Die Antwort vorweg: Ein IT-Audit untersucht die gesamte IT-Landschaft — Geräte und Lizenzen, Konten und Zugriffsrechte, Datensicherungen, Netzwerk, E-Mail, Updates, physische Sicherheit und Verträge mit Dienstleistern. Das Ergebnis ist eine nach Risiken geordnete Liste der Feststellungen, kein hundertseitiger Bericht. Ein Penetrationstest geht dagegen in die Tiefe: Er simuliert einen Angriff auf ein konkretes Ziel. In einem Unternehmen, das die Wiederherstellung aus einer Datensicherung nie getestet hat und nicht weiß, wer über ein Administratorkonto verfügt, bestätigt ein Pentest nur teuer, was ohnehin schon bekannt ist. Zuerst kommen Audit und Behebung der grundlegenden Mängel, danach der Pentest.
Mit der Frage „Sollten wir ein Audit durchführen lassen?“ beschäftigen sich kleine Unternehmen meist aus einem unangenehmen Anlass: Ein Kunde hat einen Fragebogen geschickt, die Bank erkundigt sich nach der Cybersicherheit oder jemand im Umfeld wurde von einem Sicherheitsvorfall getroffen. Und das erste Angebot auf dem Tisch ist häufig ein Penetrationstest — schließlich klingt er konkret und messbar.
Das ist jedoch die falsche Reihenfolge. Das Rahmenwerk CIS Controls umfasst achtzehn Bereiche. Die Inventarisierung der IT-Ressourcen ist Control 1, während Penetrationstests erst Control 18 bilden — also den letzten Bereich. In dem Maßnahmenpaket, das CIS als grundlegende Sicherheitshygiene für kleinste Organisationen mit begrenzten Ressourcen bezeichnet (Implementation Group 1, 56 Maßnahmen), ist keine einzige Maßnahme für Penetrationstests enthalten; sie gehören ausnahmslos zu den höheren Gruppen IG2 und IG3. Die folgenden Punkte beschreiben, was bei einem Audit eines Unternehmens mit 5 bis 50 Beschäftigten ohne eigene IT-Abteilung geprüft wird.
IT-Audit vs. Penetrationstest: Worin liegt der Unterschied?
| IT-Audit | Penetrationstest | |
|---|---|---|
| Was wird untersucht? | Die gesamte Unternehmens-IT: Geräte, Lizenzen, Konten, Datensicherungen, Netzwerk, E-Mail, Dienstleister und physischer Zugang | Ein Ziel: externe Angriffsfläche, Webanwendung, internes Netzwerk oder die Widerstandsfähigkeit der Mitarbeitenden gegen Phishing |
| Methode | Inventarisierung, Prüfung der Einstellungen und Gespräche mit den Personen, die das System nutzen | Simulierter Angriff — Schwachstellen werden gesucht und tatsächlich ausgenutzt, um ihre Auswirkungen nachzuweisen |
| Ergebnis | Liste der Feststellungen mit Prioritäten und geschätztem Aufwand für die Behebung | Bericht darüber, was dem Angreifer gelungen ist und auf welchem Weg |
| Wann sinnvoll? | Immer als erster Schritt, danach erneut nach größeren Änderungen | Erst wenn die Grundlagen stimmen und geprüft werden soll, ob sie einem Angriff standhalten |
| Typischer Umfang | In der Breite: alles, was das Unternehmen betreibt | In der Tiefe: ein eng abgegrenztes Ziel, vereinbarte Regeln und ein festgelegtes Zeitfenster |
| Was wird nicht festgestellt? | Ob sich eine konkrete Schwachstelle tatsächlich ausnutzen lässt und wie weit ein Angreifer vordringen kann | Alles außerhalb des vereinbarten Umfangs — fehlende Datensicherungen, auslaufender Support oder das Konto eines ehemaligen Mitarbeiters |
Vereinfacht gesagt beantwortet ein Audit die Frage „Was haben wir hier überhaupt und wo liegen die Probleme?“, ein Pentest dagegen die Frage „Hält diese konkrete Stelle einem echten Angriff stand?“. Die zweite Frage ist erst sinnvoll, wenn die erste beantwortet ist.
Schritt 1: Inventarisierung von Geräten, Software und Lizenzen
Am Anfang steht die Bestandsaufnahme, denn was man nicht kennt, kann man auch nicht schützen. Geprüft wird, wer welchen Laptop nutzt und ob er dem Unternehmen oder der betreffenden Person gehört. Welches Betriebssystem darauf läuft und ob es noch unterstützt wird — der Support für Windows 10 endete am 14. Oktober 2025, und Geräte, die weiterhin damit betrieben werden, erhalten keine Sicherheitsupdates mehr. Wie viele Server vorhanden sind und wo sie stehen. Welche NAS-Systeme, Drucker, Kameras und Router genutzt werden. Was in der Cloud läuft und wer dafür mit seiner Karte bezahlt.
Danach folgen die Lizenzen: Wie viele Microsoft-365-Lizenzen sind vorhanden und wie viele Personen arbeiten tatsächlich im Unternehmen? In kleinen Unternehmen stimmen diese Zahlen fast nie überein — entweder wird noch für Beschäftigte bezahlt, die das Unternehmen vor zwei Jahren verlassen haben, oder jemand arbeitet mit einer persönlichen Lizenz, auf die das Unternehmen keinen Zugriff hat. Die Feststellung hat stets dieselbe Form: Anzahl der Geräte nach Ende des Supports, Zahl der bezahlten Lizenzen im Verhältnis zu den aktiven Nutzern sowie Systeme, auf deren Administration niemand im Unternehmen zugreifen kann.
Schritt 2: Konten und Zugriffsrechte — wer kommt wohin?
In diesem Bereich werden gewöhnlich die meisten Mängel gefunden, während ihre Behebung am wenigsten kostet — meist geht es um Einstellungen, nicht um Neuanschaffungen.
Geprüft wird, wer über Administratorrechte verfügt und ob diese für die tägliche Arbeit tatsächlich benötigt werden oder nur bestehen, weil „der Vorgänger das damals so eingerichtet hat“. Hinzu kommen die Konten von Personen, die nicht mehr im Unternehmen arbeiten: im E-Mail-System, in der Buchhaltung, in der Rechnungssoftware, im Onlineshop, in der Cloud und im VPN. Beim Ausscheiden eines Mitarbeiters wird meist nur die Personal- und Lohnverwaltung berücksichtigt, nicht aber die IT.
Kontrolliert wird außerdem die Multi-Faktor-Authentifizierung (MFA — zusätzlich zum Passwort ist eine zweite Bestätigung erforderlich, typischerweise ein Code aus einer mobilen App), soweit sie kostenlos verfügbar ist: für E-Mail, Cloud, Fernzugriff und Website-Administration. Ebenso wird geprüft, ob Passwörter gemeinsam verwendet werden — ein einziges „Firmenpasswort“ für fünf Personen lässt sich nicht ändern, ohne dass alle davon betroffen sind.
Ein eigenes Kapitel bilden die Konten bei Dienstleistern: Domain, Hosting und DNS. Ist eine Domain auf die private E-Mail-Adresse eines ehemaligen Mitarbeiters oder Dienstleisters registriert, handelt es sich nicht um ein technisches, sondern um ein rechtliches Problem. Wie sich solche Zugänge zurückholen lassen, erläutert der Artikel darüber, was zu tun ist, wenn der IT-Betreuer das Unternehmen verlässt.
Schritt 3: Datensicherungen — gibt es sie, und hat jemand eine Wiederherstellung getestet?
Die Frage lautet nicht „Erstellen Sie Datensicherungen?“ — darauf lautet die Antwort fast immer ja. Die entscheidende Frage ist: Wann hat zuletzt jemand tatsächlich Daten aus einer Sicherung wiederhergestellt und geprüft, ob sie verwendbar sind?
Die Empfehlung von NÚKIB zu Ransomware formuliert die Mindestanforderungen folgendermaßen: die 3-2-1-Regel (mindestens drei Kopien auf zwei unterschiedlichen Geräten, davon eine außerhalb der Organisation), zu jedem Zeitpunkt mindestens eine Offline-Sicherung, ein vorhandener Wiederherstellungsplan und regelmäßige Tests, ob sich die Sicherungen tatsächlich wiederherstellen lassen.
Das Audit stellt deshalb konkrete Fragen. Werden nur Dateien gesichert oder auch die Datenbanken des Buchhaltungssystems und die Serverkonfiguration? Ist das Zielspeichersystem aus demselben Netzwerk und mit demselben Konto erreichbar, das für die tägliche Arbeit verwendet wird? (Falls ja, verschlüsselt Ransomware es zusammen mit dem Rest.) Wie lange werden die Sicherungen aufbewahrt? Angreifer halten sich oft Tage oder Wochen unbemerkt im Netzwerk auf. Eine kurze Aufbewahrungsfrist kann daher dazu führen, dass das Unternehmen auf einen Zustand zurückgesetzt wird, in dem der Angreifer bereits im System war. Und wie lange kann das Unternehmen ohne seine Systeme arbeiten? Erst anhand dieser Antwort lässt sich beurteilen, ob das bestehende Sicherungskonzept ausreicht. Was in den ersten Stunden nach einem Vorfall geschieht, beschreibt der Artikel Ransomware im Unternehmen: die ersten 24 Stunden.
Schritt 4: Netzwerk, Router und WLAN
Der Router oder die Firewall des Internetanbieters bleibt häufig jahrelang unangetastet. Geprüft wird, ob der Hersteller für das jeweilige Modell noch Firmware-Updates veröffentlicht, ob die Administrationsoberfläche aus dem Internet erreichbar ist und ob noch das voreingestellte Passwort verwendet wird.
Danach folgt die Segmentierung, also die Aufteilung des Netzwerks in Bereiche, die nicht miteinander kommunizieren müssen. NÚKIB zählt sie zu den grundlegenden Maßnahmen: In einem „flachen“ Netzwerk, in dem Arbeitsplatzrechner, Server, Drucker und private Mobiltelefone im selben Bereich betrieben werden und einander erreichen können, breitet sich Schadsoftware ungehindert aus. Ein realistisches Minimum sind ein getrenntes Gäste-WLAN und ein eigener Netzwerkbereich für Kameras, Drucker und andere Geräte, die niemand regelmäßig aktualisiert.
Das WLAN-Passwort ist ein eigener Prüfpunkt: Wurde es seit dem Einzug in die aktuellen Geschäftsräume nicht geändert, kennen es sämtliche ehemaligen Beschäftigten und Aushilfskräfte.
Verkabelung, Verteiler und Portbeschriftung werden bei diesem Audit lediglich erfasst; das Vorgehen beschreibt der Artikel über die Prüfung von Computernetzwerk und Verkabelung.
Schritt 5: E-Mail und Domain — SPF, DKIM, DMARC
Drei DNS-Einträge entscheiden darüber, ob beliebige Personen E-Mails im Namen Ihres Unternehmens versenden können:
- SPF legt fest, welche Server E-Mails für Ihre Domain versenden dürfen. Fehlt der Eintrag, kann der Absender von überall aus senden.
- DKIM versieht ausgehende Nachrichten mit einer digitalen Signatur. Der Empfänger prüft sie anhand des öffentlichen Schlüssels in Ihrem DNS und erkennt so, ob die Nachricht auf dem Übertragungsweg verändert wurde.
- DMARC weist den Empfänger an, was mit einer Nachricht geschehen soll, die keine der vorherigen Prüfungen besteht — nichts unternehmen, die Nachricht in Quarantäne verschieben oder sie ablehnen — und kann Berichte über die Absender liefern.
Für eine gefälschte Rechnung „vom Geschäftsführer“ oder eine Aufforderung zur Änderung der Bankverbindung ist kein Einbruch in das Netzwerk erforderlich. Eine unzureichend geschützte Domain genügt. Das Audit prüft diese Einträge und empfiehlt eine Reihenfolge für ihre Einführung, damit legitime E-Mails aus dem Onlineshop oder dem Rechnungssystem weiterhin zugestellt werden.
Schritt 6: Updates, Endgeräteschutz und physischer Zugang
Geprüft wird, ob Updates überhaupt installiert werden und wer dies überwacht. Dabei geht es nicht nur um das Betriebssystem — auch Browser, PDF-Reader, Buchhaltungssoftware, die Firmware von Netzwerkkomponenten und Website-Plugins geraten häufig ins Hintertreffen.
Beim Schutz der Endgeräte wird zwischen einem herkömmlichen Antivirenprogramm (es vergleicht Dateien mit bekannten Mustern) und EDR unterschieden (Endpoint Detection and Response — überwacht zusätzlich das Verhalten und ermöglicht eine nachträgliche Untersuchung der Vorgänge auf einem Gerät). Für ein kleines Unternehmen ist EDR keine Pflicht. Es besteht jedoch ein erheblicher Unterschied zwischen „Wir haben ein Antivirenprogramm“ und „Jemand wertet dessen Meldungen aus“.
Die physische Sicherheit wird häufig übersehen: ein Server in einem unverschlossenen Raum oder unter einer Treppe, eine nie getestete unterbrechungsfreie Stromversorgung (USV), ausgemusterte Festplatten und Laptops, die das Unternehmen verlassen, ohne dass die Daten gelöscht wurden, sowie unverschlüsselte Laufwerke in Geräten, die außerhalb des Unternehmens eingesetzt werden.
Schritt 7: Dienstleister und Verträge
Der letzte Bereich betrifft nicht die Technik, sondern die Abhängigkeiten. Geprüft wird: Gibt es einen schriftlichen Vertrag oder wird alles telefonisch vereinbart? Welche Reaktionszeit wurde für einen Ausfall festgelegt, und ist sie irgendwo dokumentiert? Wer ist als Inhaber der Domain, des Hostings und der Cloud-Tenants eingetragen? Und findet der Geschäftsführer bei Bedarf eine Liste aller Zugänge?
Wird die IT von einem einzigen externen Selbstständigen betreut, ist das an sich kein Problem. Problematisch wird es, wenn diese Person der einzige Ort ist, an dem das gesamte Wissen über die Unternehmens-IT gespeichert ist — und sie dann erkrankt, den Beruf wechselt oder es wegen einer Rechnung zum Streit kommt.
Bei manchen Unternehmen kommt eine gesetzliche Ebene hinzu. Ob Sie von der neuen tschechischen Cybersicherheitsregulierung betroffen sind, erläutert der Text über zákon č. 264/2025 Sb. und NIS2; relevant ist sie auch für Dienstleister von Unternehmen, die unter dieses Gesetz fallen.
Was der Inhaber nach dem Audit tatsächlich in der Hand hat
Ein gutes Audit-Ergebnis für ein kleines Unternehmen ist kein gebundener Bericht mit hundert Seiten, sondern ein Arbeitsmittel, das sich bereits am Montagmorgen nutzen lässt:
- Eine Liste der Feststellungen, jeweils mit einem Satz dazu, was falsch läuft und welche Folgen drohen — ohne Fachjargon.
- Prioritäten: Was sofort behoben werden muss, was innerhalb einiger Wochen erledigt werden sollte und was lediglich für die Zukunft vorgemerkt wird.
- Eine Aufwandsschätzung, anhand derer entschieden werden kann, was sofort umgesetzt wird und was bis zum nächsten Budget warten muss.
- Eine Bestandsaufnahme der Geräte, Lizenzen und Konten — als Tabelle, die anschließend weitergeführt werden kann.
- Antworten auf zwei Fragen: Wie lange dauert die Wiederherstellung des Betriebs aus einer Datensicherung, und wie viele Daten gehen im schlimmsten Fall verloren?
Mit diesen Informationen kann der Inhaber selbst entscheiden, was angeschafft werden soll. Ein Audit, das mit dem Satz „Wir empfehlen eine umfassende Lösung“ endet, hat diese Aufgabe nicht erfüllt.
Wann ein Penetrationstest sinnvoll ist und wann er nur Budget verschwendet
Ein Pentest ist ein nützliches Werkzeug, wenn er an der richtigen Stelle eingesetzt wird. Zum falschen Zeitpunkt ist er eine teure Methode, um das zu erfahren, was bereits bekannt war.
Verschwendetes Budget ist er, wenn:
- keine Bestandsaufnahme der Geräte und Konten vorhanden ist — dem Tester fehlt der Bezugsrahmen für seine Ergebnisse;
- die Wiederherstellung aus einer Datensicherung noch nie getestet wurde — das stellt ein höheres Risiko dar als alles, was der Pentest finden könnte;
- ungepatchte Systeme und Geräte nach Ende ihres Supports bereits bekannt sind — genau das wird der Test feststellen;
- niemand vorhanden ist, der die festgestellten Mängel behebt — der Bericht landet in der Schublade;
- der Test nur wegen eines Kundenfragebogens gekauft wird, ohne dass anschließend etwas geändert werden soll.
Sinnvoll ist er, wenn:
- die grundlegende Sicherheitshygiene umgesetzt ist und unabhängig geprüft werden soll, ob sie standhält;
- eine individuelle Lösung betrieben wird — etwa eine Webanwendung, ein Portal oder ein Onlineshop mit Zahlungsabwicklung — bei der eine Prüfung der Einstellungen nicht ausreicht und Umgehungsmöglichkeiten getestet werden müssen;
- Systeme aus dem Internet erreichbar sind (VPN, Remote Desktop) und Sie wissen möchten, wie weit ein Angreifer von dort aus vordringen kann;
- ein Kunde oder Versicherer den Test verlangt und Kapazitäten für die Behebung der festgestellten Mängel vorhanden sind.
Vor der Beauftragung müssen drei Dinge geklärt sein: Was genau wird getestet? (Adressen, Anwendungen, Umfang), von wo aus? (von außen oder von innen, als befände sich der Angreifer bereits im Netzwerk) und was ist erlaubt? — nur Schwachstellen zu suchen oder sie auch tatsächlich auszunutzen. Die Methodik technischer Sicherheitstests beschreibt NIST im Leitfaden SP 800-115.
Die Kontrollfrage vor der Beauftragung lautet: Wenn mir morgen jemand sagen würde, dass er eingedrungen ist, wüsste ich, über welchen Weg er hineingelangt ist, und hätte ich eine Datensicherung, aus der ich das Unternehmen wiederherstellen könnte? Wer diese Frage mit Ja beantwortet, ist für einen Pentest bereit. Wer sie verneint, spart Geld, indem er mit einem Audit beginnt — und dieses anschließend einmal jährlich wiederholt.
ITHOPE führt in Brno und Umgebung Erstaudits der IT kleiner Unternehmen genau in diesem Umfang durch — dabei werden die oben genannten Punkte 1 bis 7 geprüft, der Zustand der Datensicherungen einschließlich einer testweisen Wiederherstellung kontrolliert und eine nach Prioritäten geordnete Liste der Feststellungen übergeben. Informationen zur anschließenden IT-Betreuung und Datensicherung sowie zu weiteren Leistungen finden Sie im Bereich IT für Unternehmen. Ergibt das Audit, dass ein Penetrationstest sinnvoll ist, sagen wir Ihnen das — und ebenso offen, wenn er nicht sinnvoll ist.
Quellen
- The 18 CIS Critical Security Controls — Reihenfolge der Bereiche im Rahmenwerk v8.1.
- CIS Controls Implementation Group 1 — 56 Maßnahmen der grundlegenden Sicherheitshygiene für Organisationen mit begrenzten Ressourcen.
- CIS Control 18: Penetration Testing (v8.1) — Zuordnung der Maßnahmen zu den Gruppen IG2 und IG3.
- NÚKIB: Ransomware — doporučení pro mitigaci, prevenci a reakci (v1.2, 22. 5. 2023) — 3-2-1-Regel, Offline-Sicherung, Wiederherstellungstests und Segmentierung.
- Microsoft Lifecycle: Windows 10 Home and Pro — Supportende am 14. Oktober 2025.
- NIST SP 800-115: Technical Guide to Information Security Testing and Assessment — Testmethodik.
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).