IT-Sicherheit extern beauftragen: von der Bestandsaufnahme bis zum laufenden Betrieb

IT-Sicherheit ist kein einzelnes Projekt, sondern ein Sammelbegriff für sehr unterschiedliche Leistungen: eine einmalige Sicherheitsüberprüfung, die Umsetzung konkreter Schutzmaßnahmen oder der laufende Betrieb einer Überwachung, die Angriffe frühzeitig erkennt. Wer „IT-Sicherheit“ anfragt, ohne diese Unterscheidung zu treffen, bekommt entsprechend unterschiedliche und schwer vergleichbare Angebote. Dieser Leitfaden hilft dabei, den eigenen Bedarf einzuordnen und eine Anfrage zu formulieren, mit der Anbieter tatsächlich etwas anfangen können. Regulatorische Fragen werden dabei bewusst nur als Prüfpunkte behandelt – für eine verbindliche Einschätzung, welche Pflichten für Ihr Unternehmen konkret gelten, sind die zuständigen Stellen und offizielle Quellen die richtige Anlaufstelle, nicht dieser Leitfaden.

Bestandsaufnahme und Schutzbedarf

Bevor Sie einen Anbieter ansprechen, verschaffen Sie sich einen Überblick: Welche Systeme, Daten und Prozesse sind für den laufenden Geschäftsbetrieb kritisch, und was würde ein Ausfall oder ein Datenverlust jeweils bedeuten? Nicht jedes System hat denselben Schutzbedarf – ein internes Wiki verträgt einen kurzen Ausfall eher als ein System, das die Produktion steuert oder Kundendaten verarbeitet. Diese Einschätzung müssen Sie nicht im technischen Detail selbst vornehmen, aber eine grobe Priorisierung hilft dem Anbieter erheblich dabei, seinen Vorschlag auf die tatsächlich kritischen Bereiche zuzuschneiden, statt pauschal alles gleich zu behandeln. Nennen Sie außerdem, welche Vorgaben von Kunden oder Geschäftspartnern bereits an Sie herangetragen wurden, etwa im Rahmen von Lieferantenanforderungen, sowie vorhandene technische Rahmenbedingungen wie eingesetzte Betriebssysteme, Cloud-Dienste oder eine bereits bestehende Firewall-Infrastruktur.

Audit, Umsetzung und laufenden Betrieb unterscheiden

Ein Audit oder eine Sicherheitsüberprüfung (etwa ein Penetrationstest oder eine Schwachstellenanalyse) zeigt den aktuellen Zustand und mögliche Lücken auf, behebt sie aber nicht selbst. Die Umsetzung konkreter Maßnahmen – etwa eine überarbeitete Netzwerksegmentierung, ein Berechtigungskonzept oder eine neue Backup-Strategie – setzt in der Regel ein vorheriges Audit oder zumindest eine klare Zielvorstellung voraus. Der laufende Betrieb, etwa eine kontinuierliche Überwachung sicherheitsrelevanter Ereignisse oder ein Patch-Management, ist wiederum eine andauernde Dienstleistung mit eigenem Vertragsmodell, keine einmalige Maßnahme. Diese drei Leistungsarten erfordern teils unterschiedliche Spezialisierungen, und nicht jeder Anbieter deckt alle drei gleich gut ab. Legen Sie deshalb in der Anfrage fest, welche dieser Kategorien Sie tatsächlich suchen – oder ob Sie bewusst mit einem Audit beginnen möchten, um die weiteren Schritte erst danach zu planen. Suchen Sie ohnehin eher eine allgemeine, nicht sicherheitsspezifische Betreuung, ist der Leitfaden zu IT-Betreuung und Managed Services der passendere Einstieg.

Notfallvorsorge

Ein IT-Sicherheitskonzept, das nur auf Vorbeugung setzt, bleibt unvollständig. Klären Sie, wie im Ernstfall reagiert werden soll: Gibt es einen dokumentierten Ablauf für einen Sicherheitsvorfall, wer wird informiert, und wie schnell lassen sich Systeme aus einem Backup wiederherstellen? Ein Backup, das nie getestet wurde, ist keine verlässliche Absicherung – fragen Sie einen Anbieter gezielt danach, ob und wie regelmäßig Wiederherstellungen getestet werden. Diese Vorsorge sollte trotzdem fester Bestandteil jeder Anfrage sein, nicht ein nachträglicher Gedanke. Fragen Sie außerdem, wie schnell im Ernstfall ein erster Ansprechpartner erreichbar ist und ob dafür ein separater Notfallkontakt außerhalb der üblichen Supportzeiten vorgesehen ist – ein Sicherheitsvorfall hält sich selten an Geschäftszeiten.

Nachweise und Dokumentation

Fragen Sie, welche Nachweise Sie nach Abschluss des Projekts erhalten: einen Prüfbericht mit den gefundenen Schwachstellen und deren Behebung, eine Dokumentation der umgesetzten Maßnahmen oder einen Nachweis über bestehende Zertifizierungen des Anbieters selbst. Solche Dokumente sind nicht nur für Ihre eigenen Unterlagen wichtig, sondern häufig auch gegenüber Kunden oder Versicherern relevant. Klären Sie außerdem, in welcher Form und Sprache die Dokumentation geliefert wird und ob sie für Rückfragen auch später noch zur Verfügung steht.

Regulatorische Themen prüfen, statt sie zu vermuten

Ob und in welchem Umfang Ihr Unternehmen von regulatorischen Anforderungen betroffen ist – etwa im Zusammenhang mit NIS2 oder branchenspezifischen Vorgaben –, hängt von Faktoren wie Unternehmensgröße, Branche und kritischer Infrastruktur ab und lässt sich nicht pauschal beantworten. Für eine erste Orientierung bietet das BSI die Betroffenheitsprüfung NIS-2 – ein anonymes Selbstauskunftstool, das keine rechtlich bindende Einschätzung ersetzt. Prüfen Sie dort oder mit einer entsprechend spezialisierten Beratung, ob und welche konkreten Pflichten für Ihr Unternehmen gelten, bevor Sie sich auf eine bestimmte Frist oder Anforderung verlassen, die Sie andernorts gehört haben.

Anforderungen an den Anbieter

IT-Sicherheit ist ein Bereich, in dem die Erfahrung des Anbieters besonders schwer von außen einzuschätzen ist. Fragen Sie deshalb gezielt nach Referenzen für vergleichbare Vorhaben – nicht nach einer allgemeinen Liste vergangener Kunden, sondern nach Projekten mit ähnlicher Systemlandschaft oder ähnlicher Unternehmensgröße. Relevante Zertifizierungen des Anbieters oder seiner Mitarbeitenden können ein zusätzlicher Anhaltspunkt sein, ersetzen aber keine inhaltliche Prüfung des konkreten Vorschlags. Klären Sie außerdem, wer im Anbieterunternehmen tatsächlich an Ihrem Projekt arbeitet, und ob es sich dabei um dieselben Personen handelt, die im Erstgespräch vorgestellt wurden. Eine geprüfte Geschäftsidentität zeigt, mit wem Sie es zu tun haben – über die fachliche Eignung sagt sie nichts aus.

Angebote einordnen

Fassen Sie Schutzbedarf, gewünschte Leistungsart (Audit, Umsetzung oder laufender Betrieb) und erwartete Nachweise in einer schriftlichen Anfrage zusammen – der Leitfaden zur Leistungsbeschreibung zeigt, welche Angaben dafür sinnvoll sind. Da Sicherheitsangebote oft unterschiedliche Preismodelle verwenden, von Festpreis-Audits bis zu laufenden Betreuungsverträgen, lohnt sich beim Vergleich ein Blick über den Preis hinaus; der Leitfaden zum Angebotsvergleich beschreibt, worauf Sie zusätzlich achten sollten.

Checkliste

• Kritische Systeme und Daten identifiziert, grober Schutzbedarf eingeschätzt
• Klar, ob Audit, Umsetzung oder laufender Betrieb gesucht wird
• Notfallvorsorge und Backup-Wiederherstellung als Thema benannt
• Erwartete Nachweise und Dokumentation vorab geklärt
• Regulatorische Betroffenheit beim BSI oder einer spezialisierten Beratung geprüft, nicht angenommen
• Referenzen und Zuständigkeiten beim Anbieter konkret erfragt, nicht nur allgemein

Wenn Sie ein IT-Sicherheitsprojekt konkret angehen möchten, können Sie es auf Projektlotse beschreiben – ob Audit, Umsetzung einzelner Maßnahmen oder laufender Betrieb. Geprüfte IT-Dienstleister aus Ihrer Region sehen die Anfrage und melden sich mit Rückfragen und Angeboten. Firmenname, genaue Adresse und Anhänge bleiben vertraulich, bis Sie sie gezielt für einzelne Dienstleister freigeben. Nennen Sie konkrete Schwachstellen, Systemnamen oder Zugänge deshalb nicht in der Anfrage, sondern erst im Gespräch mit einem Anbieter. Die Nutzung ist in der aktuellen Startphase kostenlos.