Die meisten Sicherheitsvorfälle in kleinen und mittleren Unternehmen entstehen nicht durch raffinierte Angriffe, sondern durch bekannte Lücken, die niemand geschlossen hat. Ein vergessenes Admin-Konto, ein Server zwei Patch-Stände hinter aktuell, eine Firewall-Regel von vorgestern. Wer seine eigene IT nicht regelmäßig prüft, erfährt von diesen Lücken oft erst dann, wenn jemand anderes sie zuerst gefunden hat. Genau hier setzen IT-Sicherheitsaudit und Schwachstellenscan aus der Cybersecurity und Datensicherung von Netzleiter an.

Drei Begriffe, die gerne verwechselt werden

In Gesprächen mit Geschäftsführern fällt auf, dass Audit, Scan und Penetrationstest häufig in einen Topf geworfen werden. Sie beantworten aber unterschiedliche Fragen.

Ein Sicherheitsaudit ist eine strukturierte Bestandsaufnahme. Es prüft Ihre IT gegen Richtlinien, bewährte Methoden und gegebenenfalls Compliance-Vorgaben. Im Audit geht es um Organisation und Prozesse, nicht nur um Technik. Sind Verantwortlichkeiten geklärt, gibt es ein Berechtigungskonzept, werden Backups getestet, existiert ein Notfallplan.

Ein Schwachstellenscan ist die automatisierte technische Prüfung. Spezialisierte Scanner klopfen Systeme, Dienste und Software auf bekannte Verwundbarkeiten ab und gleichen sie mit Schwachstellendatenbanken ab. Der Scan ist breit und schnell, liefert aber Rohbefunde, die noch bewertet werden müssen.

Ein Penetrationstest geht einen Schritt weiter. Hier versucht ein Mensch gezielt, gefundene Schwachstellen tatsächlich auszunutzen, so wie ein Angreifer es täte. Der Pentest ist tiefer, aufwändiger und teurer, dafür belegt er, was eine Lücke real bedeutet.

Kriterium	Sicherheitsaudit	Schwachstellenscan	Penetrationstest
Frage	Halten wir uns an Vorgaben?	Wo sind bekannte Lücken?	Lässt sich die Lücke ausnutzen?
Methode	Prüfung gegen Richtlinien	automatisiert, werkzeuggestützt	manuell, kreativ, gezielt
Tiefe	organisatorisch und technisch	breit, technisch	tief, exemplarisch
Aufwand	mittel	gering bis mittel	hoch
Ergebnis	Reifegrad und Lücken	Befundliste mit Risiko	belegter Angriffsweg
Turnus	jährlich	quartalsweise bis monatlich	jährlich oder anlassbezogen

In der Praxis greifen die drei ineinander. Der Scan findet die Verdachtsfälle, der Pentest verifiziert die kritischen davon, das Audit ordnet alles in Prozesse und Verantwortung ein.

Was tatsächlich geprüft wird

Ein belastbarer Schwachstellenscan deckt zwei Perspektiven ab. Extern wird geprüft, was vom Internet aus sichtbar ist, also Firewall, VPN-Gateways, Mail-Server, Webauftritt und alle offenen Ports. Intern wird das eigene Netz aus Sicht eines bereits eingedrungenen Angreifers oder eines kompromittierten Mitarbeitergeräts betrachtet.

Konkret schauen wir unter anderem auf:

Patch-Stand von Betriebssystemen, Servern, Netzwerkgeräten und Drittsoftware
Konfigurationen von Firewall, Switches, WLAN und Cloud-Diensten wie Microsoft 365
Berechtigungen, also wer auf was zugreifen darf, verwaiste Konten, übermäßige Admin-Rechte
Backup und Wiederherstellung, inklusive der Frage, ob ein Restore jemals getestet wurde
Zugänge aus dem Remote-Arbeitsplatz, Mehr-Faktor-Authentifizierung, exponierte Fernwartung
Awareness, also wie geübt das Team im Erkennen von Phishing und Social Engineering ist

Der technische Befund allein bringt wenig. Erst die Bewertung im Kontext Ihres Unternehmens macht daraus eine Entscheidungsgrundlage.

So läuft ein Sicherheitscheck ab

Wir arbeiten in vier nachvollziehbaren Schritten, damit der laufende Betrieb möglichst ungestört bleibt.

Scoping. Wir klären gemeinsam, welche Systeme, Standorte und Cloud-Dienste in den Prüfumfang fallen, wann geprüft wird und welche Zugänge wir brauchen. Ein klar abgegrenzter Scope verhindert Überraschungen und schützt produktive Systeme.
Durchführung. Externe und interne Scans laufen, Konfigurationen werden gesichtet, das Audit folgt einer Checkliste. Zeitfenster für lastintensive Prüfungen stimmen wir vorher ab.
Reporting. Sie erhalten einen verständlichen Bericht, in dem jede Schwachstelle nach Risiko eingestuft ist, von kritisch bis niedrig. Maßgeblich sind Eintrittswahrscheinlichkeit und möglicher Schaden, nicht die schiere Menge an Befunden.
Maßnahmenplan. Aus den Befunden wird eine priorisierte Liste mit konkreten Schritten, geschätztem Aufwand und Verantwortlichkeit. Sie wissen danach, was zuerst zu tun ist und was warten kann.

Der Unterschied zwischen einem nützlichen und einem nutzlosen Bericht liegt in der Priorisierung. Eine Liste mit 300 Befunden ohne Reihenfolge erzeugt nur Lähmung. Zehn klar gewichtete Maßnahmen bringen Sie tatsächlich voran.

Compliance-Bezug

Regelmäßige Sicherheitsprüfungen sind in mehreren Regelwerken verankert. Die folgenden Zusammenhänge ordnen wir mit mittlerer Vertrauensstufe ein, der konkrete Pflichtumfang ist im Einzelfall zu prüfen.

NIS2 verlangt von betroffenen Organisationen ein Risikomanagement, das die Wirksamkeit der Maßnahmen bewertet. Audit und Scan liefern dafür den Nachweis. ISO 27001 fordert im Rahmen des Informationssicherheits-Managements interne Audits und einen kontinuierlichen Verbesserungsprozess. Der BSI IT-Grundschutz sieht ebenfalls eine regelmäßige Prüfung der umgesetzten Bausteine vor. Ob und in welchem Umfang diese Vorgaben für Ihr Unternehmen gelten, hängt von Branche, Größe und Lieferkette ab und sollte juristisch geklärt werden.

Wichtig für die Praxis: Ein Audit ersetzt keine Zertifizierung, aber es ist die übliche Vorstufe. Wer später eine ISO-27001-Zertifizierung anstrebt, beginnt sinnvoll mit einer Bestandsaufnahme.

Häufige Fragen

Wie oft sollte ein KMU prüfen lassen?

Ein vollständiges Sicherheitsaudit empfiehlt sich einmal jährlich. Schwachstellenscans laufen idealerweise quartalsweise oder monatlich, weil täglich neue Lücken bekannt werden. Nach größeren Änderungen wie einer Cloud-Migration oder einem neuen Standort ist eine zusätzliche Prüfung sinnvoll.

Stört ein Scan den laufenden Betrieb?

In aller Regel nicht. Standardscans sind so eingestellt, dass sie Systeme nicht überlasten. Lastintensive Prüfungen oder Penetrationstests legen wir in abgestimmte Zeitfenster, oft außerhalb der Geschäftszeiten.

Brauchen wir Audit, Scan und Penetrationstest gleichzeitig?

Nein. Für die meisten KMU sind regelmäßiger Scan plus jährliches Audit die solide Basis. Ein Penetrationstest lohnt sich für besonders schützenswerte Systeme oder als Nachweis gegenüber Kunden und Versicherungen.

Was kostet uns das Nichtstun?

Ein erfolgreicher Ransomware-Angriff bedeutet Tage bis Wochen Stillstand, Wiederherstellungskosten und möglichen Datenverlust. Eine wiederkehrende Prüfung kostet einen Bruchteil davon und verschiebt die Wahrscheinlichkeit deutlich zu Ihren Gunsten.

Wie Netzleiter prüft

Netzleiter prüft die IT-Sicherheit von kleinen und mittleren Unternehmen in Hamburg und der Metropolregion. Wir kombinieren externe und interne Schwachstellenscans mit einem strukturierten Audit gegen anerkannte Sicherheitsstandards und liefern Ihnen am Ende keine Rohdaten-Wüste, sondern einen priorisierten Maßnahmenplan, den Sie verstehen und abarbeiten können.

Unser Anspruch bleibt derselbe wie im Betrieb: schnell, sicher, störungsfrei. Wir prüfen so, dass Ihr Tagesgeschäft weiterläuft, und wir benennen klar, was kritisch ist und was Zeit hat. Auf Wunsch setzen wir die empfohlenen Maßnahmen anschließend gleich mit um, von der Patch-Routine bis zur Härtung der Konfiguration.

Das Sicherheitsaudit ist Teil der Cybersecurity und Datensicherung, einen Überblick über alle Tätigkeitsfelder von Netzleiter finden Sie unter Leistungen. Wenn Sie wissen möchten, wo Ihre IT heute steht, vereinbaren Sie über Kontakt ein erstes Gespräch.

Beratung: Vertrieb 040 20 94 97 67, vertrieb@netzleiter.com. Support: 040 25 499 500, support@netzleiter.com.