Inhalt in Kürze
- Ein Softwarehaus mit 5 bis 8 Personen hat seine IT von uns analysieren lassen. Bis vor Kurzem war die Firma so klein, dass es keine festen Abläufe gab.
- Das Backup-Konzept des Kunden ist gut und bleibt, wie es ist: Die Server sichern sich gegenseitig, dazu kommt eine verschlüsselte Offline-Platte im Safe. Auch die beiden eigenen Server bleiben in der Hand des Kunden.
- Lücken gab es bei den Anmeldungen und Abläufen: MFA nur teilweise, keine Passwortrichtlinie, keine festen Abläufe für Notfälle und Zugriffe. Für diese Punkte sind Maßnahmen geplant, umgesetzt ist davon noch nichts.
- Dringend war ein Postfach, das keine Registrierungsmails mehr verschickt. Dafür haben wir eine Ausnahme zugesagt.
Eine Infrastrukturanalyse endet nicht automatisch mit einer langen Einkaufsliste. In diesem Fall war ein wichtiges Ergebnis, was nicht geändert werden muss.
Hier steht, was wir bei einem kleinen Softwarehaus gefunden haben, was der Kunde gut gelöst hat und was als Nächstes geplant ist. Das Gespräch liegt wenige Wochen zurück. Deshalb steht bei jedem Punkt dabei, ob er vereinbart, zugesagt, angeboten oder noch offen ist.
| Steckbrief | Der Fall auf einen Blick |
|---|---|
| Branche | Softwarehaus, zwei Gesellschaften unter einem Dach (Beratung sowie Entwicklung und Produkt) |
| Größe | 5 bis 8 Personen |
| Standort | Hamburg und Umland, eigene Server bei einem externen Hoster |
| Ausgangslage | Bis vor Kurzem sehr klein, deshalb keine festen Abläufe für Anmeldungen, Notfälle und Zugriffe |
| Leistung | Infrastrukturanalyse mit gemeinsamer Besprechung der Befunde |
| Zeitraum | Besprechung im Herbst, Umsetzung in Etappen |
Infrastrukturanalyse im Softwarehaus: die Ausgangslage
Der Kunde entwickelt und vertreibt eigene Software. Unter einem Dach arbeiten zwei Gesellschaften: eine für Beratung, eine für Entwicklung und Produkt. Bis vor Kurzem war das Team so klein, dass niemand feste Regeln für die IT gebraucht hat. Wer etwas brauchte, hat es eingerichtet.
Der Kunde hat eine Infrastrukturanalyse bei uns beauftragt.
Eine Besonderheit vorweg: Der Kunde betreibt zwei eigene Linux-Server bei einem externen Hoster. Darüber laufen die Lizenzprüfung und die Software-Updates für seine Produkte. Diese Server verwaltet der Kunde selbst, und das soll so bleiben. Wir haben dort keinen Handlungsbedarf gesehen.
Was gut läuft, bleibt: das Backup-Konzept des Kunden
Der erste Befund war ein guter. Die Datensicherung liegt nicht mehr hauptsächlich auf einem NAS:
- Die Server sichern sich gegenseitig.
- Zusätzlich gibt es eine verschlüsselte Festplatte, die offline im Safe liegt.
Das Konzept verteilt die Sicherungen auf verschiedene Orte. Eine Platte, die nicht angeschlossen ist, lässt sich über das Netzwerk nicht verschlüsseln oder löschen. Und weil sie verschlüsselt ist, nützt sie einem Dieb nichts. Wir haben das Konzept als ausreichend bewertet und keine weiteren Maßnahmen empfohlen.
Eine Analyse soll Lücken finden, nicht Arbeit erfinden. Das Backup des Kunden erfüllt seinen Zweck, und der Kunde kennt es. Deshalb gehört es zu dem, was bleibt, wie es ist.
Zwei weitere Punkte haben wir bewusst nicht zur Baustelle gemacht:
Netzwerksegmentierung. Die Server liegen extern beim Hoster. Im Büro gibt es kaum etwas, das man in getrennte Netzbereiche aufteilen müsste. Darin waren wir uns mit dem Kunden einig.
Datenschutzbeauftragter. Der Kunde hat keinen benannt. Bei der aktuellen Größe ist das nicht zwingend. § 38 BDSG verlangt eine Benennung in der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist oder Daten geschäftsmäßig zur Übermittlung verarbeitet werden. Das bleibt beim Wachstum zu prüfen. Die Pflichten aus der DSGVO gelten ohnehin für jedes Unternehmen, auch ohne Datenschutzbeauftragten.
So sieht die Gegenüberstellung aus:
| Bleibt, wie es ist | Ändert sich (Stand) |
|---|---|
| Backup-Konzept mit gegenseitiger Sicherung und Offline-Platte im Safe | Anmeldung mit MFA und Regeln für Anmeldungen aus dem Ausland (geplant: bedingter Zugriff; MFA für alle empfohlen) |
| Zwei eigene Server beim Hoster, betreut vom Kunden | Endpunktschutz mit Defender for Business über Business Premium (geplant) |
| Netzwerk ohne aufwendige Segmentierung | Verbindliche Passwortrichtlinie (zugesagt) |
| Lokale Adminrechte auf neuen Geräten, mindestens eine Person kennt den Zugang | Abläufe für Notfall, Zugriffe, Löschung und Datenschutzvorfälle (vorgeschlagen) |
| Kein Datenschutzbeauftragter bei der aktuellen Größe | Postfächer ausscheidender Personen werden freigegebene Postfächer, die Lizenz entfällt (vorgeschlagen) |
Die Lücken: Befund, Risiko, nächster Schritt
Die Lücken lagen dort, wo ein kleines Team selten feste Regeln braucht: bei Anmeldungen, Geräten und Abläufen. Wir haben sie in einer Tabelle zusammengefasst.
| Befund und Risiko | Stand: nächster Schritt |
|---|---|
| Keine verbindliche Passwortrichtlinie. Jede Person entscheidet selbst, wie stark ein Kennwort ist. | Zugesagt: Richtlinie einrichten |
| MFA nur teilweise umgesetzt. Ein Konto ohne zweiten Faktor ist mit einem erbeuteten Kennwort offen. | Geplant: Bedingter Zugriff mit MFA und Länderregeln |
| Firewall nur als VPN-Endpunkt im Einsatz. Der normale Datenverkehr läuft an der Firewall vorbei, ihre Prüffunktionen bleiben ungenutzt. | Offen: Vollausbau möglich, Aufwand und Wartung werden abgewogen |
| Vier Geräte erfüllen die Intune-Geräteregeln nicht. Die Regeln für Geräte gelten nicht überall. | Offen, Kunde stimmt intern ab: Klären, ob die Regeln für alle oder nur für neue Geräte gelten |
| Keine festen Abläufe für Notfall, Zugriffe und Awareness. Im Ernstfall muss erst geklärt werden, wer was tut. | Vorgeschlagen: Abläufe gemeinsam aufbauen, Schulung angeboten |
| Kein Löschkonzept, kein Verfahren für Datenschutzvorfälle. Daten liegen länger als nötig, für Meldungen fehlt ein Plan. | Vorgeschlagen: Konzept erarbeiten, Aufbewahrung in Microsoft 365 abbilden |
| Registrierungspostfach verliert immer wieder den SMTP-Versand. Registrierungsmails an Kunden gehen nicht raus. | Zugesagt, kurzfristig: Ausnahme für dieses Postfach |
Die Spalte „Stand“ ist uns wichtig. Ein Bericht, in dem alles erledigt ist, wäre bequemer zu lesen. Er wäre aber nicht wahr.
Anmeldungen absichern: MFA, Passwortrichtlinie, bedingter Zugriff
Die größte Lücke betraf die Anmeldung. MFA war nur teilweise eingerichtet, und eine verbindliche Passwortrichtlinie gab es nicht.
Das BSI ist bei beiden Themen deutlich. In seiner Empfehlung zur Zwei-Faktor-Authentisierung heißt es, man solle sie anwenden, sobald ein Online-Dienst sie ermöglicht. Zu sicheren Passwörtern empfiehlt das BSI: je länger, desto besser, für jeden Zugang ein eigenes Passwort und ein Passwortmanager, damit man sich nur noch ein gutes Passwort merken muss.
Geplant ist deshalb ein Paket aus drei Bausteinen:
- MFA für alle Konten: Wir empfehlen, dass jede Anmeldung an Microsoft 365 einen zweiten Faktor braucht, nicht nur ein Teil der Konten.
- Regeln für Anmeldungen aus dem Ausland: Über den bedingten Zugriff lassen sich Anmeldeversuche aus bestimmten Ländern kontrollieren. Microsoft beschreibt das in der Dokumentation zu benannten Standorten.
- Verbindliche Passwortrichtlinie: Eine Regel, die für alle gilt, statt einer Entscheidung pro Person.
Der bedingte Zugriff setzt eine passende Lizenz voraus. Laut der Microsoft-Übersicht zur Sicherheit in Microsoft 365 Business enthält Business Premium Microsoft Entra ID P1 und damit den bedingten Zugriff. Dasselbe Paket bringt auch den Endpunktschutz mit, den wir für die Rechner geplant haben. Nach der Microsoft-Beschreibung von Defender for Business ist das Produkt für Unternehmen mit bis zu 300 Benutzern gedacht und in Business Premium enthalten.
Ein Detail aus derselben Microsoft-Seite passt zu diesem Fall: Der Schutz von Windows- und Linux-Servern ist möglich, braucht aber zusätzliche Lizenzen. Die beiden Server des Kunden bleiben ohnehin in seiner Verantwortung. Wie wir Anmelderegeln grundsätzlich aufbauen, steht in unserem Beitrag zu Conditional Access in Microsoft 365. Die laufende Betreuung des Endpunktschutzes übernimmt bei unseren Kunden hagel one protect, unser Managed EDR.
Was der Secure Score dazu sagt
Microsoft bietet mit dem Secure Score eine Messgröße für solche Fragen. Laut Microsoft-Dokumentation zur Sicherheitsbewertung zeigt der Wert, wie viele der empfohlenen Sicherheitsmaßnahmen umgesetzt sind. Teilweise umgesetzte Maßnahmen bringen Teilpunkte. Microsoft nennt dafür selbst ein Beispiel: Wer MFA für 50 von 100 Benutzern eingerichtet hat, bekommt für diese Maßnahme 5 von 10 Punkten.
Für eine teilweise eingerichtete MFA heißt das: Der Wert zeigt die Lücke, schließt sie aber nicht. Microsoft schreibt auch, dass die Sicherheitsbewertung keine Garantie gegen Sicherheitsverletzungen ist. Wir nutzen sie als Liste der offenen Punkte, nicht als Zeugnis.
Das dringende Problem: Registrierungsmails gehen nicht raus
Ein Punkt war für den Kunden dringend. Seine Software verschickt automatische Registrierungsmails über ein eigenes Funktionspostfach. Dieses Postfach verlor immer wieder die Erlaubnis, Mails per authentifiziertem SMTP zu versenden. Dann kamen die Registrierungsmails bei seinen Kunden nicht an.
Die vermutete Ursache ist eine Sicherheitseinstellung. Microsoft schreibt in der Anleitung zu SMTP AUTH in Exchange Online, dass SMTP AUTH abgeschaltet ist, sobald die Sicherheitsstandards in Microsoft Entra ID aktiv sind. Microsoft empfiehlt, SMTP AUTH für die ganze Organisation abzuschalten und nur für die Postfächer einzuschalten, die es noch brauchen. Die Einstellung am einzelnen Postfach hat dabei Vorrang vor der Einstellung für die Organisation.
Zugesagt haben wir deshalb eine Ausnahme für genau dieses Postfach, kurzfristig.
Microsoft hat im Januar 2026 einen aktualisierten Zeitplan für die Standardauthentifizierung bei SMTP AUTH veröffentlicht. Bis Dezember 2026 bleibt alles, wie es ist. Ende Dezember 2026 wird sie für bestehende Organisationen standardmäßig abgeschaltet, Administratoren können sie aber wieder einschalten. Den endgültigen Termin will Microsoft in der zweiten Jahreshälfte 2027 nennen. Wer Mails aus eigener Software verschickt, sollte deshalb den Umstieg auf die moderne Anmeldung mit OAuth einplanen, die SMTP AUTH laut Microsoft schon heute unterstützt.
Für ein Softwarehaus ist das mehr als eine Einstellung im Admin-Center. Die Registrierungsmail ist Teil des eigenen Produkts. Wenn sie ausbleibt, trifft das die Kunden des Kunden.
Wer kümmert sich um was: die Verantwortungsmatrix
Das Schaubild fasst zusammen, wer nach dem Gespräch wofür zuständig ist.
Zwei Punkte im Schaubild brauchen eine Erklärung.
Die lokalen Adminrechte bleiben. Auf neuen Geräten behalten die Nutzer auf Wunsch des Kunden lokale Adminrechte. Mindestens eine Person kennt die Zugangsdaten. Wir halten das bei einer Firma dieser Größe für vertretbar, bei größeren Unternehmen für problematisch. Wer das später ändern will, findet den Weg in unserem Beitrag, wie man lokale Admin-Rechte mit Intune entzieht.
Die Firewall ist offen. Sie dient bisher nur als Endpunkt für das VPN, der übrige Datenverkehr läuft nicht über sie. Eine volle Einrichtung mit Prüfung verschlüsselter Verbindungen, Virenscan und Angriffserkennung ist möglich, aber aufwendig. Der Kunde sieht Aufwand und Wartung kritisch. Falls er sich dafür entscheidet, möchte er bei der Umsetzung angeleitet werden. Eine Entscheidung steht noch aus.
Offen ist auch die Frage nach den Geräteregeln. Vier Geräte erfüllen die Intune-Regeln nicht. Ob die Regeln für alle Geräte gelten sollen oder nur für neue, stimmt der Kunde intern ab. Er tendiert zu „nur für neue Geräte“.
Abläufe, die ein kleines Team bisher nicht brauchte
Die übrigen Lücken haben mit Technik wenig zu tun. Es fehlten feste Abläufe. Das ist bei einer Firma, die bis vor Kurzem aus wenigen Personen bestand, nachvollziehbar.
Vorgeschlagen haben wir vier Bausteine:
- Notfallablauf. Wer wird bei einem Vorfall zuerst informiert, wer entscheidet, wer spricht mit Kunden? Eine Vorlage dafür steht in unserem Beitrag zum IT-Notfallplan.
- Zugriffskontrolle. Wer darf auf welche Daten und Systeme zugreifen, und wer gibt neue Zugänge frei?
- Awareness-Schulung. Angeboten haben wir eine Schulung, die sich für neue Mitarbeitende wiederholen lässt. Der Kunde schlägt sie intern vor. Wie das in kleinen Teams funktioniert, steht im Beitrag zur Security-Awareness-Schulung für kleine Teams.
- Löschkonzept und Datenschutzvorfälle. Welche Daten werden wie lange aufbewahrt, und was passiert bei einer Datenpanne? Die Aufbewahrungs- und Löschpflichten sollen in Microsoft 365 abgebildet werden.
Beim Verfahren für Datenschutzvorfälle zählt die Zeit. Art. 33 DSGVO verlangt, dass eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde gemeldet wird, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Deshalb soll vorher feststehen, wer meldet und was in die Meldung gehört.
Zum Löschkonzept gehört auch der Umgang mit ausscheidenden Personen. Vorgeschlagen haben wir, deren Postfächer in freigegebene Postfächer umzuwandeln und die Lizenz zu entziehen. So bleiben Mails erreichbar, ohne dass für ein ungenutztes Konto weiter bezahlt wird. Die übrigen Schritte beim Ausscheiden stehen in unserer IT-Offboarding-Checkliste. Für die Schulung selbst gibt es mit hagel one awareness ein fertiges Trainingsangebot.
Was wir daraus gelernt haben
Für Geschäftsführer ohne IT-Hintergrund lässt sich der Fall auf vier Sätze bringen.
Eine Analyse ist kein Auftrag zum Umbauen. Sie soll zeigen, wo Sie stehen. Was gut funktioniert, wie hier das Backup, bleibt stehen.
Nicht alles muss beim Dienstleister liegen. Die beiden Server des Kunden laufen gut in seiner Hand. Wichtig ist, dass jeder weiß, wer wofür zuständig ist.
Die Lücken waren Regeln, keine Geräte. Bei diesem Kunden fehlten eine Passwortrichtlinie, MFA für alle und Abläufe für den Notfall. Keiner dieser Punkte verlangt neue Hardware.
Was dringend ist, entscheidet der Kunde mit. Für das Softwarehaus war das Registrierungspostfach dringend, weil es seine eigenen Kunden betrifft.
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGründer, hagel IT-Services GmbH
Wie eine Analyse in einer ganz anderen Ausgangslage aussehen kann, zeigt unsere Fallstudie Schluss mit dem Blindflug im Serverraum. Dort war der Umbau nötig, hier nicht. Was wir für Softwarehäuser, Beratungen und andere Dienstleister grundsätzlich anbieten, steht auf der Seite IT für Unternehmensdienstleister in Hamburg.
Ein Geschäftsführer aus einem anderen Kundengespräch hat seine Erwartung an die IT so beschrieben:
Wir wollen uns nicht um IT kümmern müssen. Wenn ein neuer Mitarbeiter kommt: Laptop da, E-Mail eingerichtet, Telefon funktioniert. Wenn jemand geht: Zugänge gesperrt. Einfach. Zuverlässig.
Prüfen Sie Ihre eigene Umgebung
Fünf Fragen, die Sie ohne IT-Wissen beantworten oder Ihrem Dienstleister stellen können:
- Brauchen alle Konten einen zweiten Faktor? Wenn nicht: Welche nicht, und warum?
- Gibt es eine Passwortregel, die für alle gilt? Oder entscheidet jede Person selbst?
- Wo liegt eine Sicherung, die das Netzwerk nicht erreicht? Und wann wurde sie zuletzt zurückgespielt?
- Wer tut was, wenn morgen ein Konto übernommen wird? Steht das irgendwo, oder weiß es nur eine Person?
- Verschickt Ihre Software oder ein Gerät Mails über SMTP? Dann betrifft Sie der Zeitplan von Microsoft für SMTP AUTH.
Eine Bestandsaufnahme dieser Art ist der Anfang unserer Cybersecurity-Betreuung in Hamburg. Danach wissen Sie, was bleiben kann und was als Erstes dran ist.
Wollen Sie wissen, wo Ihre IT steht?
15 Minuten Erstgespräch. Kostenlos. Danach wissen Sie, ob sich eine Analyse für Sie lohnt.
Erstgespräch buchen →Weiterführende Quellen
- SMTP AUTH in Exchange Online aktivieren oder deaktivieren – Microsoft Learn
- Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline – Microsoft Exchange Team Blog
- Microsoft-Sicherheitsbewertung (Secure Score) – Microsoft Learn
- Was ist Microsoft Defender for Business? – Microsoft Learn
- § 38 BDSG: Datenschutzbeauftragte nichtöffentlicher Stellen – gesetze-im-internet.de
- Zwei-Faktor-Authentisierung und Sichere Passwörter erstellen – BSI
