Kurz gesagt: Eine IT-Sicherheitsberatung für den Mittelstand beginnt nicht mit einem Produkt, sondern mit einer Bestandsaufnahme: Welche Systeme gibt es, was ist aus dem Internet erreichbar, wer hat welche Rechte. Daraus folgt eine Rangliste nach Risiko, an deren Spitze meist dieselben Maßnahmen stehen: Mehr-Faktor-Anmeldung, geregeltes Patchen, Datensicherung mit Offline-Kopie, Notfallplan und Schulung. Danach geht es an die Architektur und an die Prüfung durch einen Penetrationstest. Eine gute Beratung liefert dabei Berichte, die Ihr Team ohne den Berater weiterführen kann.

Bestandsaufnahme und Prioritäten nach Risiko

Was niemand kennt, wird nicht gepatcht und nicht überwacht. Deshalb steht am Anfang jeder Informationssicherheit-Beratung im Mittelstand eine Aufnahme in drei Teilen:

  • Assets. Assets sind alle Werte, die geschützt werden müssen: Server, Laptops, Netzgeräte, Cloud-Konten, Anwendungen und die Daten darin. Jedes Asset bekommt einen Verantwortlichen und eine Einstufung, wie kritisch es für den Betrieb ist. ISO/IEC 27001:2022 verlangt dafür ein Inventar (Anhang A 5.9).
  • Externe Angriffsfläche. Gemeint ist alles, was aus dem Internet erreichbar ist: Webseiten, Fernzugänge (VPN), Mailserver, Portale und vergessene Testsysteme. Hier setzen Angreifer zuerst an, weil sie dafür keinen Zugang brauchen.
  • Identitäten. Konten von Mitarbeitenden, Administratoren, Dienstleistern und Diensten. Entscheidend ist, wer Administratorrechte hat, welche Konten verwaist sind und wo dasselbe Passwort für mehrere Systeme gilt.

Das Ergebnis ist kein Ordner für das Regal, sondern eine Arbeitsliste. Sie zeigt, wo die wichtigsten Daten liegen und auf welchen Wegen man an sie herankommt.

Prioritäten nach Risiko statt nach Bauchgefühl

Risiko ist die Verbindung aus zwei Fragen: Wie wahrscheinlich ist ein Schaden, und wie schwer wiegt er für den Betrieb. Eine offen erreichbare, ungepatchte Anmeldeseite am Fernzugang wiegt schwerer als eine Lücke in einem isolierten Testgerät. Die Beratung bewertet jeden Befund so und ordnet ihn in eine Reihenfolge, die zu Budget und Personal passt. Für die Geschäftsleitung entsteht daraus eine kurze Übersicht: Risiko, mögliche Wirkung, Maßnahme, Verantwortlicher, Termin.

Die ersten Maßnahmen, die fast immer vorne stehen

Die genaue Rangfolge hängt vom Unternehmen ab. Diese fünf Punkte landen aber in den meisten Bestandsaufnahmen weit oben:

  1. Mehr-Faktor-Anmeldung (MFA). Zum Passwort kommt ein zweiter Nachweis, etwa eine App oder ein Hardware-Schlüssel. Ein gestohlenes Passwort reicht dann allein nicht mehr. Zuerst für E-Mail, Fernzugänge, Cloud-Konten und alle Administratorkonten.
  2. Patch- und Schwachstellenmanagement. Patches sind Sicherheitsupdates der Hersteller. Ein fester Ablauf legt fest, wer sie in welcher Frist einspielt. Regelmäßige Scans zeigen, welche bekannten Lücken noch offen sind, und ob behobene Lücken wirklich geschlossen bleiben.
  3. Datensicherung nach der 3-2-1-Regel. Drei Kopien der Daten, auf zwei verschiedenen Speicherarten, eine davon an einem anderen Ort. Mindestens eine Kopie sollte offline oder unveränderbar sein, damit Erpressungssoftware (Ransomware) sie nicht mitverschlüsseln kann. Entscheidend ist der geübte Rückspielversuch, nicht das Vorhandensein der Sicherung.
  4. Notfallplan. Wer entscheidet im Ernstfall, wer trennt Systeme vom Netz, wer informiert Kunden und Behörden. Der Plan liegt auch auf Papier vor, denn im Ernstfall sind die eigenen Systeme oft nicht erreichbar.
  5. Schulung. Mitarbeitende erkennen Phishing, also gefälschte Mails, die zu Klicks oder Zahlungen verleiten sollen, und wissen, wie sie einen Verdacht melden. Kurze, wiederholte Einheiten wirken besser als eine jährliche Pflichtveranstaltung.

IT-Architekturberatung und Prüfung durch Pentest

Segmentierung und Zero Trust in Klartext

Wenn die Grundlagen stehen, geht es um die Frage, wie weit ein Angreifer kommt, der einmal drin ist. Hier setzt die IT-Architekturberatung an.

  • Segmentierung. Das Netz wird in Zonen geteilt, etwa Büro, Server, Produktion, Gäste und Verwaltung der IT. Zwischen den Zonen regeln Firewalls, welche Verbindungen erlaubt sind. Ein infizierter Laptop im Büro erreicht dann nicht automatisch die Produktionssteuerung. ISO/IEC 27001:2022 fasst das unter Netztrennung (Anhang A 8.22).
  • Zero Trust. Kein Gerät und kein Nutzer gilt automatisch als vertrauenswürdig, auch nicht im Firmennetz. Jeder Zugriff wird nach Person, Gerät und Zweck geprüft, und jeder bekommt nur die Rechte, die er für seine Aufgabe braucht. Zero Trust ist kein Produkt, das man kauft, sondern ein Umbau in Schritten, meist beginnend bei Identitäten und Fernzugängen.

Prüfen statt annehmen: der Penetrationstest

Ob die Maßnahmen tragen, zeigt ein Penetrationstest. Dabei greifen Fachleute Ihre Systeme mit schriftlicher Erlaubnis an wie echte Angreifer und weisen nach, welche Lücken sich wirklich ausnutzen lassen. Ein Schwachstellen-Scan listet bekannte Lücken automatisch auf, der Pentest zeigt den Weg vom ersten Zugang bis zu kritischen Daten. Sinnvoll ist der Test nach den ersten Maßnahmen, damit er neue Befunde liefert statt bekannte zu bestätigen. Ablauf, Prüftiefe und Bericht beschreiben wir auf der Seite Penetrationstest, Orientierung zu Umfang und Kosten im Beitrag Pentest im Mittelstand.

Regulatorische Einordnung: NIS 2 und ISO 27001

Für viele mittelständische Unternehmen ist IT-Sicherheit inzwischen auch eine gesetzliche Pflicht. Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz mit dem neu gefassten BSI-Gesetz (BSIG). Ob ein Unternehmen betroffen ist, entscheiden Sektor und Größe (§ 28 BSIG). Wichtige Einrichtungen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 mit mindestens 50 Beschäftigten oder mit jeweils über 10 Mio. Euro Jahresumsatz und Bilanzsumme. Betroffene müssen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen. Das Gesetz nennt dort unter anderem Risikoanalyse, Bewältigung von Vorfällen, Aufrechterhaltung des Betriebs mit Backup-Management, Schulungen und Mehr-Faktor-Anmeldung. Die Maßnahmen oben sind also keine Kür. Die Geschäftsleitung muss die Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

ISO/IEC 27001:2022 ist dagegen freiwillig. Die Norm beschreibt ein Informationssicherheits-Managementsystem (ISMS), also feste Rollen, Regeln und Abläufe, mit denen ein Unternehmen seine Informationsrisiken steuert. Ein Zertifikat hilft gegenüber Kunden und in Ausschreibungen und deckt große Teile der NIS-2-Anforderungen ab. Den Vergleich beider Regelwerke zeigt der Beitrag ISO 27001 und NIS 2 im Vergleich.

Woran Sie eine seriöse IT-Sicherheitsberatung erkennen

  • Unabhängig vom Produktverkauf. Die Empfehlung folgt dem Risiko, nicht dem Sortiment. Fragen Sie, ob die Beratung an Provisionen für Software oder Geräte gekoppelt ist.
  • Nachvollziehbare Berichte. Jeder Befund mit Nachweis, Schwere, Empfehlung und Bezug zur Norm oder zum Gesetz, dazu eine Zusammenfassung für die Geschäftsleitung.
  • Nachtest. Nach der Behebung wird geprüft, ob die Maßnahme wirkt. Ohne Nachtest bleibt offen, ob die Lücke wirklich zu ist.
  • Klarer Umfang. Ziele, Systeme und Ergebnis stehen vorher schriftlich fest, beim Pentest einschließlich der Freigabe.
  • Übergabe. Am Ende kann Ihr Team die Maßnahmen selbst weiterführen.

Wie GermanAI Defense unterstützt

Wir beginnen mit der Bestandsaufnahme von Assets, externer Angriffsfläche und Identitäten und leiten daraus eine Rangliste nach Risiko ab. Danach begleiten wir die Umsetzung: Schwachstellen-Management, Netzwerksicherheit mit Segmentierung, den schrittweisen Umstieg auf Zero Trust, Awareness-Training über die GAD Academy und Penetrationstests mit Nachtest. Auf Wunsch übernehmen wir SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag. Wir sind selbst nach ISO/IEC 27001:2022 zertifiziert (Zertifikat-Nr. 26052601).

→ Alle Leistungen im Überblick: Cybersecurity Services

→ Betroffenheit und Pflichten prüfen: NIS-2-Beratung

→ Auf dem Weg zum Zertifikat: ISO 27001 Beratung

Quellen

Stand: 28.10.2026. Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.