Cybersecurity-Audit KMU
Ein Cybersecurity-Audit für KMU, das in einem Massnahmenplan endet.
Ein Sicherheitsaudit für KMU ist nur dann etwas wert, wenn es in priorisierte Massnahmen mündet. Die KMU-Sicherheitsgrundlage prüft Identitäten und Zwei-Faktor-Authentifizierung, E-Mail und Domain (SPF, DKIM, DMARC), kritische SaaS und Berechtigungen, Backups, Geräte, Lieferanten und die Vorbereitung auf Vorfälle. Sie endet mit priorisierten Befunden und einem Massnahmenplan nach Zeithorizont. Ab CHF 990, auf Offerte; weder Penetrationstest noch Zertifizierung.
Geprüft am von Danilson Ramos · Version 1.0
Was Sie heute schon tun können (kostenlos)
- Aktivieren Sie die Multi-Faktor-AuthentifizierungZuerst für E-Mail und Administratorkonten.
- Sichern Sie regelmässigUnd testen Sie eine Wiederherstellung: Ein nie wiederhergestelltes Backup bleibt eine Annahme.
- Installieren Sie UpdatesSysteme, Anwendungen, Netzwerkgeräte.
- Seien Sie bei ungewöhnlichen E-Mails vorsichtigBesonders bei Zahlungsaufforderungen, geänderten Bankangaben oder Code-Anfragen.
- Verwenden Sie sichere PasswörterEinmalig, in einem Passwortmanager verwaltet.
Was Sie vermeiden sollten
- Kaufen Sie keinen Werkzeugkatalog, bevor Sie wissen, was Sie wirklich exponiert.
- Verwechseln Sie eine ausgefüllte Checkliste nicht mit Konformität oder Zertifizierung.
- Führen Sie keinen aktiven Test an einem System ohne schriftliche Berechtigung seines Eigentümers durch.
Wann ein Audit sinnvoll ist
- Nach einem Vorfall, um zu wissen, was noch exponiert ist.
- Bevor Sie einen Sicherheitsfragebogen eines Kunden oder Versicherers beantworten.
- Die Zwei-Faktor-Authentifizierung ist nicht überall aktiv.
- Backups wurden nie wirklich wiederhergestellt.
- Niemand weiss genau, wer wofür Administrator ist.
- Das Unternehmen wächst und Zugriffe wurden laufend vergeben.
Die legitimen Wege
Die ersten Schritte des BACS
Fünf Grundmassnahmen für Unternehmen: Multi-Faktor-Authentifizierung, Backups, Updates, Vorsicht bei ungewöhnlichen E-Mails, sichere Passwörter.
Der IKT-Minimalstandard
Allen Organisationen als Leitfaden empfohlen; verbindlich nur in bestimmten Sektoren (Strom, Gas). Das BACS ist seit März 2024 dafür zuständig.
NIST CSF 2.0 und CIS Controls v8.1
Die internationalen Rahmenwerke, die die Beurteilung strukturieren — ohne Zertifizierung.
Wann eine Fachperson hilft
- Sie haben intern keine Sicherheitskompetenz.
- Sie wollen eine von Ihrem IT-Dienstleister unabhängige Sicht.
- Sie müssen mit begrenztem Budget priorisieren.
- Ein Kunde oder Partner verlangt Nachweise Ihrer Massnahmen.
KMU-Sicherheitsgrundlage
Die KMU-Sicherheitsgrundlage
ab CHF 990
Eine vertrauliche Anfrage, ein schriftlicher Umfang und ein Festpreis vor jeder Arbeit. Die Beurteilung erfolgt hauptsächlich aus der Ferne, mit Lesezugriffen oder gemeinsamen Sitzungen — nie mit Passwörtern per E-Mail.
- Prüfung von Identitäten und Zugriffen, Abdeckung der Zwei-Faktor-Authentifizierung
- Schutz der geschäftlichen E-Mail, Domain und DNS (SPF, DKIM, DMARC)
- Konfiguration kritischer SaaS und Administratorrechte
- Backups: bereit für eine echte Wiederherstellung?
- Geräteverwaltung, Lieferantenrisiken, Vorbereitung auf Vorfälle
- Priorisierte Befunde mit Risikokontext und Massnahmen
Grenzen
- Kein Penetrationstest: Ein aktiver Test braucht unterzeichnete Rules of Engagement und eine separate Offerte.
- Keine Zertifizierung und keine Konformitätsbestätigung.
- Die Befunde hängen von den gewährten Zugriffen und Informationen ab; was nicht geprüft wurde, wird genannt.
- Die Behebung wird separat offeriert.
- Kein Penetrationstest
- Keine Zertifizierung oder Konformitätsbestätigung
- Behebung separat offeriert
Häufige Fragen
Ist das ein Penetrationstest?
Nein. Die Grundlage ist ein Review von Konfiguration und Organisation. Ein Penetrationstest braucht unterzeichnete Rules of Engagement, einen genauen Umfang und eine separate Offerte.
Erhalten wir eine Zertifizierung?
Nein. Das Ergebnis ist ein Bericht mit priorisierten Befunden und ein Massnahmenplan. Keine Checkliste ersetzt eine Zertifizierung.
Wie lange dauert es?
Das hängt von Grösse und Anzahl Systeme ab; die Frist steht im Angebot, nach realer Kapazität.
Was brauchen Sie von uns?
Eine befugte Person, Lesezugriffe oder gemeinsame Sitzungen mit Ihrem Administrator und die Liste Ihrer kritischen Werkzeuge. Keine Geheimnisse per E-Mail.