Pragmatisch heißt: Wirkung und Aufwand verstehen
Pragmatisch bedeutet, mit vorhandenen Mitteln eine begründete Verbesserung zu erreichen. Es bedeutet nicht, Risiken kleinzureden oder unbequeme Anforderungen zu ignorieren. Wer kaum Personal hat, muss besonders sauber priorisieren. Die erste Frage lautet deshalb: Welcher Schaden wäre für unseren Betrieb schwer zu verkraften, und welche Schwäche trägt dazu bei?
Eine öffentlich erreichbare, ungepflegte Anwendung kann dringender sein als eine ausführliche neue Richtlinie. Eine nicht getestete Wiederherstellung kann wichtiger sein als das nächste Auswertungswerkzeug. Das sind keine allgemeingültigen Ranglisten: Die konkrete Umgebung entscheidet. In einer Produktion kommen beispielsweise Verfügbarkeit und sichere Betriebszustände hinzu. Ein Eingriff ohne Abstimmung kann selbst einen Ausfall auslösen.
- 01Dringend und wirksam
Hohe mögliche Folgen und eine konkrete Schwäche: zuerst behandeln.
- 02Wirksam, aber aufwendig
Verantwortung und Zwischenmaßnahmen festlegen, Umsetzung planen.
- 03Leicht, wenig wirksam
Nur mitnehmen, wenn nichts Wichtigeres verdrängt wird.
- 04Aufwendig, wenig wirksam
Zurückstellen: Aufwand zuerst dort einsetzen, wo er wichtige Risiken reduziert.
Mein Ausgangspunkt ist einfach: Erst die Scheunentore schließen. Die Farbe der Türklinke lässt sich danach immer noch ausführlich besprechen. Die Bewertung und die Entscheidung gehören trotzdem aufgeschrieben – auch wenn dafür zunächst eine übersichtliche Tabelle reicht.
Mit Geschäftsleistungen statt Gerätelisten beginnen
Wählen Sie zunächst wenige Leistungen aus, deren Ausfall schnell spürbar würde: Aufträge annehmen, produzieren, ausliefern, abrechnen oder Kunden betreuen. Ein Fachverantwortlicher erklärt den Ablauf; die IT ergänzt Systeme und Zugänge. Gemeinsam werden Daten, externe Dienste, Strom, Kommunikation und notwendiges Wissen sichtbar. Eine Inventarliste ist hilfreich, aber erst der Zusammenhang erklärt ihre Bedeutung.
Zu jeder Leistung werden fünf Dinge festgehalten: zuständige Person mit Vertretung, wesentliche Abhängigkeiten, tragbarer Ausfall, benötigte Informationen und mögliche Ersatzverfahren. Die tolerierbare Unterbrechung bestimmt der Fachbereich mit der Leitung. Die IT klärt, ob sie technisch erreichbar ist. Eine gewünschte Wiederanlaufzeit ist noch keine nachgewiesene Fähigkeit.
Auch Cloudangebote und KI-Dienste gehören in diesen Überblick, sobald Arbeit davon abhängt oder Informationen dorthin gelangen. Bei personenbezogenen Daten kommt die Datenschutzperspektive hinzu. Es geht um dieselben tatsächlichen Abläufe, betrachtet mit unterschiedlichen Fragen. Drei getrennte Listen, die niemand miteinander abgleicht, erzeugen vor allem drei verschiedene Wahrheiten.
Zugänge und bekannte Schwachstellen schließen
Prüfen Sie zuerst, welche Dienste von außen erreichbar sind und wer administrative Rechte besitzt. Gibt es alte Fernwartungskonten, ausgeschiedene Beschäftigte, geteilte Administratorzugänge oder unbekannte Freigaben? Nicht mehr benötigte Zugänge werden nachvollziehbar entzogen. Für Administration werden getrennte Konten verwendet. Dienstleister erhalten den Zugriff, den ihre Aufgabe erfordert, mit klarer Freigabe und Überprüfung.
Mehrfaktor-Authentisierung erschwert den Missbrauch eines gestohlenen Kennworts. Besonders wichtig sind E-Mail, Fernzugriff, Cloudverwaltung und privilegierte Konten. Die CISA erläutert den zusätzlichen Schutz durch MFA. Auch Wiederherstellungsverfahren und Ersatzgeräte müssen berücksichtigt werden. Ein gesicherter Zugang, den im Notfall niemand mehr nutzen kann, löst das nächste Problem bereits mit aus.
Für Updates braucht es Verantwortliche, eine Übersicht der betroffenen Systeme und eine Priorisierung. Externe Erreichbarkeit, bekannte Ausnutzung, mögliche Auswirkungen und vorhandene Schutzmaßnahmen beeinflussen die Dringlichkeit. Nach der Installation wird kontrolliert, ob das Update wirksam und der Dienst funktionsfähig ist. Technisch begründete Ausnahmen erhalten einen Termin, eine Zwischenmaßnahme und einen Entscheider. „Später“ ist kein Wartungsfenster.
Backups bis zur nutzbaren Leistung prüfen
Beginnen Sie mit einem konkreten Wiederherstellungstest für eine wichtige Anwendung. Welche Daten, Konfigurationen, Schlüssel, Konten und Lizenzen werden benötigt? Wer darf die Sicherung nutzen, wenn die normale Anmeldung ausfällt? Wie alt dürfen die wiederhergestellten Daten sein? Ein grüner Sicherungsbericht beantwortet diese Fragen nur zum Teil.
- 01Kopie vorhanden
Relevante Daten und Konfigurationen sind gesichert.
- 02Kopie geschützt
Ein Angriff auf den Betrieb erreicht nicht automatisch die Sicherung.
- 03Wiederherstellung gelingt
Zugänge, Technik und Reihenfolge funktionieren.
- 04Fachbereich bestätigt
Die benötigte Leistung ist wieder verwendbar.
Getrennte Berechtigungen, geeigneter Manipulationsschutz und eine vom normalen Betrieb unabhängige Kopie reduzieren gemeinsame Ausfallrisiken. Die passende Ausgestaltung hängt von Umgebung und Schutzbedarf ab. Prüfen Sie außerdem, was der Cloudanbieter tatsächlich sichert und was Sie selbst wiederherstellen können. Synchronisation kann eine Löschung sehr zuverlässig auf alle Geräte verteilen. Das ist zunächst gute Synchronisation, aber noch keine gute Datensicherung.
Der Test endet mit einem dokumentierten Ergebnis: Was wurde hergestellt, wie lange dauerte es, welche Lücke trat auf, wer behebt sie bis wann? Besonders wertvoll ist ein kleiner funktionierender Nachweis. Er zeigt schneller als eine lange Absichtserklärung, ob der Plan trägt.
Ein überschaubarer Start über 30 bis 90 Tage
Der folgende Ablauf ist ein Planungsbeispiel, keine Fristenvorgabe. Ein akutes Risiko kann sofortige Maßnahmen erfordern. Ein aufwendiger Umbau kann länger dauern. Entscheidend ist, dass die Reihenfolge zur Lage passt und nicht aus einem Kalender abgeschrieben wird.
- 01Bis etwa Tag 30
Wichtige Leistungen, Verantwortliche, kritische Zugänge und erste Wiederherstellung prüfen.
- 02Bis etwa Tag 60
Erkannte Lücken schließen, Lieferanten einbeziehen und Meldewege erproben.
- 03Bis etwa Tag 90
Wirksamkeit auswerten, offene Risiken entscheiden und nächste Schritte planen.
Am Anfang stehen kurze Gespräche mit den Fachbereichen und eine begrenzte Liste dringender Maßnahmen. Danach folgen die weniger sichtbaren Abhängigkeiten: Wer liefert Updates? Wer kann bei einem Ausfall helfen? Welche Daten werden extern verarbeitet? Wie erreichen wir den Dienstleister ohne die normale E-Mail? Der Aufbau wird dadurch belastbarer, ohne sofort ein Großprojekt zu werden.
Nach dem ersten Durchlauf schaut die Leitung auf Ergebnisse und offene Entscheidungen. Wo fehlt Budget, wo ein Verantwortlicher, wo ein realistischer Termin? Dieser regelmäßige Blick ist bereits Teil eines Informationssicherheitsmanagementsystems. Er benötigt keine Zertifizierungsabsicht, sondern Verbindlichkeit.
Praxisbeispiel: Ein kleiner Betrieb gewinnt Überblick
Ein fiktiver Handelsbetrieb arbeitet mit Warenwirtschaft, Cloud-E-Mail und einem externen IT-Dienstleister. Die Leitung hält vor allem den Ausfall des lokalen Servers für kritisch. Im gemeinsamen Gespräch zeigt sich: Ohne E-Mail können Aufträge teilweise telefonisch angenommen werden. Ohne Zugriff auf Bestände und Versanddaten steht die Auslieferung dagegen schnell. Außerdem kennt nur eine Person den Wiederherstellungsweg.
Die erste Maßnahmenliste umfasst deshalb einen Restore-Test der Warenwirtschaft, einen geprüften Vertretungszugang und die Absicherung der Fernwartung. Parallel wird ein veralteter Internetdienst aktualisiert. Ein einfaches Papierverfahren hält fest, welche Aufträge im Notbetrieb angenommen wurden. Der Fachbereich prüft, ob diese später vollständig und ohne Doppelbuchungen nachgetragen werden können.
Beim Test fehlt eine Konfigurationsdatei. Das ist unangenehm, aber ein gutes Ergebnis: Die Lücke wird an einem geplanten Termin entdeckt. Nach der Korrektur bestätigt der Fachbereich den Wiederanlauf. Die Leitung kennt jetzt die erreichbare Zeit und die verbleibende Abhängigkeit vom Dienstleister. Es wurde kein zusätzliches Sicherheitsprodukt gekauft. Trotzdem ist die Situation nachweisbar besser.
Verantwortung, Meldewege und Lieferanten klären
Jede Maßnahme braucht eine Person, die die Umsetzung verfolgt. Das kann in kleinen Organisationen dieselbe Person für mehrere Themen sein. Entscheidungen über Budget oder akzeptierte Risiken müssen dennoch bei der dafür zuständigen Leitung liegen. Ein IT-Dienstleister kann beraten und umsetzen; die geschäftlichen Folgen einer Unterbrechung kennt er nicht automatisch besser als der Betrieb.
Beschäftigte brauchen einen einfachen Meldeweg für verdächtige Vorgänge. Das kann ein bekanntes Telefon mit Vertretung sein. Eine Meldung sollte Beobachtung, Zeitpunkt und betroffenes System enthalten. Sie muss kein fertiges Gutachten sein. Wer bei einer Meldung sofort nach Schuld fragt, macht den nächsten Hinweis wahrscheinlich nicht schneller.
Mit wichtigen Lieferanten werden Erreichbarkeit, Zuständigkeit, administrative Zugänge, Vorfallinformation und Datenrückgabe geklärt. Für den Ernstfall gehört eine erreichbare Kontaktliste außerhalb der möglicherweise ausgefallenen Umgebung dazu. Die ausführliche Vorbereitung behandelt die Seite Auf Sicherheitsvorfälle vorbereitet sein.
Wirksamkeit messen und typische Umwege vermeiden
Ein kleiner Satz brauchbarer Kennzahlen reicht zunächst: Wie viele kritische Systeme haben einen Verantwortlichen? Welche dringenden Updates sind überfällig? Welche privilegierten Zugänge sind geprüft? Wann wurde eine wichtige Leistung zuletzt erfolgreich wiederhergestellt? Zu jeder Zahl gehören Umfang und Bedeutung. „95 Prozent gepatcht“ beruhigt wenig, wenn die übrigen fünf Prozent die öffentlich erreichbaren Kernsysteme sind.
Typische Umwege sind Werkzeugkäufe vor der Problembeschreibung, Schulungen als Ersatz für sichere Abläufe und Maßnahmen ohne Abschlusskontrolle. Auch eine immer längere Liste kann Fortschritt vortäuschen. Besser sind wenige erledigte Punkte mit belegter Wirkung und eine ehrliche Darstellung des Rests.
Damit entsteht der PDCA-Regelkreis: planen, umsetzen, prüfen und verbessern. Was einfach anfängt, darf später systematischer werden. Die Verbindung aus Wirkung und Überblick bleibt dabei der Maßstab – auch wenn irgendwann ein Zertifikat an der Wand hängt.
Häufige Fragen
Muss ich vor den ersten Maßnahmen eine vollständige Risikoanalyse erstellen?
Nein. Offensichtliche und erhebliche Schwächen dürfen unmittelbar behandelt werden. Dokumentieren Sie dabei kurz, welches Problem reduziert wird und wer entscheidet. Parallel entsteht ein systematischer Überblick. Bei komplexen Änderungen oder kritischen Prozessen ist eine sorgfältigere Analyse erforderlich, damit die Schutzmaßnahme nicht selbst einen größeren Ausfall verursacht.
Wie viel Budget brauchen wir für den Einstieg?
Eine pauschale Summe wäre wenig belastbar. Ausgangslage, Betriebsgröße, Abhängigkeiten und mögliche Folgen unterscheiden sich stark. Manche Verbesserungen benötigen vor allem Arbeitszeit und klare Zuständigkeiten; andere erfordern Technik oder externe Unterstützung. Beginnen Sie mit den wichtigsten Leistungen und vergleichen Sie die Wirkung konkreter Maßnahmen. Daraus wird ein begründbares Budget.
Reicht unser IT-Dienstleister als Verantwortlicher?
Ein Dienstleister kann wesentliche technische Aufgaben übernehmen. Die Organisation muss trotzdem festlegen, welche Leistungen wichtig sind, welche Risiken akzeptabel erscheinen und wer Entscheidungen trifft. Zuständigkeiten, Nachweise und Eskalationswege gehören gemeinsam vereinbart. Eine Rechnung für IT-Betreuung ist kein vollständiger Nachweis über die Sicherheitslage.
Was tun, wenn ein wichtiges Altsystem nicht aktualisiert werden kann?
Machen Sie die Ausnahme sichtbar und prüfen Sie Erreichbarkeit, Berechtigungen und Abhängigkeiten. Geeignete begrenzende Maßnahmen können Zeit für eine Ablösung schaffen. Sie beseitigen die Schwäche jedoch nicht automatisch. Verantwortliche, verbleibendes Risiko, überprüfbare Zwischenmaßnahmen und ein realistischer Ablöseplan gehören zusammen. Bei Produktionssystemen ist die Betriebssicherheit einzubeziehen.
Wie oft sollten wir die Wiederherstellung testen?
Das Intervall richtet sich nach Bedeutung, Veränderungen und bisherigen Ergebnissen. Kritische Anwendungen und größere Änderungen verdienen besondere Aufmerksamkeit. Kombinieren Sie kleinere regelmäßige Tests mit geplanten Prüfungen vollständiger Abläufe. Entscheidend ist, dass relevante Daten, Zugänge und Abhängigkeiten tatsächlich getestet werden und erkannte Fehler anschließend geschlossen werden.
Brauchen wir dafür ISO 27001 oder ein Zertifikat?
Nein. Ein überschaubares ISMS kann auch ohne Zertifizierung funktionieren. Sie benötigen klare Ziele, Verantwortliche, einen Überblick über Risiken und eine Prüfung der Maßnahmen. ISO 27001 bietet einen strukturierten Rahmen. Ob eine Zertifizierung sinnvoll ist, hängt beispielsweise von Kundenanforderungen, Verträgen und der eigenen Zielsetzung ab.
Woran erkenne ich nach drei Monaten einen wirklichen Fortschritt?
Sie sollten wichtige Abhängigkeiten besser kennen, konkrete Risiken reduziert und mindestens einen relevanten Wiederherstellungsweg geprüft haben. Offene Maßnahmen besitzen Verantwortliche und Termine. Die Leitung kann nachvollziehen, was funktioniert und wo Entscheidungen fehlen. Eine längere Dokumentation allein ist ebenso wenig ein Fortschrittsnachweis wie die Zahl neu beschaffter Werkzeuge.
Quellen und weitere Informationen
Diese Seite erläutert Grundlagen und ersetzt keine rechtliche oder zertifizierungsbezogene Prüfung des Einzelfalls.
Quellenstand: 27. Oktober 2026 · Redaktionell überarbeitet: 27. Oktober 2026