Sophie B. leitet ein Treuhandbuero. Letzte Woche fragte sie eine Kundin fast beilaeufig, wie sie die Buchhaltungsdaten schuetze, die man ihr anvertraut. Sie antwortete "wir passen auf" — und merkte dann, dass sie keine echte Vorstellung vom tatsaechlichen Zustand ihrer IT-Sicherheit hatte. Die gute Nachricht: Man kann das messen, ohne einen Franken auszugeben. Es gibt kostenlose Tools zur Selbstbewertung, und einige sind fuer sie gemacht, nicht fuer einen IT-Spezialisten.
Kostenlose Tools zur Selbstbewertung — aber nicht alle sind fuer Sie
Geben Sie "IT-Sicherheit bewerten" in eine Suchmaschine ein, und Sie stossen auf Dutzende kostenlose Tools. Die Falle: Sie spielen nicht in derselben Liga. Man muss zwei Welten unterscheiden.
Die erste ist die Welt der Fachleute. Dort finden sich Schwachstellen-Scanner (Software, die ein System durchkaemmt, um seine technischen Luecken aufzuspueren) und Angriffssimulatoren (Tools, die Ihr System zum Schein "angreifen", um zu sehen, was nachgeben wuerde). Sie sind maechtig, oft kostenlos, aber fuer Spezialisten gedacht. In den Haenden einer ungeschulten Person liefern sie unlesbare Berichte — oder schlimmer: eine falsche Sicherheit. "Der Scan hat nichts gefunden" heisst nicht "wir sind sicher".
Die zweite Welt steht jeder Fuehrungsperson offen: Selbstbewertungs-Fragebogen, Leck-Pruefer und Dashboards, die Sie bereits besitzen, ohne es zu wissen. Diese wollen nicht den Hacker spielen. Sie bringen Sie dazu, die richtigen Fragen zu stellen, und messen den Abstand zwischen dem, wo Sie stehen, und dem, wo Sie stehen sollten.
Der Unterschied laesst sich in einem Bild fassen. Der Schwachstellen-Scanner ist der Schraubenschluessel des Installateurs: fuer ihn unverzichtbar, in den Haenden von jemandem, der die Rohrleitungen nicht kennt, nutzlos und gefaehrlich. Der Selbstbewertungs-Fragebogen ist die Checkliste, die Sie vor den Ferien durchgehen — Gas abstellen, Wasser abdrehen, Nachbarn informieren. Kein Fachwissen noetig: ehrlich antworten und die leer gebliebenen Felder abarbeiten.
Fuer ein Dienstleistungs-KMU wie das von Sophie B. — keine interne IT, ein externer Dienstleister, der "sich um die Computer kuemmert", hochsensible Kundendaten — zaehlt diese zweite Welt. Selbstbewertung heisst nicht, zur Cybersicherheits-Expertin zu werden. Es heisst, methodisch die Fragen zu stellen, die ein Auditor stellen wuerde, und schwarz auf weiss zu sehen, was traegt und was auf Gewohnheit beruht. Der externe Dienstleister macht seine Arbeit gut, wenn man ihn ruft; man muss nur wissen, wonach man fragen soll. Die Selbstbewertung gibt Ihnen genau dieses Vokabular.
Was Sie sich merken sollten
Kostenlos heisst nicht nutzlos. Die besten Selbstbewertungs-Tools kosten nichts, weil sie auf anerkannten Rahmenwerken und oeffentlichen Ressourcen beruhen. Am Budget scheitert der Start nicht.
Nicht das Tool zaehlt, sondern die Frage, die es Ihnen stellt. "Haben wir einen zweiten Identitaetsnachweis, um uns bei der E-Mail anzumelden?", "Koennten wir einen versehentlich geloeschten Kundenordner wiederherstellen?". Ein gutes Tool verwandelt eine diffuse Sorge in eine konkrete, priorisierbare Liste.
Ein falsch gelesenes Fachtool ist schlimmer als kein Tool. Ein technischer Bericht, den niemand versteht, landet in der Schublade und erweckt den Eindruck, "es sei erledigt". In der Schweiz veroeffentlicht das BACS (NCSC), das Bundesamt fuer Cybersicherheit, gerade kostenlose Ressourcen fuer KMU: ein verlaesslicher Ausgangspunkt, in Ihrer Sprache und Ihrem Kontext.
Ein Tool ersetzt keine Methode. Drei Fragebogen und zwei Dashboards uebereinanderzustapeln bringt nichts, wenn niemand die Antworten verknuepft. Der Wert einer Selbstbewertung liegt nicht in der Zahl der Tools, sondern darin, in sechs Monaten an denselben Punkt zurueckzukehren und zu sehen, was sich bewegt hat. Die Wiederholung macht aus einer Momentaufnahme eine Entwicklung — und genau das beruhigt eine Kundin wirklich, die Ihnen ihre Daten anvertraut.
Die Schritte fuer diese Woche
Drei Schritte, ohne Budget und ohne Anruf beim Dienstleister. Jeder liefert Ihnen einen Ausgangswert.
1. Oeffnen Sie das Sicherheits-Dashboard, das Sie bereits bezahlen
Ihre Buerosuite — E-Mail, Dateifreigabe, Kalender — zeigt fast immer einen Sicherheitsindikator: eine Gesamtnote samt konkreter Empfehlungen (Zwei-Faktor-Authentifizierung aktivieren, zu offene Dateifreigaben pruefen, inaktive Konten aufspueren). Die meisten Fuehrungskraefte haben ihn nie geoeffnet. Nehmen Sie sich zehn Minuten, finden Sie diesen Bildschirm in der Administrationskonsole, notieren Sie den angezeigten Wert. Das ist Ihr Nullpunkt — der, den Sie anheben wollen. Sie haben keine Administrationsrechte? Auch das ist eine Information: Es bedeutet, dass nur Ihr Dienstleister dieses Dashboard sieht — und nichts hindert Sie daran, bei seinem naechsten Einsatz einen kommentierten Screenshot zu verlangen.
2. Beantworten Sie ehrlich einen offiziellen Selbstbewertungs-Fragebogen
Das BACS (NCSC) und anerkannte Referenzrahmen bieten kostenlose Checklisten fuer kleine Strukturen. Das Rahmenwerk NIST CSF 2.0 etwa gliedert Sicherheit in sechs leicht verstaendliche Funktionen — steuern, identifizieren, schuetzen, erkennen, reagieren, wiederherstellen —, die als Leitfaden dienen, damit nichts vergessen geht. Reservieren Sie dreissig Minuten und antworten Sie ohne Selbstbeweihraeucherung: Jedes "nein" oder "weiss ich nicht" ist kein Vorwurf, sondern eine bereits erkannte kuenftige Massnahme. Machen Sie die Uebung zuerst allein, dann mit der Person, die Zahlungen oder Kundenakten betreut: Die Abweichungen zwischen Ihren beiden Antworten sind oft genau dort, wo das Risiko sitzt. Halten Sie diesen ersten Durchgang datiert fest, um ihn mit dem naechsten zu vergleichen.
3. Pruefen Sie, was unter Ihrem Namen bereits durchgesickert ist
Es gibt kostenlose Leck-Pruefdienste (englisch breach check): Sie geben eine E-Mail-Adresse des Unternehmens ein, und der Dienst sagt Ihnen, ob sie in bekannten oeffentlichen Datenlecks aufgetaucht ist. Wenn ein Arbeitspasswort beim Hack eines Drittanbieters offengelegt wurde, sollten Sie das wissen, bevor ein Betrueger es nutzt. Kostenlos, sofort, und oft der Ausloeser zum Handeln. Beginnen Sie mit den sensibelsten Adressen — Geschaeftsleitung, Buchhaltung, die allgemeine Kontaktadresse —, jenen, deren Kompromittierung den groessten Schaden anrichten wuerde. Ein positives Ergebnis heisst nicht, dass jemand in Ihre Systeme eingedrungen ist; es heisst, dass es Zeit ist, das betreffende Passwort zu aendern und zu pruefen, ob ein zweiter Identitaetsnachweis dieses Konto wirklich schuetzt.
Wo stehen Sie wirklich?
Diese drei Schritte liefern Ihnen einzelne Datenpunkte: eine Buerosuite-Note, eine halb abgehakte Checkliste, eine Liste offengelegter Adressen. Das ist bereits weit mehr als "wir passen auf". Aber es sind verstreute Teile, ohne Gesamtbild und ohne Prioritaetenordnung.
Genau diese Luecke schliesst die Cyber-Passport-Selbstbewertung. Sie fuehrt diese Signale zu einem stimmigen Bild zusammen, geordnet nach Rahmenwerk — zuerst das revDSG (das revidierte Datenschutzgesetz), denn es gilt fuer Ihre Schweizer Kundendaten. Sie zertifiziert nichts: Sie zeigt Ihnen Frage fuer Frage, wo Ihre Organisation solide ist und wo sie noch auf Vertrauen und Gewohnheit beruht. Und vor allem erstellt sie einen Bericht, den Sie mit einer Kundin oder einem Auditor teilen koennen, wenn die Frage wieder aufkommt — diesmal mit einer echten Antwort.
