Inhalt in Kürze
- Für diesen Beitrag haben wir drei Infrastrukturanalysen ausgezählt, deren Ergebnisse wir im Herbst 2026 mit den Unternehmen besprochen haben. Zwei weitere Gespräche fanden vor einer Analyse statt und zählen nicht mit.
- Drei Befunde kamen in allen drei Analysen vor: MFA nur teilweise eingerichtet, kein schriftlicher Notfallplan und kein Löschkonzept.
- In zwei von drei Analysen gab es keine vereinbarten Restore-Tests und keinen festen Ablauf, wenn jemand das Unternehmen verlässt. Eine Datensicherung, deren Wiederherstellung niemand regelmäßig und nachweisbar prüft, ist ein Versprechen ohne Beleg.
- Alle drei Befunde, die überall vorkamen, waren fehlende Regeln und Abläufe, keine fehlenden Geräte. Und nicht jeder Befund verlangt einen Umbau.
Eine Infrastrukturanalyse beantwortet eine einfache Frage: Wo steht unsere IT wirklich? Wir haben drei Analysen nebeneinandergelegt und gezählt, welche Lücken wie oft vorkamen. Hier steht das Ergebnis, ohne Namen und ohne Hochrechnung.
Infrastrukturanalyse: worauf diese Zählung beruht
Eine Zählung ist nur so gut wie ihre Grundlage. Deshalb vorweg, was wir gezählt haben.
Grundlage sind fünf Gespräche aus dem Spätsommer und Herbst 2026, in denen es um Infrastrukturanalysen ging. In drei davon haben wir die fertige Analyse mit dem Unternehmen durchgesprochen. Nur diese drei zählen. Ein Gespräch war eine erste Bestandsaufnahme vor einer Modernisierung, ein anderes ein Vorgespräch zur Übernahme der Betreuung, in dem die Analyse erst angeboten wurde.
Gezählt haben wir nur, was in der Besprechung als Befund festgehalten wurde. Was dort nicht zur Sprache kam, steht als „nicht besprochen“ in unserer Liste und zählt nicht als Lücke. Drei Analysen sind keine Statistik. Sie zeigen aber, welche Fragen sich ein Geschäftsführer stellen sollte, bevor er glaubt, seine IT sei in Ordnung.
Die drei Unternehmen kommen aus unterschiedlichen Branchen. Alle drei arbeiten mit Microsoft 365 und betreiben daneben eigene Server.
Die Befund-Häufigkeit auf einen Blick
Die Balken zeigen, in wie vielen der drei Analysen ein Befund festgehalten wurde. Oben stehen die Lücken, die überall auftauchten. Unten die, die nur einmal vorkamen. Auch Einzelbefunde zählen: Jedes von sieben Konten mit vollen Administratorrechten ist für einen Angreifer ein Generalschlüssel.
Die folgende Tabelle erklärt, warum die Befunde für die Geschäftsführung zählen, auch ohne technisches Vorwissen.
| Befund | Warum es zählt |
|---|---|
| MFA nur teilweise eingerichtet (3 von 3) | Ein Konto ohne zweiten Faktor ist mit einem erbeuteten Passwort offen. Es reicht ein ungeschütztes Konto. |
| Kein schriftlicher Notfallplan (3 von 3) | Im Ernstfall muss jemand wissen, wer entscheidet, wer informiert wird und was zuerst wieder laufen muss. Ohne Plan hängt das an Einzelnen. |
| Kein Löschkonzept (3 von 3) | Ohne Regel weiß niemand, welche Daten wie lange aufbewahrt und wann gelöscht werden. Die DSGVO verlangt, Daten nicht länger zu speichern als nötig. |
| Kein fester Ablauf beim Ausscheiden (2 von 3) | Konten, Passwörter und Postfächer ehemaliger Mitarbeitender bleiben sonst offen oder kosten weiter Lizenzgebühren. |
| Keine vereinbarten Restore-Tests (2 von 3) | Ob sich Daten zurückholen lassen, zeigt erst der Test. Ohne Test ist das Backup ungeprüft. |
| Geteilte Postfächer: MFA offen (2 von 3) | Ein gemeinsam genutztes Konto mit eigenem Passwort lässt sich schlecht absichern. Wer geht, kennt das Passwort weiter, wenn es nicht zurückgesetzt wird. |
| Endpunktschutz fehlt oder unklar (2 von 3) | Wenn kein Schutz läuft oder nicht klar ist, welcher Schutz auf welchem Gerät läuft, fallen Lücken nicht auf. |
In allen drei Analysen: Lücken bei Anmeldung und Abläufen
Drei Befunde kamen überall vor. Keiner davon verlangt einen neuen Server.
MFA ist eingeschaltet, aber nicht überall
In keiner der drei Analysen fehlte MFA ganz. In allen drei war sie nur teilweise eingerichtet. Einmal war die zweite Anmeldestufe für die Administratoren in Microsoft 365 erzwungen, die Windows-Anmeldung auf einem Server aber nicht abgesichert. Einmal gab es MFA, aber kein Konzept dafür, und die VPN-Verbindung kam ganz ohne zweiten Faktor aus. Und einmal war sie schlicht nur für einen Teil der Konten aktiv.
Ein Sonderfall verdient Aufmerksamkeit: geteilte Postfächer. In zwei von drei Analysen waren gemeinsam genutzte Postfächer wie „info@“ ein offener Punkt bei der MFA. In einem Fall waren sie als eigene Benutzer mit eigenem Passwort angelegt, das mehrere Personen kennen. Wer geht, kennt dieses Passwort weiter, solange es niemand zurücksetzt. Microsoft 365 bietet dafür freigegebene Postfächer ohne eigene Anmeldung an, auf die berechtigte Benutzer zugreifen. Wie Sie Anmelderegeln sauber aufsetzen, steht in unserem Beitrag zu Conditional Access in Microsoft 365.
Das BSI empfiehlt, die Zwei-Faktor-Authentisierung zu nutzen, wann immer ein Dienst sie anbietet.
Dass nicht alle ein Diensthandy haben, kam in einer Analyse ausdrücklich zur Sprache. MFA braucht nicht zwingend ein Smartphone. Microsoft Entra ID kennt neben der Authenticator-App auch Passkeys (FIDO2), Hardware-Token und SMS. Welches Verfahren passt, hängt davon ab, wie Ihre Leute arbeiten. Das klären wir vor der Umstellung, nicht danach.
Notfallplan, Löschkonzept, Offboarding: Es fehlte das Papier
Die anderen beiden Befunde, die überall vorkamen, haben mit Technik wenig zu tun. In allen drei Analysen fehlte ein schriftlicher Plan für den Notfall. In einem Fall wusste der bisherige Dienstleister im Detail, was zu tun ist, aber nur er. Das Wissen hing an einer Person. In einem anderen Fall gab es wiederkehrende Ausfälle eines zentralen Servers, aber keinen festgelegten Ablauf dafür.
Ebenfalls in allen drei Analysen fehlte ein Löschkonzept. In zwei von drei gab es zudem keinen festen Ablauf für das Ausscheiden von Mitarbeitenden. Beides hängt zusammen: Wer geht, hinterlässt ein Konto, ein Postfach, Daten und vielleicht ein Gerät. Ohne Regel entscheidet jedes Mal jemand neu, was damit passiert. Was beim Ausscheiden zu tun ist, steht Schritt für Schritt in unserer IT-Offboarding-Checkliste.
Ein Grundsatz aus der DSGVO gehört in jedes Löschkonzept: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e DSGVO).
In zwei von drei Analysen: Restore-Tests waren nicht vereinbart
Datensicherungen gab es in allen drei Unternehmen. In einem Fall haben wir das bestehende Konzept nach der Besprechung als ausreichend bewertet: Die Server sichern sich gegenseitig, dazu kommt eine verschlüsselte Platte, die offline aufbewahrt wird.
In den beiden anderen fehlte etwas Entscheidendes: vereinbarte Restore-Tests. Im einen Fall holte der Dienstleister im Alltag regelmäßig gelöschte Dateien zurück. Das ist ein Hinweis, dass die Sicherung grundsätzlich funktioniert. Ein vertraglich vereinbarter Test, etwa einmal pro Quartal, existierte aber nicht. Im anderen Fall liefen die Sicherungen auf ein Speichergerät vor Ort, Tests für den Ernstfall gab es nicht, und die letzte Sicherung außer Haus war vermutlich älter als ein Vierteljahr.
Das BSI führt genau diese Lücke im IT-Grundschutz als eigene Gefährdung. Im Baustein CON.3 Datensicherungskonzept heißt es sinngemäß: Regelmäßig gesicherte Daten lassen sich nicht automatisch problemlos wiederherstellen. Wird das nicht regelmäßig getestet, kann es sein, dass es nicht klappt.
Die Meldung „Sicherung erfolgreich“ sagt, dass Daten geschrieben wurden. Ob sie sich lesen und zurückspielen lassen, zeigt nur ein Test. Lassen Sie sich das Datum des letzten Wiederherstellungstests nennen. Wie eine Sicherung aufgebaut sein sollte, steht in unserem Beitrag zur sicheren Datensicherung nach der 3-2-1-1-0-Regel.
Einzelbefunde: Vorhanden ist nicht dasselbe wie in Betrieb
Acht Befunde kamen nur in je einer Analyse vor, sechs davon zeigt das Schaubild. Zwei haben ein gemeinsames Muster: Etwas war da, wurde aber nicht oder nicht mehr genutzt.
- Eine Firewall nur als VPN-Ziel. Die Firewall war vorhanden, der normale Datenverkehr lief aber an ihr vorbei. Ihre Prüffunktionen blieben ungenutzt.
- Eine abgeschaltete Ersatzleitung. Für den Ausfall der Internetleitung gab es eine LTE-Lösung. Sie war abgeschaltet.
Die übrigen Einzelbefunde betreffen Rechte und Regeln. In einer Analyse hatten sieben Konten die Rolle Globaler Administrator in Microsoft 365, historisch gewachsen. Microsoft empfiehlt in seinen Best Practices für Microsoft-Entra-Rollen, diese Rolle weniger als fünf Personen zuzuweisen, und rät zusätzlich zu zwei Notfallzugriffskonten, die keiner bestimmten Person gehören. In derselben Analyse lag der Microsoft Secure Score bei 24 Prozent.
Der Secure Score ist ein nützlicher Startpunkt, aber kein Zeugnis. Laut Microsoft Learn misst er, wie viele empfohlene Maßnahmen umgesetzt sind, und soll ausdrücklich nicht als Garantie gegen Sicherheitsverletzungen verstanden werden. Was der Wert nicht erfasst, haben wir im Beitrag über die Grenzen des Microsoft Secure Score aufgeschrieben.
Außerdem kamen je einmal vor: keine verbindliche Passwortregel, eine veraltete Sicherung außer Haus und keine Schulung der Mitarbeitenden zu Sicherheitsfragen. In einer Analyse war zudem offen, ob Geräte wie Kameras besser in einem eigenen Netz laufen sollten. Das wird dort erst getestet.
Was eine Infrastrukturanalyse leistet und was nicht
Aus den drei Besprechungen lässt sich auch ablesen, wo die Grenzen einer Analyse liegen.
| Was eine Analyse liefert | Was sie nicht liefert |
|---|---|
| Eine Liste der Befunde, besprochen mit der Geschäftsführung | Die Umsetzung. Die folgt als eigener Auftrag oder im laufenden Betrieb. |
| Eine Einschätzung, was dringend ist und was warten kann | Eine Garantie gegen Angriffe. Auch ein hoher Secure Score ist keine. |
| Die Bestätigung, was gut gelöst ist und bleiben kann | Den Restore-Test selbst. Sie zeigt, dass er fehlt; machen muss ihn jemand. |
| Hinweise auf offene Datenschutzfragen, etwa ein fehlendes Löschkonzept | Rechtsberatung. Ob ein Datenschutzbeauftragter Pflicht ist, klärt eine Fachstelle. |
| Ein Bild davon, was dokumentiert und zugänglich ist | Einblick in alles, was beim bisherigen Dienstleister liegt und nicht offengelegt wird. |
Den letzten Punkt zeigen die zwei Gespräche, die nicht mitzählen: Bevor überhaupt geprüft werden kann, müssen die administrativen Zugänge vom bisherigen Dienstleister übergeben werden. Wie eine Analyse im Einzelfall abläuft, von der Bestandsaufnahme bis zum Umbau, zeigt unsere Fallstudie zur IT-Infrastrukturanalyse in Hamburg.
So läuft eine Analyse bei uns ab:
- Zugänge klären: Wir brauchen administrative Zugänge zu Servern, Microsoft 365 und Netzwerk. Liegen sie beim bisherigen Dienstleister, organisieren wir die Übergabe mit Ihnen.
- Aufnehmen: Wir erfassen Systeme, Konten, Sicherungen, Schutzprogramme und vorhandene Dokumentation.
- Bewerten: Jeder Befund bekommt eine Einschätzung, wie dringend er ist.
- Besprechen: Wir gehen die Befunde mit Ihnen durch. Dabei werden Punkte korrigiert, die wir anders eingeschätzt hatten, und Prioritäten festgelegt.
- Nachliefern: Sie bekommen das Dokument mit den Ergebnissen der Besprechung und, wo gewünscht, konkrete Vorschläge oder Angebote.
Aus der Praxis
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGründer, hagel IT-Services GmbH
In einer der drei Besprechungen fiel das Wort „Klumpenrisiko“: Der bisherige Betreuer kannte die Umgebung genau, aber niemand sonst. Fällt diese eine Person aus, fehlt das Wissen. Diesen Gedanken kennen wir auch aus anderen Gesprächen.
Unser IT-Dienstleister war eine One-Man-Show. Solange er Zeit hatte, lief alles super. Aber irgendwann hatte er keine Zeit mehr — und wir standen allein da mit unseren Problemen.
Wer das Risiko verteilen will, braucht keine größere IT, sondern dokumentierte Abläufe und mehr als eine Person, die sie kennt. Das ist der Kern unserer Managed IT-Services für den Mittelstand: Ein Team betreut Ihre IT, und das Wissen steht in der Dokumentation statt in einem Kopf.
Selbsttest für Geschäftsführer
Diese Fragen können Sie ohne IT-Kenntnisse stellen. Jede Antwort „weiß ich nicht“ ist ein Kandidat für die nächste Besprechung mit Ihrem Dienstleister.
- MFA: Ist der zweite Faktor für alle Konten aktiv, auch für Administratoren, VPN und gemeinsam genutzte Postfächer?
- Administratoren: Wie viele Konten haben volle Administratorrechte in Microsoft 365? Microsoft empfiehlt weniger als fünf.
- Restore-Test: Wann wurde zuletzt eine Wiederherstellung getestet, und wo ist das festgehalten?
- Sicherung außer Haus: Wie alt ist die jüngste Sicherung, die nicht im eigenen Gebäude liegt?
- Notfallplan: Gibt es ein Dokument, das sagt, wer bei einem Ausfall entscheidet und was zuerst wieder laufen muss? Eine Vorlage bietet unsere IT-Notfallplan-Vorlage.
- Ausscheiden: Gibt es eine feste Liste, was mit Konto, Postfach, Gerät und Daten passiert, wenn jemand geht?
- Reserven: Sind Firewall und Ersatzleitung im Einsatz, oder nur vorhanden?
Wer den Selbsttest lieber mit Unterstützung durchgeht: Unsere Leistungen rund um Cybersecurity für Unternehmen in Hamburg beginnen mit genau dieser Bestandsaufnahme.
Was wir daraus gelernt haben
Die Lücken waren Regeln, keine Geräte. Alle drei Befunde, die in jeder Analyse auftauchten, sind Fragen von Einstellung und Organisation: MFA, Notfallplan, Löschkonzept. Der fehlende Ablauf beim Ausscheiden in zwei von drei Analysen gehört in dieselbe Reihe. Keiner davon setzt neue Hardware voraus.
Ein Backup ohne Test ist ungeprüft. In zwei von drei Analysen gab es keinen vereinbarten Restore-Test. Ein Test gehört in den Vertrag, mit Rhythmus und Nachweis.
Vorhanden heißt nicht in Betrieb. Eine Firewall, die nur das VPN bedient, und eine abgeschaltete Ersatzleitung fallen im Alltag niemandem auf. Erst die Analyse fragt danach.
Nicht jeder Befund verlangt einen Umbau. In einer Analyse blieb das Backup-Konzept, wie es war. In zwei von drei Analysen haben wir eine aufwendige Netztrennung nicht als nötig eingestuft. Eine gute Analyse sagt auch, was bleiben kann.
Unser Team sitzt in Hamburg und betreut Unternehmen in der Stadt und im Umland. Mehr über uns als IT-Systemhaus in Hamburg lesen Sie auf unserer Standortseite.
Wo steht Ihre IT bei diesen fünf Punkten?
15 Minuten Erstgespräch, kostenlos. Wir sagen Ihnen, ob sich eine Infrastrukturanalyse für Sie lohnt.
Termin buchen →
