Erst sehen. Dann handeln.
Ein Betrieb mit zehn Mitarbeitern und gewachsener IT weiß selten, ob die Sicherung im Ernstfall zurückspielt. Das lässt sich prüfen — in zehn Werktagen, für 890 €.
Warum das selten geprüft ist
Kein VorwurfNicht aus Nachlässigkeit. Sondern weil niemand dafür zuständig ist: Der Steuerberater macht die Bücher, der Hardware-Händler den Rechner, der Website-Mensch die Seite. Die Verbindung dazwischen prüft keiner.
Drei von vier
Betrieben aus meiner Prüfung im Oktober 2026 (vier Betriebe) fehlt ein DMARC-Eintrag. Ohne ihn kann jeder Mails in Ihrem Namen verschicken — Rechnungen zum Beispiel.
Die Sicherung, die nicht zurückspielt
„Wir sichern täglich" ist die häufigste Antwort. Ob die Sicherung zurückspielt, weiß fast niemand — weil es nie probiert wurde. Das prüfe ich.
Zugänge, die niemand mehr kennt
Der ehemalige Mitarbeiter, das alte Handy, das freigegebene Konto. Rechte, die niemand zurückgeholt hat, sind der ruhigste Weg in ein fremdes Postfach.
Was geprüft wird
Sieben Punkte| Punkt | Was angesehen wird |
|---|---|
| E-Mail-Absender | SPF, DKIM, DMARC — kann jemand in Ihrem Namen schreiben, und landet Ihre eigene Mail im Spam? |
| Zertifikate und Server | Verschlüsselung, Ablaufdaten, offene Türen nach außen, veraltete Software. |
| Software-Stand | Betriebssystem, Browser, Büroprogramme — was ist seit Monaten nicht aktualisiert? |
| Zugänge und Rechte | Wer hat Zugang wozu, wie viele Konten gibt es, wer hat Rechte, die er nicht braucht. |
| Sicherung | Läuft sie? Wohin? Und zurückspielen: schon einmal probiert — mit Datum und Ergebnis? |
| Datenschutz-Minimum | Verarbeitungsverzeichnis, Auftragsverarbeitung, Löschfristen — nur der Stand, keine Rechtsberatung. |
| Notfallblatt | Eine Seite zum Aushängen: wen rufen, was abschalten, was nicht tun. |
5 Stunden Arbeit, 45 Minuten Besprechung, Ergebnis in zehn Werktagen.
Der Befund, den Sie in der Hand haben
Ampel statt GutachtenKein Bericht mit 40 Seiten, den niemand liest. Eine Liste, in der jede Zeile sagt: was ist, warum es zählt, was zu tun ist — mit Ampel grün, gelb, rot und in der Reihenfolge, in der es sich lohnt.
Der Befund ist so geschrieben, dass Sie ihn der Geschäftsführung, dem Steuerberater oder der Bank vorlegen können. Und so, dass ein anderer Dienstleister danach weiterarbeiten kann.
Wenn Sie es gemacht haben wollen
Härtung, 4.900 €| Maßnahme | Ergebnis |
|---|---|
| Passwortverwaltung | Jeder Zugang ein eigenes, starkes Passwort — verwaltet, nicht auf Zetteln. |
| Zwei-Faktor überall | Wo es geht, eingeschaltet und eingerichtet, inklusive der Ausnahmen, die bleiben müssen. |
| Absenderprüfung | SPF, DKIM und DMARC eingerichtet — inklusive der Frage, was mit fremden Absendern passiert. |
| Sicherung mit Probe | Eingerichtet und einmal zurückgespielt, mit Datum und Ergebnis im Bericht. |
| Rechte bereinigt | Konten, Rollen und Freigaben auf den Stand gebracht, der gebraucht wird. |
| Schulung | Eine Stunde mit den Mitarbeitern: was Phishing ist, was man nicht anklickt, wen man anruft. |
| Notfallplan | Eine Seite zum Aushängen — und ein Ablauf, den man einmal geübt hat. |
Der Sicherheits-Check ist enthalten. IT-Sicherheit ist im Digitalbonus Bayern förderfähig: bis 50 %, Standard bis 7.500 € — damit bleiben 2.450 € Eigenanteil.
Schon passiert: Bei drei Betrieben habe ich befallene Seiten aufgeräumt: Casino-Spam und Schadsoftware entfernt, Zugänge bereinigt, gehärtet. Namen nenne ich nicht — wer betroffen war, soll nicht auf einer Verkaufsseite als Opfer stehen. Im Gespräch sage ich, welche Branchen es waren.
Danach: der Wächter
Laufende KontrolleEin Check ist ein Foto. Der Website-Wächter ist die Kamera: Er prüft monatlich von außen, ohne Zugang und ohne Installation. Der Netzwerk-Wächter braucht ein Gerät in Ihrem Netz — das stelle ich hin, Sie stecken es nur ein.
| Option | Was geprüft wird | Einrichtung | Monatlich |
|---|---|---|---|
| Website-Wächter kein Zugang nötig | Erreichbarkeit, Zertifikat, Sicherheits-Header, Software-Versionen, offen liegende Dateien, SPF/DKIM/DMARC, extern geladene Dienste, Veränderungen an der Startseite. | 390 € | 149 € |
| Netzwerk-Wächter Agent im Netz | Geräte und neue Teilnehmer, offene Türen nach außen, Zertifikate, E-Mail-Absender, letzte Sicherung, Update-Stand. | 890 € | 290 € |
| Beide | Innen und außen in einem Bericht. | 990 € | 399 € |
Externe Sicherheitsüberwachung kostet am Markt 200 bis 500 € im Monat. Der Website-Wächter läuft ab dem ersten Tag. Alle Beträge Endpreise nach § 19 UStG.
Was ich nicht tue
Vier Sätze| Nicht enthalten | Warum nicht |
|---|---|
| Werkzeuge verkaufen | Ich verkaufe keine Lizenzen und bekomme keine Provision. Sonst wäre die Empfehlung nichts wert. |
| Wiederherstellung garantieren | Eine Sicherung ist erst gut, wenn das Zurückspielen geübt ist. Ich prüfe es einmal — garantieren kann ich es nicht. |
| Rechtsberatung | Datenschutz prüfe ich auf Vollständigkeit, nicht auf Rechtmäßigkeit. Dafür gibt es Anwälte. |
| Rund-um-die-Uhr-Notdienst | Ich bin ein Ein-Mann-Betrieb. Wenn Sie einen Notdienst brauchen, sage ich das früh, damit Sie jemanden finden. |
Fragen, die kommen
Fünf AntwortenWas kostet der Sicherheits-Check?
890 €, fünf Stunden Arbeit, Ergebnis in zehn Werktagen. Enthalten sind die technische Prüfung, der schriftliche Befund mit Ampel, die priorisierte Maßnahmenliste und 45 Minuten Besprechung.
Muss ich danach die Härtung kaufen?
Nein. Der Check steht für sich. Viele Betriebe arbeiten die Liste mit ihrem bisherigen Dienstleister ab oder selbst. Die Härtung (4.900 €) ist für die, die es gemacht haben wollen statt vor sich herzuschieben.
Brauche ich dafür Zugänge?
Für den Check genügt, was von außen sichtbar ist, plus ein Gespräch über Zugänge, Rechte und Sicherung. Für die Härtung brauche ich Zugang zu den Systemen, auf denen gearbeitet wird.
Ist das förderfähig?
Die Härtung ja — IT-Sicherheit ist im Digitalbonus Bayern ausdrücklich förderfähig, bis 50 % und bis 7.500 € (Standard). Der Check allein liegt unter der Mindestausgabe von 4.000 € und ist daher nicht förderfähig.
Verkaufen Sie mir dabei Software?
Nein. Kein Werkzeugverkauf, keine Provision, keine Empfehlung, an der ich verdiene. Ich sage, was fehlt und in welcher Reihenfolge es zu tun ist — entscheiden tun Sie.