Org.1 (TOP)
Benannte Verantwortliche
Es muss eine benannte, für IT-Sicherheit verantwortliche Person geben — auch wenn das die Inhaberin oder ein externer IT-Dienstleister ist. Anonyme Verantwortung scheitert am ersten BSI-Prüfpunkt.
DIN SPEC 27076 · BSI-konform · KMU
DIN SPEC 27076
Readiness-Assessment
Die pragmatische Cybersicherheits-Baseline für KMU in Deutschland. Schnell und ressourcenschonend — strukturiert nach dem BSI-CyberRisikoCheck. Kein CISO erforderlich.
- 27 FragenAssessment
- ~15 Min.Dauer
- KMUGeltungsbereich
Für wen es gilt
- Deutsche kleine und mittlere Unternehmen (KMU) — typischerweise unter 50 Beschäftigte, anwendbar bis ~250
- Organisationen, die einen BSI-CyberRisikoCheck durch einen registrierten IT-Dienstleister vorbereiten
- Lieferanten, die Enterprise-Kunden oder Versicherern Basis-Cybersicherheits-Hygiene nachweisen
In der Regel nicht im Geltungsbereich
- Großunternehmen mit reifem ISMS — diese sollten direkt auf ISO 27001 oder NIS2 Art. 21 abzielen.
Schlüsselartikel und Klauseln in Klartext
Die fünf Punkte, die Auditoren und Aufsichtsbehörden zuerst prüfen.
IAM.3 (TOP)
MFA für Fernzugriff
MFA für E-Mail, Cloud, VPN und alle aus dem Internet erreichbaren Systeme. Die wirkungsvollste Einzelmaßnahme für KMU gegen Zugangsdaten-Angriffe.
BAK.2 + BAK.3 (TOP)
Getrennte, getestete Backups
Backups müssen offline oder off-site gespeichert sein, und ein echter Restore-Test muss in den letzten 12 Monaten erfolgt sein. Ein nie wiederhergestelltes Backup ist eine Annahme, keine Maßnahme.
PCM.1 (TOP)
30-Tage-Patch-Fenster
Sicherheits-Updates auf Servern, Arbeitsplätzen und Netzgeräten innerhalb von 30 Tagen — primäre Verteidigung gegen Ransomware-Eintritt.
NET.4 (TOP)
Gehärteter Fernzugriff
VPN, RDP und Cloud-Admin mit starker Authentifizierung und Beschränkung auf benannte Nutzer. Exponiertes RDP bleibt der häufigste Eintrittsvektor für KMU-Ransomware in Deutschland.
Was dieses Assessment abdeckt
6 Themenbereiche · 27 Fragen zur Selbstbewertung.
- Domäne 01
Organisation & Sensibilisierung
Der BSI-CyberRisikoCheck beginnt mit organisatorischen Maßnahmen — dokumentierte Verantwortlichkeiten, schriftliche Sicherheitsleitlinie, jährliche Mitarbeiter-Schulung und vertragliche Pflichten externer IT-Dienstleister. Diese fünf Punkte zeigen, ob Sicherheit gesteuert oder informell ist.
- Domäne 02
Identitäts- & Zugriffsmanagement
IAM umfasst Passwort-Politik, MFA, Konto-Lifecycle und Trennung privilegierter Konten. Vier von fünf Anforderungen sind BSI-TOP — Nichterfüllung signalisiert ein gravierendes, vorrangiges Risiko.
- Domäne 03
Datensicherung
Geprüft wird, ob Backups existieren, getrennt vom Produktivsystem gespeichert und durch echte Wiederherstellung getestet sind. Zwei von drei Anforderungen sind TOP — ein nie getestetes Backup ist im Ransomware-Fall wertlos.
- Domäne 04
Patch- & Änderungsmanagement
Geprüft wird, wie schnell Sicherheitsupdates eingespielt werden, ob ein Software-Inventar existiert und ob Infrastrukturänderungen dokumentiert werden. Ungepatchte Systeme sind der häufigste KMU-Eintrittsvektor — und der vermeidbarste.
- Domäne 05
Schadsoftware-Schutz
Endpoint-Schutz, E-Mail-Filterung und Regeln für externe Speichermedien. Endpoint-Schutz ist TOP — sein Fehlen ist eine grundlegende, inakzeptable Lücke.
- Domäne 06
IT-Systeme & Netzwerk
Firewall, WLAN-Sicherheit, Segmentierung, Fernzugriff, MDM und Notfallreaktion. Acht Anforderungen — fünf TOP — die zeigen, ob die Infrastruktur das Geschäft schützt oder freilegt.
Warum der CyberRisikoCheck zählt — Ihr Proof of Commitment
Entwickelt von einem Konsortium aus fast 20 Partnern unter Leitung des BSI und des BVMW, ist der CyberRisikoCheck mehr als ein technischer Scan. Ein 1- bis 2-stündiges Interview deckt 27 Anforderungen in sechs Themenbereichen ab und liefert einen objektiven Bericht mit Risk-Score und priorisierten Maßnahmen — ein glaubhafter „Proof of Commitment“ für jeden Stakeholder.
Gegenüber Behörden (NIS2 & CRA)
Auf BSI-Standards aufgebaut und eine anerkannte Norm, dokumentiert der Bericht, dass Sie Risiken aktiv erkennen und managen — eine belastbare Basis, während NIS2 und der Cyber Resilience Act die Pflichten verschärfen.
Gegenüber Cyber-Versicherern
Versicherungsexperten (eine GDV-Tochter) haben die Norm mitgestaltet, sodass Versicherer Ihr Risiko anhand des standardisierten Berichts objektiv einschätzen. Ein guter Score — oder der Nachweis, dass Sie Lücken schließen — kann Prämien verbessern oder Versicherbarkeit erst ermöglichen.
Gegenüber Management & Inhabern
Die Geschäftsführung trägt die Gesamtverantwortung für die Informationssicherheit. Der Check belegt, dass diese Sorgfaltspflicht durch eine professionelle Bestandsaufnahme erfüllt wurde, und liefert eine neutrale, externe Begründung für das IT-Budget.
Als Türöffner für Fördermittel
Viele Programme (KfW-ERP-Kredite, regionale Digitalisierungszuschüsse) verlangen einen Nachweis, dass eine Investition notwendig ist. Der Bericht dient als dieser „Proof of Necessity“ — er zeigt, welche Lücken bestehen und warum die Förderung nötig ist.
Häufigste Audit-Stolperfallen
- Den BSI-Check als Papier-Übung zu behandeln — Prüfer prüfen die operative Realität, nicht nur den Wortlaut.
- Backups, die während eines Ransomware-Angriffs mit dem Produktivnetz verbunden sind und mitverschlüsselt werden.
- MFA auf der Firmen-E-Mail, aber nicht auf der Cloud-Admin-Konsole — eine offene Seitentür.
Häufig gestellte Fragen
Es ist ein strukturierter Selbst-Check, keine formale Zertifizierung. Durchgeführt von einem BSI-registrierten IT-Dienstleister erzeugt er einen dokumentierten Befund, nutzbar für Versicherer, Kunden-Due-Diligence und als Roadmap.
Typisch zwei halbtägige Workshops vor Ort oder remote — einer zur Aufnahme, einer zur Befunddurchsprache und Maßnahmenplan. Kleinere Organisationen schließen in einem halben Tag ab.
Nein. Dieses Online-Assessment ist eine strukturierte Selbstbewertung, die den DIN-SPEC-27076-Fragenkatalog nachbildet. Der offizielle Check muss von einem registrierten Dienstleister durchgeführt werden; dieses Assessment hilft bei der Vorbereitung.
TOP-Anforderungen sind vom BSI als höchstprioritäre Maßnahmen ausgewiesen. Eine nicht erfüllte TOP-Anforderung signalisiert ein gravierendes, unmittelbares Risiko, das vorrangig zu beheben ist.
Ja — mehrere Bundesländer fördern über go-digital und ähnliche Programme 50–80 % der Kosten, wenn ein akkreditierter Berater den Check durchführt.
Sie erhalten ein nach BSI-Risikogewichtung priorisiertes Lückenregister, einen Maßnahmenplan und optional einen Folge-Workshop nach Umsetzung zur Verifikation der Schließung.
Starten Sie Ihr DIN SPEC 27076 Assessment
27 Fragen · ~~15 Min. · Scorecard auf Basis Ihrer Antworten. Ohne Anmeldung starten.