt Feststellung und Schlussfolgerung. Ein fehlender Wiederherstellungstest ist zunächst eine konkrete Beobachtung. Ob daraus ein hohes Risiko entsteht, hängt davon ab, wie kritisch die betroffenen Daten und Systeme sind, wie lange ein Ausfall toleriert werden kann und welche Ausweichmöglichkeiten bestehen.

Ein angemessenes Vorgehen für den Mittelstand

Für kleine Unternehmen ist ein stufenweises Vorgehen sinnvoll. Zuerst werden Geschäftsprozesse, Systeme, Daten und Verantwortliche erfasst. Anschließend werden Abhängigkeiten und mögliche Ausfallfolgen bewertet. Im dritten Schritt werden vorhandene Maßnahmen gegen die ermittelten Anforderungen gespiegelt.

Die Bewertung sollte mit den betroffenen Fachbereichen erfolgen. Technische Listen allein zeigen nicht, ob ein Ausfall praktisch beherrschbar ist. Ein Gespräch mit der Buchhaltung kann beispielsweise eine andere Kritikalität offenlegen als die reine Inventarliste. Umgekehrt müssen Aussagen zur Sicherheit durch Konfigurationen, Protokolle oder Tests belegt werden.

Als Orientierung können etablierte Methoden genutzt werden. Der IT-Grundschutz des BSI strukturiert Sicherheitsanforderungen in Bausteinen. Der CyberRiskCheck nach DIN SPEC 27076 ist speziell auf kleine und mittlere Unternehmen ausgerichtet. Das NIST Cybersecurity Framework 2.0 ordnet Cyberrisiken unter anderem nach den Funktionen Govern, Identify, Protect, Detect, Respond und Recover. Keine dieser Methoden ersetzt die Anpassung an die konkreten Geschäftsprozesse des jeweiligen Unternehmens.

Ergebnis und Priorisierung

Das Ergebnis muss für Entscheidungen verwendbar sein. Sinnvoll sind eine Übersicht der bewerteten Bereiche, eine Liste kritischer Systeme, eine Risikomatrix und ein Maßnahmenplan. Jede Maßnahme sollte einen Verantwortlichen, ein Ziel, erkennbare Abhängigkeiten und einen nachvollziehbaren Erledigungsnachweis haben.

Die Priorisierung sollte nicht allein nach technischer Auffälligkeit erfolgen. Maßgeblich sind auch die möglichen Auswirkungen auf Umsatz, Vertragserfüllung, Kunden, Datenschutz, Arbeitsfähigkeit und Wiederanlauf. Ein weniger auffälliges System kann geschäftlich wichtiger sein als ein technisch komplexeres System ohne unmittelbare Bedeutung für den Betrieb.

Kurzfristige Maßnahmen können besonders privilegierte Konten, nicht getestete Sicherungen oder veraltete Systeme betreffen. Mittelfristig kommen eine bessere Dokumentation, ein geregeltes Berechtigungsmodell oder ein belastbarer Notfallablauf hinzu. Größere Investitionen sollten erst beschlossen werden, wenn Zielbild, Abhängigkeiten und laufende Folgekosten ausreichend geklärt sind.

Regelmäßige Aktualisierung

Eine IT-Bewertung ist eine Momentaufnahme mit festgelegtem Geltungsbereich. Änderungen an Cloud-Diensten, Personal, Geschäftsprozessen, Lieferanten oder technischen Plattformen können die Einschätzung verändern. Deshalb sollten kritische Punkte regelmäßig und zusätzlich bei wesentlichen Änderungen neu bewertet werden.

Besonders wichtig ist die Überprüfung der Maßnahmen in der Praxis. Eine Sicherung ist nicht allein deshalb verlässlich, weil ein Auftrag erfolgreich beendet wurde. Erst ein dokumentierter Wiederherstellungstest zeigt, ob Daten und Systeme innerhalb der betrieblich erforderlichen Zeit wieder verfügbar gemacht werden können.

Eine IT-Bewertung ersetzt weder eine vollständige Sicherheitsprüfung noch eine Rechtsberatung, Zertifizierung oder forensische Untersuchung. Sie schafft jedoch eine gute Grundlage, um vertiefte Prüfungen gezielt zu beauftragen und deren Ergebnisse in die Unternehmensplanung zu übernehmen.

Beispiel aus der Praxis

Beispiel: Ein Handwerksbetrieb mit 25 Mitarbeitenden nutzt eine Branchenlösung, Microsoft 365 und einen extern betreuten Server. Im Tagesgeschäft funktioniert die IT unauffällig. Die Bewertung zeigt jedoch, dass die Branchenlösung mit Angeboten und Aufträgen von einem einzelnen Administratorkonto abhängt. Die Datensicherung wird zwar täglich gemeldet, eine Wiederherstellung wurde aber noch nicht praktisch geprüft. Außerdem ist nicht dokumentiert, welche Zugänge beim Ausscheiden einer Person zu sperren sind. Der Betrieb priorisiert deshalb ein getrennt geschütztes Administratorkonto, einen dokumentierten und getesteten Wiederherstellungsablauf sowie einen verbindlichen Prozess für Ein- und Austritte. Erst danach wird über einen Servertausch entschieden. Die Bewertung liefert damit keine pauschale Technikempfehlung, sondern eine begründete Reihenfolge für konkrete Verbesserungen.

Chancen für Unternehmen

• Geschäftskritische Systeme und Daten werden sichtbar, sodass Investitionen nachvollziehbarer priorisiert werden können.
• Abhängigkeiten von Einzelpersonen, Dienstleistern und einzelnen Zugangspunkten lassen sich früh erkennen.
• Dokumentierte Zuständigkeiten und Wiederanlaufverfahren können die Reaktionsfähigkeit bei Störungen verbessern.
• Eine strukturierte Bewertung erleichtert die Vorbereitung auf weitergehende Sicherheits-, Kunden- oder Versicherungsanforderungen.

Grenzen und Prüfpunkte

• Eine IT-Bewertung ist nur so belastbar wie ihr Umfang, die Qualität der Angaben und die verfügbaren Nachweise.
• Eine Momentaufnahme beweist nicht, dass Schutzmaßnahmen dauerhaft funktionieren. Konfigurationen und Wiederherstellungen müssen regelmäßig geprüft werden.
• Technische Risiken lassen sich nicht unabhängig vom Geschäftsprozess bewerten. Kritikalität, Ausfalltoleranz und Datenabhängigkeiten müssen mit dem Unternehmen geklärt werden.
• Aus einer Bewertung folgt keine automatische Rechtskonformität, Zertifizierung oder Zusage eines bestimmten Sicherheitsniveaus. Dafür sind der passende Prüfmaßstab und belastbare Nachweise erforderlich.