IT-Sicherheitszone: Die Checkliste für Geschäftsführer
Ohne Technikwissen festlegen, wie lange Ihr Betrieb ohne IT auskommt – und dabei ein paar Dinge erledigen, die nichts kosten und sofort wirken.
Von Wladimir Belger, Geschäftsführer STE IT Service GmbH · 7. November 2026 · Quellen siehe unten
Öffnungszeiten: 24/7 an 365 Tagen im Jahr
Bedrohungen auch. Wir sind vorbereitet – sind Sie es auch?
Die meisten IT-Entscheidungen scheitern nicht an der Technik, sondern an einer einfachen Frage, die nie gestellt wurde: Wie lange hält Ihr Betrieb eigentlich durch, wenn etwas ausfällt? Ob ein Server doppelt ausgelegt sein muss, ob ein Ersatzgerät im Schrank liegt oder ob eine Wiederherstellung am nächsten Tag reicht, folgt aus genau dieser Antwort. Und die kann nur die Geschäftsführung geben.
Deshalb haben wir die IT-Sicherheitszone entwickelt: ein Blatt mit einem Augenzwinkern und eine Checkliste, die Sie in zehn Minuten ausfüllen – ohne ein einziges Fachwort. Das Ergebnis nehmen wir als Grundlage für Ihre IT-Entscheidungen.
Unser Tarif
Die günstigsten Sicherheitsmaßnahmen kosten nichts. Die teuerste ist die, die man sich spart.
Die 0-€-Liste: Das kann jeder ab heute
Zehn Dinge für alle im Team. Kein Budget, keine Software, kein Techniker – nur Gewohnheit.
Bildschirm sperren
Wer aufsteht, drückt Windows-Taste + L. Sonst schreibt der Kollege in Ihrem Namen die Rundmail „Ich gebe morgen Frühstück aus“ – und das ist noch der harmlose Fall.
Das BSI empfiehlt außerdem eine automatische Sperre nach fünf Minuten ohne Eingabe.
Lang statt kompliziert
„123456“ war auch 2025 das beliebteste Passwort in Deutschland. Platz zwei: „123456789“. Kreativ ist anders.
Besser: mehrere zufällige Wörter aneinanderreihen und für jedes Konto ein eigenes Passwort. Ein Passwortmanager merkt sich den Rest.
Zweiten Faktor einschalten
Ein Passwort allein ist wie eine Haustür mit Schloss, aber ohne Tür.
Für E-Mail, Microsoft 365, Online-Banking und alle Portale mit Firmendaten. Viele Dienste bieten die Funktion an, haben sie aber ab Werk ausgeschaltet.
Erst denken, dann klicken
Anhänge und Links sind härter als Ihre Neugier. Klicken Sie nichts an, was Sie nicht erwartet haben.
Absender genau ansehen, mit der Maus über den Link fahren, im Zweifel beim Absender anrufen – mit der Nummer, die Sie schon kennen.
Melden statt löschen
Wer früh meldet „Ich habe da draufgeklickt“, ist kein Petzer, sondern der Held des Tages.
Eine verdächtige E-Mail an die IT weiterzuleiten kostet zehn Sekunden. Ein unbemerkter Vorfall kostet Tage.
Updates heute, nicht „später“
„Später installieren“ ist keine Strategie, sondern ein Hobby.
Updates zeitnah zulassen und den Rechner mindestens einmal pro Woche richtig neu starten, damit sie auch wirken.
Fundsachen nicht einstecken
Der USB-Stick vom Parkplatz ist kein Geschenk, sondern ein Köder.
Fremde Datenträger nicht anschließen, sondern abgeben. Gilt auch für das „vergessene“ Ladekabel im Besprechungsraum.
Passwörter bleiben geheim
Nicht im Chat, nicht in einer E-Mail, nicht auf einem Post-it.
Und niemals am Telefon: Ihre IT fragt Sie nie nach Ihrem Passwort. Wer danach fragt, ist nicht Ihre IT.
Hintergrund prüfen
Das Team-Foto für Social Media ist schön. Das Post-it mit dem WLAN-Schlüssel dahinter auch – für Angreifer.
Vor Fotos, Videos und Videokonferenzen kurz prüfen, was im Bild ist: Notizen, Bildschirme, Whiteboards.
Ordnung in der Ablage
„Irgendwo im Share“ ist keine Ortsangabe.
Klare Ordner und Freigaben: Wer braucht was? Was nicht jeder braucht, sieht auch nicht jeder.
Acht Regeln, die nur die Geschäftsführung einführen kann
Ebenfalls kostenlos. Sie brauchen nur eine Entscheidung und eine Rundmail.
Rückruf-Regel für Zahlungen
Bei der „Chef-Masche“ (CEO-Fraud) geben sich Betrüger als Geschäftsführung oder Lieferant aus und drängen zu einer eiligen, vertraulichen Überweisung. Inzwischen auch mit nachgeahmter Stimme.
Regel festlegen: Neue Bankverbindung oder ungewöhnliche Zahlung nur nach Rückruf über eine Nummer aus den eigenen Unterlagen – nie über die Nummer aus der E-Mail. Dazu das Vier-Augen-Prinzip und gern ein internes Codewort.
Notfallzettel auf Papier
Ihre Notfallnummern liegen auf dem Server? Der ist im Ernstfall verschlüsselt. Mit den Nummern drauf.
Eine Seite ausdrucken: IT-Dienstleister, Geschäftsführung, Bank, Versicherung, wichtige Kunden und Lieferanten. In die Schublade, nicht in die Cloud.
Offboarding am letzten Tag
Ehemalige Mitarbeitende, die noch Zugriff auf Ihr Postfach haben, sind keine Fans – sondern ein Risiko.
Konten am letzten Arbeitstag sperren, Schlüssel, Karten und Token zurücknehmen, gemeinsam genutzte Passwörter ändern.
Admin ist kein Alltagskonto
Wer mit Administratorrechten im Internet surft, gibt jedem Schadprogramm gleich den Generalschlüssel mit.
Für E-Mail und Internet ein normales Konto nutzen, Administratorrechte nur für Verwaltungsaufgaben.
Gäste ins Gast-WLAN
Der Besucher darf Ihren Kaffee trinken, aber nicht in Ihrem Firmennetz surfen.
Ein getrenntes Gast-WLAN ist bei den meisten Geräten schon vorhanden und muss nur eingeschaltet werden.
Werkspasswörter ändern
Drucker, Kameras, Router: „admin/admin“ kennen Angreifer auch.
Voreingestellte Passwörter bei allen Geräten ändern – das BSI nennt das ausdrücklich als ersten Prüfpunkt von Angreifern.
Eine Frage zum Backup
Backup täglich, Test monatlich. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung.
Fragen Sie Ihre IT: „Wann haben wir zuletzt erfolgreich wiederhergestellt – und wie lange hat es gedauert?“ Die Antwort gehört in Ihre Checkliste.
Serverraum ist kein Lager
Kaffee im Serverraum: Ihr Problem. Kartons, Weihnachtsdeko und Wasserkocher auch.
Tür zu, abschließen, nichts Brennbares lagern. Wer keinen Schlüssel braucht, hat keinen.
Haftungsausschluss
Wir übernehmen keine Haftung für:
- Passwörter wie 123456 – Ihre Schuld
- USB-Sticks vom Parkplatz – auch Ihre Schuld
- Kaffee im Serverraum – Ihr Problem
- Datenverlust ohne Backup – Sie wissen, warum
- „Später installieren“ seit drei Monaten – mutig
- Post-it „Passwort: Sommer2026!“ am Monitor – kreativ, aber nein
- Eilige Gutscheinkarten-Bitte vom „Chef“ per E-Mail – wir sagen nur: Rückruf
- „Ich bin doch nur ein kleiner Unternehmer, warum ich?“ – haben wir gesagt
Wir wünschen einen sicheren Tag!
Die IT-Sicherheits-Checkliste
Sie beantworten nur eine Frage pro Zeile: Wie lange darf dieser Bereich höchstens ausfallen? Ohne Fachbegriffe, ohne richtig oder falsch. Ihre Angaben bleiben in Ihrem Browser; nichts wird gespeichert oder übertragen.
Lieber auf Papier? IT-Sicherheitszone und Checkliste als PDF herunterladen (2 Seiten, A3), ausdrucken, ankreuzen und beim nächsten Termin mitbringen.
Was wir aus Ihren Kreuzen machen
Fachleute nennen Ihre Antwort die maximal tolerierbare Ausfallzeit, für die Technik daraus die Wiederanlaufzeit (englisch RTO). Für Sie genügt: Je kürzer die Zeit, desto mehr muss vorab vorbereitet sein.
| Ihre Antwort | Was das für die IT bedeutet |
|---|---|
| 4 Stunden | Der Bereich muss weiterlaufen oder sehr schnell zurück sein: doppelt ausgelegte Systeme oder Hochverfügbarkeit, Ersatzgerät vor Ort, Ersatzleitung fürs Internet, vertraglich festgelegte Reaktionszeiten und ein geübter Ablauf. |
| 8 Stunden | Wiederherstellung am selben Arbeitstag: getestete Backups mit kurzer Rücksicherungszeit, Überwachung, damit Störungen früh auffallen, und ein klarer Ansprechpartner. |
| 3 Tage | Solide Grundabsicherung reicht: regelmäßiges Backup, dokumentierter Wiederanlauf, Ersatz kann bei Bedarf beschafft werden. |
Die erste Frage – wie lange Ihr Unternehmen einen kompletten Umsatzausfall verkraftet – legt den Rahmen fest. Sie zeigt, wie viel Vorsorge wirtschaftlich sinnvoll ist. Spannend wird es dort, wo Antworten nicht zusammenpassen: Wenn die Warenwirtschaft nach vier Stunden laufen muss, die Wiederherstellung aus dem Backup aber drei Tage dauert, liegt genau da Ihr wichtigster nächster Schritt. Die Online-Auswertung weist Sie auf solche Stellen hin.
Wichtig: Die Checkliste ersetzt keine Risikoanalyse. Sie ist der Einstieg in ein Gespräch, in dem aus Ihren Prioritäten ein Plan mit Maßnahmen und Kosten wird. Mehr zum Hintergrund finden Sie bei Cyber-Resilienz & Business Continuity und, falls Ihr Unternehmen betroffen ist, bei der NIS2-Beratung.
In drei Schritten zur Entscheidung
- Checkliste ausfüllen
Online oder auf Papier, in rund zehn Minuten. Gern auch gemeinsam mit Ihren Abteilungsleitern.
- Gespräch mit Wladimir Belger
Wir gehen Ihre Antworten durch, fragen nach, wo es nötig ist, und gleichen sie mit Ihrer bestehenden IT ab.
- Maßnahmenplan mit Prioritäten
Sie erhalten eine verständliche Übersicht: was zuerst, was es bringt, was es kostet. Die Entscheidung bleibt bei Ihnen.
Häufige Fragen
Brauche ich technisches Wissen, um die Checkliste auszufüllen?
Nein. Sie beantworten nur, wie lange Ihr Betrieb ohne einen Bereich auskommt. Das wissen Sie als Geschäftsführer besser als jeder Techniker. Die Übersetzung in Technik übernehmen wir.
Was passiert mit meinen Angaben?
Nichts, solange Sie es nicht wollen. Die Online-Checkliste läuft nur in Ihrem Browser und speichert oder überträgt nichts. Erst wenn Sie auf „Per E-Mail an uns senden“ klicken, öffnet sich Ihr E-Mail-Programm mit dem Ergebnis – absenden entscheiden Sie selbst.
Was ist, wenn ich überall „4 Stunden“ ankreuze?
Dann ist das eine ehrliche Antwort, und wir nehmen sie ernst. Sehr kurze Ausfallzeiten für alle Bereiche bedeuten allerdings mehr Technik und mehr Kosten. Im Gespräch legen wir deshalb gemeinsam fest, wo es wirklich auf Stunden ankommt und wo ein Tag reicht.
Ersetzt die Checkliste eine Risikoanalyse oder die NIS2-Pflichten?
Nein. Sie ist der Einstieg und eine gute Entscheidungsgrundlage für die nächsten Schritte. Wer unter NIS2 fällt, braucht ein umfassenderes Risikomanagement – siehe unsere Seite zur NIS2-Beratung.
Quellen
- ZDFheute: „123456“ beliebtestes Passwort der Deutschen (Auswertung des Hasso-Plattner-Instituts für 2025)
- BSI: Der Ändere-dein-Passwort-Tag braucht ein Update (Pressemitteilung, 30.01.2026)
- BSI: Umgang mit Passwörtern (Bildschirmsperre, voreingestellte Passwörter)
- BSI: Zwei-Faktor-Authentisierung
- BSI: Social Engineering – der Mensch als Schwachstelle (u. a. CEO-Fraud)
- BSI: Deepfakes – Gefahren und Gegenmaßnahmen (Stimmfälschung beim CEO-Fraud)
- BSI: Wertvolles Motiv – Fotos und Videos am Arbeitsplatz
- IHK Bayreuth: IT-Security-Tipp CEO-Fraud (Rückruf und schriftliche Rückfrage)
Recherchestand: 7. November 2026. Die humorvollen Formulierungen sind bewusst überspitzt; die Empfehlungen dahinter sind ernst gemeint.
Sprechen Sie gleich mit Wladimir Belger
Damit aus einem USB-Stick kein IT-Krimi wird. Bringen Sie Ihre ausgefüllte Checkliste mit – oder füllen Sie sie im Termin mit uns aus.