Sicherheit ohne IT-Abteilung — geht das überhaupt?
Die meisten unserer Kunden haben keinen CISO und keine zehn Sysadmins. Trotzdem lässt sich Informationssicherheit strukturiert verbessern — wenn Geschäftsführung und Dienstleister zusammenspielen.
Informationssicherheit klingt nach Serverräumen und Policies in Ordnern. In KMU läuft es anders: Der Geschäftsführer unterschreibt Verträge, eine Bürokraft bestellt Hardware, der externe IT-Dienstleister patcht ab und zu. Das reicht nicht für ISO 27001 — aber für deutlich mehr Schutz als „wir haben eine Firewall“.
Sieben Punkte, die den größten Unterschied machen
- Verantwortung benennen: Wer entscheidet bei einem Vorfall? Nicht „die IT“, sondern eine Person mit Namen.
- Admin-Konten trennen: Niemand arbeitet täglich als Administrator — auch die Geschäftsführung nicht.
- MFA für E-Mail: Der wichtigste einzelne Schritt gegen Account-Diebstahl.
- Backup mit Restore-Test: Nicht nur „wird gesichert“, sondern einmal im Quartal zurückholen.
- Updates planen: Firewall, Server, PCs — feste Wartungsfenster statt „irgendwann“.
- Offboarding: Wenn jemand geht, Zugänge am selben Tag sperren — Checkliste am Schreibtisch.
- Jährlicher Abgleich: CyberRisikoCheck, Cert+ oder ehrliche Bestandsaufnahme mit dem Dienstleister.
Was der Dienstleister liefern sollte
Ein guter IT-Partner dokumentiert Systeme, meldet Schwachstellen verständlich und sagt ehrlich, was nicht im Vertrag steht. Sie sollten jederzeit wissen: Welche Geräte gibt es? Wo liegen Backups? Wer hat welche Rechte?
Als Systemhaus übernehmen wir genau diese Rolle — inklusive Audits nach DIN SPEC 27076 und Securepoint Cert+. Die Checkliste mit 15 Praxispunkten eignet sich zum Selbstcheck vor dem Gespräch.
Keine IT-Abteilung ist kein Alibi für „machen wir nicht“. Es braucht nur Klarheit, Prioritäten und jemanden, der dranbleibt.