Resilia
IT
Cyber-Resilienz & IT-Compliance
Unternehmensdaten (#6)
Vorname
Nachname
E-Mail Adresse
Unternehmensname
Rechtsform
Jahresumsatz
Mitarbeiteranzahl
Branche
– Select –
Metallverarbeitung
Maschinenbau / Anlagenbau
Lebensmittelproduktion/Verpackug
Chemie / Pharma / Labor
Elektronik- / Bauteile-Fertigung
Arztpraxis / MVZ
Fitnessstudio / Physiotherapie
Pflege / Seniorenheim
Apotheke / Sanitätshaus
Online-Shop / D2C
Einzelhandel mit Kassensystem(POS)
Großhandel / B2B-Handel
Kfz-Handel / Werkstatt
Steuerberater / Wirtschaftsprüfer
Rechtsanwaltskanzlei
Handwerk / Gebäudetechnik
Versicherungsmakler / -berater
Finanzberater / Vermögensverwaltung
Immobilienmakler / -verwaltung
Spedition / Frachtführer
Kurier / Express / Paket (KEP
Lagerlogistik / Fulfillment
PR- / Kommunikationsagentur
Foto- / Video-Produktion
Freelance-Designer / Texter
Werden CNC-Programme, Werkzeugdaten und Maschinenkonfigurationen täglich auf einem isolierten Datenträger gesichert (nicht im selben Netz)?
Nein
Teilweise
Ja
Sind CNC-Maschinen und deren Steuerrechner (SPS/HMI) in einem eigenen OT-VLAN ohne direkten Internet-Zugang betrieben?
Nein
Teilwese
Ja
Ist der zentrale Leitstand, über den Ihre Fertigungsprozesse überwacht und gesteuert werden, so abgesichert, dass ein Cyberangriff auf die Verwaltung/das Büro (z.B. Erpressersoftware) die Steuerung der Anlagen nicht lahmlegen oder manipulieren kann?
Nein
Teilweise
Ja
Werden Sicherheitsanforderungen (ISO 27001 oder IEC 62443) an Komponentenlieferanten und Subunternehmer vertraglich durchgesetzt?
Nein
Teilweise
Ja
Sind Produktionssteuerungen (Abfüllanlage, Kühlung, Verpackung) netzsegmentiert und werden OT-Alarme zentral überwacht?
Nein
Teilweise
Ja
Nutzen Sie für Ihre gesetzlichen Dokumentationspflichten (HACCP, Chargen- und Rückverfolgbarkeit) ein digitales Archiv, das absolut fälschungssicher ist und im Ernstfall (z.B. bei einer Erpressersoftware) die Daten lückenlos wiederherstellen kann, um Produktionsverbote zu verhindern?
Nein
Teilweise
Ja
Sind Laborgeräte, Analysesysteme (LIMS) und Produktionsanlagen nach GAMP 5 validiert und netzwerksegmentiert?
Nein
Teilweise
Ja
Werden Forschungsdaten, Patentunterlagen und Rezepturen verschlüsselt, offline gesichert und mit Zugriffs-Audit-Trail gespeichert?
Nein
Teilweise
Ja
Sind Leiterplatten-Designs, Firmware-Quellcodes und Test-Spezifikationen in gesicherten Repositories mit Versionierung und Zugriffskontrolle gespeichert?
Nein
Teilweise
Ja
Werden Ihre externen Produktionsdienstleister (EMS/Bestücker) auf ihre IT-Sicherheitsstandards überprüft, bevor Sie ihnen sensible Entwicklungsdaten, Quellcodes oder Platinen-Designs anvertrauen?
Nein
Teilweise
Ja
Ist das Krankenhausinformationssystem (KIS) / die Praxissoftware in einem eigenen Netz ohne direkten Internet-Zugang der Behandlungsrechner betrieben?
Nein
Teilweise
Ja
Wird Ihr TI-Konnektor (Telematikinfrastruktur für eRezept, elektronische Patientenakte ePA, Versichertenstammdatenabgleich etc.) regelmäßig von Ihrem zertifizierten IT-Partner gewartet und mit den neuesten Sicherheitsupdates versorgt?
Nein
Teilweise
Ja
Ist das Mitglieder-CRM mit Gesundheits- und Zahlungsdaten in einer verschlüsselten Datenbank mit MFA-Zugang gespeichert?
Nein
Teilweise
Ja
Ist Ihr digitales Zugangssystem (z. B. Chipkarten, Drehkreuze, Mitglieder-App) so abgesichert, dass es auch bei einem kompletten Internet- oder Computerausfall reibungslos weiterfunktioniert und Kunden trotzdem ein- und ausgehen können?
Nein
Teilweise
Ja
Sind digitale Pflegedokumentationen (Pflegeplanung, Medikamentenpläne) DSGVO-konform verschlüsselt und nur für autorisiertes Personal zugänglich?(Praxis-Check für DSGVO-Konformität: Sperren sich Tablets/PCs auf den Wohnbereichen bei Inaktivität nach kurzer Zeit automatisch selbst? Nutzen Mitarbeiter eigene Passwörter statt Gemeinschafts-Logins und sind die Geräte für den Fall eines Diebstahls komplett verschlüsselt)
Nein
Teilweise
Ja
Sind vernetzte Pflegegeräte (Pflegebetten, Sturzmelder, Notruf) in isolierten Netzwerksegmenten ohne Zugang zu Pflegedaten-Systemen?
Nein
Teilweise
Ja
💊 Wenn das Warenwirtschaftssystem morgens nicht startet — Sie kommen Montag früh in die Apotheke, das WWS fährt nicht hoch (Ransomware-Meldung am Bildschirm). Können Sie noch eRezepte einlösen, BtM-Belege buchen, Kassenabschlüsse machen? Apotheken sind besonders verletzlich, weil sie eine seltene Kombination an Hochrisiko-Daten haben: Gesundheitsdaten (DSGVO Art. 9) + Zahlungsdaten + verschreibungspflichtige Medikamente (BtM-Pflicht). Praxis-Realität: In vielen Apotheken laufen alle PTAs mit dem gleichen ‚Apotheke‘-Login — wird das gehackt, hat der Angreifer ALLES
Nein
Teilweise
Ja
Ist Ihre Anbindung an das securPharm-System (zur Medikamentenprüfung) durch regelmäßige Updates Ihres Softwarehauses geschützt und gibt es einen Notfallplan bei einem Systemausfall?
Nein
Teilweise
Ja
Ist eine WAF (Web Application Firewall) mit Bot-Protection vor dem Checkout aktiv und werden Transaktionen auf Betrug überwacht (Fraud Detection)?Verizon DBIR Retail 2024: Web-App-Angriffe (SQLi, Credential Stuffing, Card Skimming) dominieren im E-Commerce. Magecart/JS-Skimmer sind aktuelle Top-Bedrohung.
Nein
Teilweise
Ja
Ist der sichere Umgang mit Kreditkartendaten nachweislich zertifiziert? (PCI-Sicherheitsstandard/oder nutzen Sie einen externen Zahlungsanbieter (wie Stripe oder PayPal), der die Daten sicher verarbeitet (Tokenisierung)?
Nein
Teilweise(Unterschiede beim Checkout)
Ja
Terminals & Manipulationsschutz — Werden für das Bezahlen moderne, verschlüsselte Terminals (P2PE/PCI-PTS) genutzt und werden die Geräte (PIN-Pads) regelmäßig auf physische Manipulationen (z.B. Skimmer-Aufsätze) geprüft?
Nein
Teilweise
Ja
POS-Netzwerk-Trennung — Sind die Kassensysteme (POS) in einem eigenen, isolierten Netzwerksegment betrieben, das komplett vom normalen Büro-Netzwerk und dem Gäste-WLAN getrennt ist? Verizon DBIR: Wenn ein Mitarbeiter im Büro auf eine Phishing-Mail klickt, darf sich die Schadsoftware niemals bis zu den Kassenterminals ausbreiten können.
Nein
Teilweise
Ja
Sind die digitalen Bestell- und Lieferverbindungen (EDI) zu Ihren Kunden und Lieferanten verschlüsselt und absolut fälschungssicher geschützt?(Wenn diese Verbindungen veraltet oder unverschlüsselt sind, können Hacker den Datenstrom unbemerkt mitlesen. Im schlimmsten Fall manipulieren Angreifer Bestellmengen, ändern die Preise im Hintergrund oder fälschen die Kontodaten auf den Rechnungen
Nein
Teilweise
Ja
Physischer Kassenschutz- Sind die Kassenberechtigungen so eingestellt, dass Kassierer keine kritischen Aktionen (wie Stornierungen, Rabatte oder Kassenöffnung ohne Verkauf) ohne Freigabe durch die Filialleitung durchführen können?
Nein
Teilweise
Ja
Werden OBD-Diagnosesysteme und Hersteller-Portale (z.B. VW-Group Connect) über segmentierte Verbindungen ohne Zugang zu Kundendaten-Systemen betrieben?
Nein
Teilweise
Ja
Sind Zugänge zu Hersteller- und Importeursportalen (Bestellsysteme, Garantieabwicklung, Fahrzeugkonfiguration) mit MFA gesichert und werden ehemalige Mitarbeiter-Zugänge sofort nach Austritt gesperrt?(Ungeschützte Hersteller-Portal-Zugänge ermöglichen unberechtigte Fahrzeugbestellungen, Garantiemissbrauch und Zugriff auf Kundendaten & aktive Ex-Mitarbeiter-Accounts sind im Kfz-Handel ein bekanntes Risiko)
Nein
Teilweise
Ja
Laufen die automatischen Datenverbindungen zu Versicherungsgesellschaften (für Policenabrufe, Bestandsübertragungen) über gesicherte, verschlüsselte Kanäle — und nicht über veraltete, offene Schnittstellen?ine ungesicherte Verbindung ist ein offenes Fenster für Angreifer, die Kundendaten abgreifen oder manipulieren wollen
Nein
Teilweise
Ja
Ist Ihr Verwaltungsprogramm (mit allen Kundenverträgen, Bankverbindungen und Gesundheitsdaten) so gesichert, dass nur berechtigte Mitarbeiter Zugriff haben? Gerät das in falsche Hände, sind Kunden doppelt betroffen — und die DSGVO-Meldepflicht tritt sofort ein
Nein
Teilweise
Ja
Zugang zu Depots und Handelsplattformen absichern — Sind alle Logins zu Depot-Systemen, Handelsplattformen und Bankportalen mit einer Authenticator-App oder einem Hardware-Schlüssel gesichert — und nicht nur mit Passwort und SMS-Code?
Nein
Teilweise
Ja
📑 Beratungsdokumentation vor Manipulation schützen — Werden Beratungsgespräche, Anlageempfehlungen und Kundenprofile in einem System gespeichert, das Änderungen protokolliert und ein 10-jähriges, unveränderliches Archiv garantiert?Die BaFin kann jederzeit vollständige Beratungshistorien der letzten 10 Jahre anfordern
Nein
Teilweise
Ja, noch per E-Mail
Mieterdaten und Bonitätsunterlagen sicher ablegen — Werden Ausweiskopien, SCHUFA-Auskünfte und Mietverträge von Interessenten und Mietern DSGVO-konform gespeichert — mit klarer Regel wann diese Daten wieder gelöscht werden?
Nein
Teilweise
Ja
Was passiert wenn die IT ausfällt? — Weiß jeder im Team was zu tun ist wenn das System durch einen Cyberangriff oder Datenleck bzw. Systemausfall ausfällt — wer wird zuerst angerufen, wie läuft die Beratung notfalls ohne PC weiter und wer informiert die Kunden?
Nein
Teilweise
Ja
Sind die Daten Ihrer Transport-Software (TMS) durch tägliche Backups geschützt, die physisch oder logisch komplett vom restlichen Firmennetzwerk isoliert sind (Offline- oder Cloud-Tresor-Backup)?
Nein
Teilweise
Ja
Wurden Disponenten und Buchhaltung gegen Phishing und gefälschte Fracht-/Überweisungsaufforderungen geschult? Disponenten erhalten täglich externe E-Mails mit Frachtaufträgen. BEC-Angriffe auf die Transportbranche nehmen stark zu
Nein
Teilweise
Ja
Fahrer-Kommunikation — Werden Tourenpläne und Adressänderungen über verschlüsselte Geschäftskanäle übermittelt (nicht über private WhatsApp-Gruppen)? Private Messenger speichern Adressen und Empfängerdaten auf privaten Handys. (DSGVO-Problem und Sicherheitsrisiko)
Nein
Teilweise
Ja
Wurden Disponenten und Buchhaltung gegen Phishing und gefälschte Fracht-/Überweisungsaufforderungen geschult? Disponenten erhalten täglich externe E-Mails mit Frachtaufträgen. BEC-Angriffe auf die Transportbranche nehmen stark zu
Nein
Teilweise
Ja
Absicherung der Lager-Steuerung (WMS/SPS) — Sind die Steuerungssysteme des Lagers (WMS, Hochregallager, Förderbänder, Scanner-Infrastruktur) in einem eigenen Netzwerksegment untergebracht, das vom normalen Büro-Netzwerk und dem Gäste-WLAN vollständig getrennt ist? Klickt ein Mitarbeiter im Büro auf einen Phishing-Link, breitet sich ein Trojaner im gesamten Netzwerk aus. Erreicht er die Lager-Steuerung, fallen Barcodescanner, Sortieranlagen und Förderbänder aus — das Lager ist sofort gelähmt.
Nein
Teilweise
Ja
Werden Ihre Mitarbeiter (insbesondere in der Verwaltung, Disposition und Buchhaltung) durch regelmäßige Schulungen oder simulierte Tests darauf trainiert, gefälschte E-Mails (Phishing) zu erkennen, und gibt es einen Meldeweg für verdächtige Nachrichten?
Nein
Teilweise
Ja
Freelancer-Zugang — Haben externe Grafiker und Texter nur temporären Zugriff auf interne Systeme und wird dieser nach Projektende sofort entzogen? (Aktive Freelancer-Accounts in Google Drive/Figma nach Projektende sind offene Hintertüren zu Kundendaten und unveröffentlichten Kampagnen)
Nein
Teilweise
Ja
Phishing-Schutz — Wurden alle Mitarbeiter (auch Junior-Designer, Praktikanten) gegen Phishing und gefälschte Kunden-E-Mails geschult? Agenturen bekommen viele externe E-Mails mit Anhängen von ’neuen Kunden‘. Perfekte Tarnung für Malware
Nein
Teilweise
Ja
Social-Media-Konten der Kunden absichern — Sind alle Kunden-Accounts (Instagram, LinkedIn, X/Twitter, Facebook) die Sie verwalten über einen zentralen Business Manager geführt — und nicht über private Mitarbeiter-Logins — sodass ein Mitarbeiterwechsel keinen Kontrollverlust bedeutet? Der häufigste und teuerste Schadensfall in PR-Agenturen:
Nein
Teilweise
Ja
Cloud-Zugriffsrechte (Least Privilege): Sind Google Drive, Dropbox oder OneDrive für Kundenprojekte so konfiguriert, dass externe Links nicht öffentlich einsehbar sind und Berechtigungen restriktiv vergeben werden? Art. 32 DSGVO — Technische & organisatorische Maßnahmen (TOMs)
Nein
Teilweise
Ja
Werden eilige Zahlungsaufforderungen und IBAN-Änderungen von Freelancern über einen zweiten Kanal (Telefon) verifiziert? (Agenturen erhalten gefälschte CEO-Mails und gefälschte Freelancer-IBAN-Änderungen)
Nein
Teilweise
Ja
Phishing-Schutz — Wurden alle Mitarbeiter (auch Junior-Designer, Praktikanten) gegen Phishing und gefälschte Kunden-E-Mails geschult? Agenturen bekommen viele externe E-Mails mit Anhängen von ’neuen Kunden‘. Perfekte Tarnung für Malware
Nein
Teilweise
Ja
Weiter
