CyberRisikoCheck nach DIN SPEC 27076. Danach wissen Sie, wo Sie stehen.
Mit dem CyberRisikoCheck nach DIN SPEC 27076 wissen Sie in zwei bis drei Wochen, wo Ihr Betrieb bei der IT-Sicherheit angreifbar ist und was zuerst zu tun ist. Sie haben einen schriftlichen Bericht mit Risikoeinstufung und einer Reihenfolge, die Sie mit Ihrem IT-Dienstleister abarbeiten können. Als Festpreis, ohne IT-Vorkenntnisse.
Was Sie danach in der Hand haben
Nach dem Check raten Sie nicht mehr, ob und wo Ihr Betrieb angreifbar ist. Sie haben drei Dinge, mit denen Sie entscheiden und handeln können.
Schriftlicher Ergebnisbericht
Risikoeinstufung nach DIN SPEC 27076 — schwarz auf weiß, nicht im Kopf.
Priorisierte Maßnahmenliste
Was zuerst, was kann warten, was ist unkritisch — am Risiko geordnet.
Belastbare Grundlage
Für Budget, Geschäftsführung und Fördermittel (MID NRW).
2–3 Wochen vom Erstgespräch bis zum Bericht
Kleine Unternehmen bis ca. 50 Mitarbeitende (bis 250 möglich) ohne strukturierte Sicherheitsbewertung
Risikoeinstufung nach BSI-Standard + priorisierte Handlungsempfehlungen
Geschäftsführung & IT-Leitung gemeinsam, 90 Min Interview
Für wen der Check passt
- ＋Kleine Unternehmen bis ca. 50 Mitarbeitende (auch bis 250 sinnvoll) ohne bisherige strukturierte Sicherheitsbewertung.
- ＋Unternehmen, die NIS‑2-Pflichten einschätzen oder erfüllen müssen.
- ＋Geschäftsführer, die persönliche Haftungsrisiken verstehen wollen.
- ＋Unternehmen vor Abschluss oder Prüfung einer Cyberversicherung.
- ＋Jedes Unternehmen, das wissen will: Wo sind wir heute angreifbar?
- −Sie sind bereits nach ISO 27001 zertifiziert oder haben ein aktuelles Sicherheits-Audit — dann bringt der Check wenig Neues.
- −Sie brauchen ein Testat oder Zertifikat für Kunden oder Versicherer. Der CyberRisikoCheck ist eine Standortbestimmung, kein Zertifikat.
- −Sie stecken gerade in einem Sicherheitsvorfall. Dann brauchen Sie Forensik und Incident Response — nicht eine Bestandsaufnahme.
- −Sie wollen nur ein Häkchen für den Förderantrag. Das trage ich nicht mit.
Was der Check prüft: sechs Themenbereiche, 27 Anforderungen
Organisatorisch und technisch — genau so, wie die DIN SPEC 27076 es vorgibt. Jede der 27 Anforderungen wird im strukturierten Interview erhoben, bewertet und im Bericht priorisiert.
Organisation & Sensibilisierung
Verantwortung · Awareness · Notfall
Wer trägt IT-Sicherheit im Unternehmen? Wie geschult sind Mitarbeitende, wie gut werden Phishing-Versuche erkannt? Wer wird im Ernstfall informiert?
Identitäts- & Berechtigungsmanagement
Wer darf was
Intern und extern: Berechtigungen, Multi-Faktor-Authentifizierung, Lifecycle. Häufigste Lücke im Mittelstand.
Datensicherung
Backup · Recovery
Wie wird gesichert? Wie schnell ist eine Wiederherstellung — und wann wurde sie zuletzt getestet?
Patch- & Änderungsmanagement
Aktualität · kontrollierte Änderungen
Wer ist verantwortlich? Welche Systeme bleiben hinten dran? Wie werden Änderungen kontrolliert eingeführt?
Schutz vor Schadprogrammen
Virenschutz · E-Mail · Browser
Wie werden Schadprogramme abgewehrt — auf den Rechnern, im E-Mail-Eingang, im Browser? Und wer merkt es, wenn doch etwas durchkommt?
IT-Systeme & Netzwerke
Firewall · Segmentierung · Konfiguration
Wie ist das Netzwerk aufgebaut? Welche Übergänge sind kontrolliert? Sind Systeme sicher konfiguriert und Daten verschlüsselt?
Ablauf in drei Schritten
-
01
Erstgespräch
Kostenfrei, ohne Vorbereitung. Wir klären, ob der CyberRisikoCheck zu Ihrer Situation passt — und was Sie konkret erwartet.
20 Min · Telefon oder Video
-
02
Strukturiertes Interview
Ein geführtes Gespräch nach DIN SPEC 27076. Keine Fragebögen, keine Technik-Überflutung. Ich frage, Sie antworten — ich übersetze das in eine Sicherheitsbewertung.
90 Min · semistrukturiertes Leitfadeninterview
-
03
Ergebnisbericht & Nachgespräch
Sie erhalten einen schriftlichen Bericht: Bewertung, Risikoeinstufung, priorisierte Maßnahmen. Wir besprechen ihn gemeinsam. Was Sie danach tun, entscheiden Sie.
Bericht + Nachgespräch · in der Regel 2–3 Wochen ab Erstgespräch
IT-Security ist kein Technik-Thema.
Sondern Strukturfrage.
IT-Security wird häufig als technisches Thema verstanden. In der Praxis entscheiden nicht Tools über Sicherheit — sondern Struktur, Verantwortung und Einordnung.
Der CyberRisikoCheck nach DIN SPEC 27076 ist ein Analyseverfahren aus dem vom BMWK geförderten Projekt „mIT Standard sicher“, entwickelt unter anderem mit dem BSI, gedacht für kleine Unternehmen bis ca. 50 Mitarbeitende — und auch bis 250 Mitarbeitende sinnvoll anwendbar. Er schafft eine strukturierte, nachvollziehbare Bewertung — ohne IT-Vorwissen, ohne Wochenprojekt.
Das Ergebnis: Ein klares Bild Ihrer Sicherheitslage. Priorisierte Handlungsempfehlungen. Ein Dokument, das Sie intern weiternutzen können.
Typische Befunde aus der Praxis
Nicht weil diese Unternehmen nachlässig sind — sondern weil IT-Sicherheit im Alltag zwischen Betrieb, Zeitdruck und fehlendem Fachwissen oft liegen bleibt.
Passwort-Richtlinien ohne Durchsetzung
Passwörter
Was ich in Prüfungen immer wieder sehe: Eine Passwort-Richtlinie gibt es, durchgesetzt wird sie selten. Multi-Faktor-Authentifizierung ist die Ausnahme, nicht die Regel, auch für administrative Zugänge.
Das Passwort „Sommer2024!“ schützt Ihr Unternehmen nicht. Es gibt Angreifern nur etwas mehr Zeit.
Backups, die nie getestet wurden
Backup
Ein Backup gibt es fast immer. Getestet wurde der Restore selten. Der Unterschied ist der zwischen einer Versicherungspolice und einer, die im Schadensfall auch zahlt.
Ein Backup das nie getestet wurde ist kein Backup — es ist ein gutes Gefühl mit unbekanntem Ablaufdatum.
Blindes Vertrauen in Tools
Firewall & Virenschutz
Firewall und Virenschutz sind notwendig — aber kein Sicherheitskonzept. In der Praxis ersetzen sie häufig das Nachdenken über Architektur, Segmentierung und Verantwortlichkeiten.
Eine Firewall schützt Sie vor dem, was sie kennt. Alles andere kommt trotzdem durch.
Keine strukturierte Mitarbeitersensibilisierung
Awareness
Technische Maßnahmen fangen viel ab — aber nicht alles. Der Mensch bleibt der häufigste Einfallsweg. In den meisten KMU gibt es keine strukturierte Awareness: keine Schulung, kein Test, keine Routine.
Ihre Firewall hat noch nie auf einen Phishing-Link geklickt. Ihre Mitarbeitenden schon.
Genau diese Muster macht der CyberRisikoCheck nach DIN SPEC 27076 sichtbar — strukturiert, priorisiert, ohne IT-Vorkenntnisse.
Preis und Aufwand
Festpreis statt Stundenabrechnung. Die Tabelle dient der sachlichen Orientierung — beide Pakete enthalten das volle Interview, den schriftlichen Bericht und ein Ergebnisgespräch.
| Leistung | Basis | Plus |
|---|---|---|
| Erstgespräch | ✓ kostenfrei | ✓ kostenfrei |
| Analyse-Interview (90 Min.) | ✓ enthalten | ✓ enthalten |
| Auswertung & Risikoeinstufung nach DIN SPEC 27076 | ✓ enthalten | ✓ enthalten |
| Schriftlicher Ergebnisbericht | ✓ enthalten | ✓ enthalten |
| Ergebnisgespräch | ✓ enthalten | ✓ enthalten |
| Priorisierter Maßnahmenplan | — | ✓ enthalten |
| Vertiefendes Nachgespräch | — | ✓ enthalten |
| Festpreis netto | 800 € | 1.200 € |
Hinweis auf verfügbare Förderprogramme (BAFA, Landesprogramme) im Abschlussbericht enthalten, soweit anwendbar.
Förderung: bis zu 50 % über MID-Digitale Sicherheit
Für KMU mit Sitz in Nordrhein-Westfalen ist die strukturierte Ist-Analyse als Schwerpunkt A über MID-Digitale Sicherheit förderfähig. 50 % Förderquote, maximal 15.000 € pro Vorhaben.
Wichtig: Auftragnehmer und Auftraggeber müssen unterschiedlich sein. Ich übernehme die Ist-Analyse — den Antrag stellen Sie selbst. Eine antragsfertige PDF-Vorlage schicke ich Ihnen kostenfrei zu.
Kontinuität statt Einmal-Beratung. Je nach Zusammenarbeit stehen Orientierung, Dokumentation und der aktuelle Stand zusätzlich über das Service-Cockpit zur Verfügung.
Häufige Fragen
01 Brauche ich IT-Vorkenntnisse? +
Nein. Das Interview ist so aufgebaut, dass ich die technische Übersetzung übernehme. Sie antworten auf konkrete Fragen zu Ihrer Organisation — ich bewerte die Sicherheitslage daraus.
02 Wie lange dauert das? +
In der Regel zwei bis drei Wochen von Erstgespräch bis Bericht. Terminierung und Durchführung lassen sich in einem Tag bündeln. Das strukturierte Interview selbst dauert 90 Minuten.
03 Ist das ein Penetrationstest? +
Nein. Der CyberRisikoCheck ist eine strukturierte Sicherheitsbewertung — organisatorisch und technisch. Kein Angriffssimulations-Test. Er ist breiter angelegt und für KMU ohne großes IT-Budget konzipiert.
04 Gilt das für NIS-2? +
Der Check ist kein NIS‑2-Audit. Er deckt jedoch viele der relevanten Bereiche ab und kann als Grundlage für NIS‑2-Maßnahmen dienen. Was danach zu tun ist, besprechen wir im Nachgespräch — mehr Details zur Compliance-Triade.
05 Was passiert mit den Informationen? +
Das Interview wird nicht aufgezeichnet. Alle Informationen werden vertraulich behandelt. Der Bericht gehört Ihnen.
06 Was kostet der CyberRisikoCheck? +
Zwei Festpreis-Pakete: Basis 800 € netto (Interview, Auswertung, Bericht, Ergebnisgespräch). Plus 1.200 € netto (zusätzlich priorisierter Maßnahmenplan und vertiefendes Nachgespräch). Das Erstgespräch ist immer kostenfrei. Für KMU in NRW ist der Check über MID-Digitale Sicherheit zu 50 % förderfähig.
07 Für welche Unternehmen ist der Check gedacht? +
Die DIN SPEC 27076 ist für kleine Unternehmen bis ca. 50 Mitarbeitende gedacht — auch bis 250 Mitarbeitende ist sie sinnvoll anwendbar. Besonders lohnend vor einer NIS-2-Bewertung, vor dem Abschluss einer Cyberversicherung oder zur Klärung persönlicher Haftungsrisiken der Geschäftsführung.
08 Gibt es so einen Check nicht auch kostenlos? +
Kostenlose Selbsttests im Internet zeigen, was Unternehmen allgemein tun sollten. Der CyberRisikoCheck bewertet Ihren Betrieb: im Gespräch mit der Geschäftsführung, nach den 27 Anforderungen der DIN SPEC 27076, mit einer Reihenfolge, die zu Ihrer Lage passt. Nicht das Prüfschema ist das Ergebnis, sondern der Blick auf Ihr Unternehmen und die Priorisierung.
Wissen, wo Sie stehen —
bevor es jemand anderes zeigt.
Erstgespräch anfragen — 20 Minuten, kostenfrei, ohne Vorbereitung. Kein Verkaufsgespräch, ehrliche Einordnung.