IT-Sicherheitscheck für kleine Betriebe

Was ein IT-Sicherheitscheck umfasst

Der Begriff ist nicht einheitlich festgelegt. Meist geht es um mehrere Bereiche: Rechner und Geräte, Netzwerk, Datensicherung, Konten und Passwörter, E-Mail, Website und die Mitarbeitenden. Frage jeden Anbieter, welche davon er prüft.

Ein Check zeigt dir den Stand und mögliche Lücken. Er macht deinen Betrieb nicht von selbst sicherer. Das tun erst die Maßnahmen, die du danach umsetzt.

Was Webriegel prüft und was nicht

Webriegel prüft nur öffentlich abrufbare Merkmale deiner Website und die Mail-Einträge deiner Domain im DNS, und zwar von außen. Wir prüfen ohne Angriffe und ohne Lasttests.

Der Kurzcheck liest das Zertifikat, die Weiterleitung auf HTTPS, Sicherheits-Header, die security.txt sowie SPF und DMARC im DNS. Auf der Startseite erkennt er sichtbare Versionen von jQuery, PHP und WordPress. Der Website-Sicherheitscheck geht laut Angebot weiter. Er sieht sich auch Cookies, Software und Versionen, offen liegende Dateien und Zugänge, Formulare und Schlüssel im Browser-Code an und prüft DKIM.

Nicht dazu gehören deine Rechner, dein Netzwerk, deine Datensicherung, deine E-Mail-Postfächer und -Server, deine Konten und Passwörter, deine Mitarbeitenden und das Innere deiner Systeme. Dazu zählen Hosting und CMS-Backend. Ein unauffälliger Webriegel-Bericht sagt dazu nichts.

Wo du den ganzen Betrieb prüfen lassen kannst

Das BSI beschreibt den CyberRisikoCheck nach DIN SPEC 27076 für kleine Unternehmen. Dabei befragt ein IT-Dienstleister dein Unternehmen in einem ein- bis zweistündigen Interview. Geprüft werden 27 Anforderungen aus sechs Themenbereichen. Diese Bereiche sind nicht dieselben wie die Auswahl in unserer Checkliste unten.

Als Ergebnis bekommst du laut BSI einen Bericht mit Punktzahl und, für jede nicht erfüllte Anforderung, einer Handlungsempfehlung nach Dringlichkeit. Frage beim Dienstleister nach Ablauf, Kosten und Qualifikation. Wir geben dazu keine Zusagen.

Checkliste je Bereich

Diese Liste ist eine Orientierung und keine vollständige Prüfung. Die Bereiche sind unsere Auswahl.

Rechner und Geräte

Sind Updates eingespielt und Virenschutz und Bildschirmsperre aktiv? Lass das mit deinem IT-Dienstleister prüfen.

Netzwerk

Wer hat Zugriff auf Router, WLAN und Firewall? Ändere Standardpasswörter mit deinem IT-Dienstleister.

Datensicherung

Gibt es Backups, die vom normalen Netzwerk getrennt sind, etwa nach der Sicherung abgesteckt? Dann kann Schadsoftware sie nicht mitverschlüsseln. Teste regelmäßig, ob sich eine Sicherung zurückspielen lässt.

Konten und Passwörter

Hat jedes Konto ein eigenes, langes Passwort? Nutze, wo möglich, eine zweite Anmeldestufe.

E-Mail

Sind eure Postfächer mit starken Passwörtern, zweiter Anmeldestufe und Spamfilter geschützt? Öffentlich sichtbare DNS-Einträge helfen außerdem gegen gefälschte Absender in deinem Namen: SPF, DKIM und DMARC einrichten.

Website

Von außen prüfbar sind die verschlüsselte Übertragung (HTTPS), Schutzvorgaben für Browser (Sicherheits-Header) und die Kontaktdatei für Sicherheitsmeldungen (security.txt). Nutzt deine Website zum Beispiel WordPress oder PHP, prüfe im System oder Hosting zusätzlich Plugins und PHP-Version. Einen Überblick gibt Schwachstellenanalyse für Websites.

Mitarbeitende

Wissen alle, woran sie Phishing erkennen und wen sie bei Verdacht ansprechen? Lege eine Ansprechperson fest.

Quellen und Stand

Stand: 3. November 2026. Die Anleitung stützt sich auf diese Quellen.

• BSI: CyberRisikoCheck nach DIN SPEC 27076
• BSI: Pressemitteilung zur DIN SPEC 27076 (2023)

So läuft dein Check ab

Du fragst mit der Adresse deiner Website an. Dann bestätigst du den Auftrag und zeigst, dass du die Prüfung beauftragen darfst. Wir prüfen von außen, ohne Angriffe und ohne Lasttests. Du bekommst einen Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.

Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Die Umsetzung kannst du nach dem Bericht gesondert anfragen.