Fast jedes Unternehmen mit mehr als zehn Arbeitsplätzen hat Geräte, von denen niemand so recht weiß, wozu sie dienen, Benutzerkonten von Personen, die bereits ausgeschlossen sind, und eine Sicherheitskopie, die “irgendwie funktionieren müsste”. Eine IT-Audit benötigt keinen externen Berater oder eine Woche Arbeit: Sie braucht eine Liste, zwei bis drei Stunden Zeit und Ehrlichkeit bei den Antworten. Dies ist die Liste, die wir verwenden, wenn wir ein neues Unternehmen betreten. Sie können sie alleine nutzen oder uns bitten, sie gemeinsam mit Ihnen durchzugehen.
Bevor Sie beginnen: Was ist eine IT-Systemaudit
Es ist eine systematische Bestandsaufnahme dessen, was das Unternehmen besitzt (Geräte, Software, Konten, Verbindungen), in welchem Zustand sich dies befindet und was für ein sicheres Arbeiten noch fehlt. Es ist kein technischer Schwachstellenbericht – es ist eine Bestandsaufnahme, die ein Manager lesen kann und die als Grundlage für Investitionsentscheidungen dient. Wenn die Antwort auf eine Frage “ich weiß es nicht” lautet, notieren Sie sie genau so: Das ist die nützliche Information.
1. Geräteinventar
- Liste aller Computer, Laptops, Server, Drucker, Switches, Access Points und Firewalls mit Marke, Modell, Seriennummer und Standort.
- Alter der einzelnen Geräte. Faustregel: Laptops und Arbeitsplätze mit einem Alter von über 5 Jahren sowie Server mit über 6 Jahren sind Kandidaten für einen geplanten Austausch, nicht für dringende Reparaturen.
- Geräte unter Garantie oder mit Hersteller-Supportvertrag — und das Datum, an dem sie ablaufen.
- Ausstattung, die physisch existiert, aber in keiner Liste auftaucht. Sie taucht immer auf.
2. Betriebssysteme und Software
- Betriebssystemversion auf jedem Arbeitsplatz und Server. Arbeitsplätze, die noch mit Windows 10 laufen, erhalten seit Oktober 2025 keine kostenlosen Sicherheitsupdates mehr – erfahren Sie in unserem Artikel, was zu tun ist, über das Ende des Windows 10-Supports.
- Server in nicht unterstützten Versionen (Windows Server 2012 und älter oder 2016 mit Support-Ende im Januar 2027).
- Lizenzierung: Welche Microsoft 365-, Antiviren-, Management-Software- und anderen Lizenzen existieren, wie viele zugewiesen sind und wie viele ungenutzt bezahlt werden.
- Von Benutzern ohne Genehmigung installierte Software (Remoteschwerkzeuge, persönliche Cloud-Dateimanager, Online-Konverter).
Datensicherungen
- Was kopiert wird: Microsoft 365-Server, -Postfächer, -E-Mails und -Dateien, Datenbanken der Verwaltungssoftware.
- Wie oft, wohin und wie viele Versionen gespeichert werden. Wenn es nur eine Kopie im selben Gebäude gibt, gibt es keine Kopie.
- Datum des letzten erfolgreichen Wiederherstellungstests. Wenn dies noch nie durchgeführt wurde, markieren Sie es als den ersten zu lösenden Punkt.
- Wer die Benachrichtigung erhält, wenn eine Kopie fehlschlägt – und ob sie überhaupt jemand liest.
Wenn dieser Block schwache Antworten geliefert hat, fangen Sie hier an: Sehen Sie, wie der Managed Backup mit Wiederherstellungstests.
4. Konten und Zugriffe
- Liste der aktiven Benutzer im Domain und in Microsoft 365. Vergleiche sie mit der Liste der aktuellen Mitarbeiter: Die Unterschiede sind Konten, die heute zu deaktivieren sind.
- Wer Administratorrechte auf den Arbeitsplätzen, den Servern und in Microsoft 365 hat. Es sollte eine kleine und bekannte Anzahl sein.
- Aktive Multifaktor-Authentifizierung für alle Konten mit E-Mail- und Dateizugriff – keine Ausnahmen für das Management.
- Geteilte Konten (das “Empfangskonto”, der “Shop-Benutzer”) und wer weiß schon deren Passwörter.
- Zugriffe externer Lieferanten: Wer betritt Ihr Netzwerk, mit welchen Zugangsdaten und ob dies immer noch erforderlich ist.
5. Netzwerk und Internetverbindung
- Netzwerkplan, selbst wenn er handgezeichnet ist: Wo steht das Rack, welche Switches sind vorhanden, wie kommt das Internet rein und wo läuft das WLAN lang.
- Ein aufgeräumter und beschrifteter Verteilerschrank oder ein Kabelsalat, den niemand anfassen möchte. Die Antwort sagt viel darüber aus, wie lange es dauert, einen Fehler zu beheben.
- Getrenntes Gästenetzwerk vom Firmennetzwerk. Sensible Geräte (Server, Kameras, POS-Terminals) in eigenen Segmenten.
- Internetverbindung: Anbieter, vertraglich vereinbarte Bandbreite, ob es eine zweite Backup-Leitung gibt und wie lange das Unternehmen ohne Internet auskommt.
6. Sicherheit
- Firewall: Marke, Modell, ob sie aktualisiert ist, wer sie verwaltet und wann die Konfiguration zuletzt überprüft wurde.
- Schutz von Endpunkten und Servern: Welches Produkt, ob es auf allen Geräten aktiv ist und wer die Warnmeldungen erhält.
- E-Mail-Schutz vor Phishing und manipulierten Rechnungen – der häufigste Betrugstyp in portugiesischen Unternehmen.
- Vorfall-Reaktionsplan: Wenn ein Arbeitsplatzcomputer am Montag um 9:00 Uhr mit Ransomware verschlüsselt wird, wer tut was in den ersten 30 Minuten?
Um diesen Block zu vertiefen, nutzen Sie unsere Cybersicherheits-Checkliste für KMU.
7. Dokumentation und Verträge
- Administratorpasswörter der Geräte (Firewall, Switches, Server, Router des Betreibers) an einem sicheren und mehr als einer Person bekannten Ort aufbewahrt.
- Laufende Verträge: Internetanbieter, Lizenzen, IT-Support. Fristen, Bindungsfristen sowie was enthalten ist und was nicht.
- Wenn die IT von einem externen Dienstleister betreut wird: Gibt es einen schriftlichen SLA? Wissen Sie, was passiert, wenn er morgen nicht mehr da ist? Schauen Sie, was in einem IT-Vertrag fordern.
8. Personen
- Wer ist der interne Ansprechpartner für die IT und was passiert, wenn er im Urlaub ist.
- Wann war die letzte Sensibilisierungssitzung für Phishing und Sicherheit? Wenn die Antwort “nie” lautet, ist das die günstigste Investition mit der besten Rendite auf der Liste.
- Verfahren für den Eintritt und Austritt von Mitarbeitern: Konten erstellen und deaktivieren, Geräte einsammeln, Zugriffe entziehen.
Was tun mit dem Ergebnis
Ordnen Sie die Mängel in drei Gruppen ein: das, was das Unternehmen dem Risiko eines Stillstands aussetzt (ungetestete Kopien, Server ohne Support, ein einziges Internet), das, was das Unternehmen einem Angriff aussetzt (kein MFA, aktive alte Konten, verwaltungsfreie Firewall) und das, was Geld ohne Gegenwert kostet (überzählige Lizenzen, zu reparierende statt zu ersetzende Geräte). Die ersten beiden Gruppen lassen sich innerhalb von Wochen lösen; die dritte finanziert den Rest. Wenn Sie es vorziehen, dass wir die Bestandsaufnahme gemeinsam mit Ihnen durchführen, ist genau das in unserer IT-Beratung für UnternehmenOrtstermin und schriftlicher Bericht mit Prioritäten vor jeder Angebotserstellung.
Häufig gestellte Fragen
Wie lange dauert eine IT-Auditierung?
Für ein Unternehmen mit 10 bis 50 Arbeitsplätzen dauert die Bestandsaufnahme vor Ort einen halben Tag und der Bericht ist in wenigen Tagen fertig. Unternehmen mit mehreren Standorten oder eigenen Servern benötigen möglicherweise mehr Besuche.
Brauche ich Spezialwerkzeuge?
Nicht für den Anfang. Eine Tabellenkalkulation und Zugriff auf die Geräte genügen. Automatische Inventarisierungswerkzeuge helfen in großen Parks, aber sie ersetzen nicht die Fragen zu Backups, Zugriffsrechten und Verträgen.
Wie oft sollte das wiederholt werden?
Mindestens einmal im Jahr und immer bei einer großen Änderung: Bürosumzug, neue Verwaltungssoftware, Fusion, Ausscheiden des IT-Leiters. Bei einem Managed-IT-Vertrag wird das Inventar kontinuierlich aktuell gehalten.
Ist eine Audifizierung dasselbe wie ein Sicherheitsaudit?
Nein. Ein Sicherheitsaudit (Penetrationstests, Schwachstellenanalyse) ist tiefergehend und technischer. Diese Checkliste ist der vorherige Schritt: zu wissen, was vorhanden ist und in welchem Zustand es sich befindet. Ohne sie bleibt das Sicherheitsaudit unvollständig.
Wollen Sie die Aufstellung von jemandem, der das jede Woche macht?
Visitamos a sua empresa, percorremos esta lista consigo e entregamos um relatório escrito com o que está em risco e por que ordem resolver. Sem compromisso. Veja a nossa IT-Beratung für Unternehmen Oder rufen Sie 211 459 950 an.
