Nach 7 Wochen Kampagne und vielen Gesprächen mit IT-Leitern haben wir das gemerkt: Die meisten wissen ungefähr, was zu tun ist. Aber niemand hat die Zeit, eine vollständige Liste zu führen. Genau die liefern wir hier.
Diese 9-Punkte-Checkliste ist priorisiert nach Wirkung und Aufwand. Punkt 1 ist der mit dem größten Hebel, Punkt 9 das Sahnehäubchen. Wenn Sie nur die ersten 5 abarbeiten, sind Sie 2026 deutlich sicherer aufgestellt als die meisten Wettbewerber.
1. Backup-Restore-Test dokumentieren
Backups laufen meistens. Aber wann haben Sie zuletzt einen vollständigen Restore-Test gemacht, inklusive Wiederherstellung aller Daten und Funktionalität? Wenn die Antwort „über 6 Monate her” lautet: Tun Sie es diese Woche. Es ist der billigste und wirksamste Schritt überhaupt.
2. Mail-Security-Konfiguration prüfen
Drei Fragen:
- Ist Advanced Threat Protection (ATP) aktiv, nicht nur lizenziert?
- Sind DKIM/SPF/DMARC sauber konfiguriert (Test: mxtoolbox.com)?
- Wertet jemand die wöchentlichen Reports aus oder versanden sie?
Wenn Sie eine Frage mit Nein beantworten: Lückenschluss in den nächsten 30 Tagen.
3. NIS2-Pflicht klären
Sind Sie betroffen? Schon das nicht zu wissen, ist 2026 ein Compliance-Risiko. Gespräch zwischen Geschäftsführung, IT-Leiter und Wirtschaftsprüfer, 60 Minuten reichen.
4. MFA überall einsetzen
Multi-Faktor-Authentifizierung gehört nicht mehr „nur” auf Admin-Konten. Sie gehört auf jedes Konto, das Zugriff auf sensible Daten hat, also de facto auf alle Microsoft-365-Konten Ihrer Mitarbeiter. Conditional Access in M365 erlaubt feingranulare Steuerung.
5. Awareness-Programm laufen lassen
Einmal pro Jahr eine Pflichtschulung ist kein Awareness-Programm. Quartalsweise Phishing-Simulationen mit individueller Auswertung dagegen schon. Klickrate von 18 % auf 3 % ist nicht überraschend, sondern wiederholbar.
6. Patch-Management durchziehen
Die meisten Sicherheitsvorfälle nutzen Schwachstellen, für die Patches schon Wochen verfügbar sind. Patch-Management klingt langweilig, ist aber der mit Abstand wirksamste organisatorische Hebel.
7. Logs und Monitoring etablieren
Was Sie nicht sehen, können Sie nicht stoppen. SIEM/SOAR muss nicht teuer sein, aber ein Mindest-Monitoring auf Auth-Events, Privilege Escalations und Datenabflüsse sollte 2026 Standard sein.
8. Lieferanten und Supply Chain prüfen
NIS2 verlangt es ausdrücklich: Auch Ihre Lieferanten müssen Sicherheit liefern. Praktisch: Eine kurze Liste der kritischen Lieferanten, Stand ihrer Zertifizierungen (ISO 27001, SOC2), Vertragsklauseln zur Cyber-Sicherheit.
9. Incident Response Plan dokumentieren
Was passiert, wenn morgen ein Vorfall passiert? Wer ruft wen an? Wer entscheidet über Auszahlung? Wer informiert die Behörden? Ein dokumentierter Incident Response Plan auf 5 Seiten ist Pflicht und Lebensretter im Ernstfall.
Wie kommen Sie ins Tun?
Wenn Sie diese 9 Punkte allein abarbeiten wollen: Etwa 6–12 Monate Zeitaufwand für eine 3-Personen-IT. Wenn Sie sich helfen lassen: 4-stündiger Health Check, gemeinsame Priorisierung, dann Schritt für Schritt mit unserem Service Desk im Rücken.
Das wichtigste 2026 ist: Anfangen. Nicht weiter aufschieben. Die Bedrohung ist real, NIS2 ist Gesetz, Fachkräfte sind knapp, aber genau dafür gibt es Managed Services.
