Analyse Starten – ResiliaIT

ResiliaIT

Cyber-Resilienz & IT-Compliance

Unternehmensdaten (#6)

Vorname

Nachname

E-Mail Adresse

Unternehmensname

Rechtsform

Jahresumsatz

Mitarbeiteranzahl

Branche

Werden CNC-Programme, Werkzeugdaten und Maschinenkonfigurationen täglich auf einem isolierten Datenträger gesichert (nicht im selben Netz)?

Nein

Teilweise

Sind CNC-Maschinen und deren Steuerrechner (SPS/HMI) in einem eigenen OT-VLAN ohne direkten Internet-Zugang betrieben?

Nein

Teilwese

Ist der zentrale Leitstand, über den Ihre Fertigungsprozesse überwacht und gesteuert werden, so abgesichert, dass ein Cyberangriff auf die Verwaltung/das Büro (z.B. Erpressersoftware) die Steuerung der Anlagen nicht lahmlegen oder manipulieren kann?

Nein

Teilweise

Werden Sicherheitsanforderungen (ISO 27001 oder IEC 62443) an Komponentenlieferanten und Subunternehmer vertraglich durchgesetzt?

Nein

Teilweise

Sind Produktionssteuerungen (Abfüllanlage, Kühlung, Verpackung) netzsegmentiert und werden OT-Alarme zentral überwacht?

Nein

Teilweise

Nutzen Sie für Ihre gesetzlichen Dokumentationspflichten (HACCP, Chargen- und Rückverfolgbarkeit) ein digitales Archiv, das absolut fälschungssicher ist und im Ernstfall (z.B. bei einer Erpressersoftware) die Daten lückenlos wiederherstellen kann, um Produktionsverbote zu verhindern?

Nein

Teilweise

Sind Laborgeräte, Analysesysteme (LIMS) und Produktionsanlagen nach GAMP 5 validiert und netzwerksegmentiert?

Nein

Teilweise

Werden Forschungsdaten, Patentunterlagen und Rezepturen verschlüsselt, offline gesichert und mit Zugriffs-Audit-Trail gespeichert?

Nein

Teilweise

Sind Leiterplatten-Designs, Firmware-Quellcodes und Test-Spezifikationen in gesicherten Repositories mit Versionierung und Zugriffskontrolle gespeichert?

Nein

Teilweise

Werden Ihre externen Produktionsdienstleister (EMS/Bestücker) auf ihre IT-Sicherheitsstandards überprüft, bevor Sie ihnen sensible Entwicklungsdaten, Quellcodes oder Platinen-Designs anvertrauen?

Nein

Teilweise

Ist das Krankenhausinformationssystem (KIS) / die Praxissoftware in einem eigenen Netz ohne direkten Internet-Zugang der Behandlungsrechner betrieben?

Nein

Teilweise

Wird Ihr TI-Konnektor (Telematikinfrastruktur für eRezept, elektronische Patientenakte ePA, Versichertenstammdatenabgleich etc.) regelmäßig von Ihrem zertifizierten IT-Partner gewartet und mit den neuesten Sicherheitsupdates versorgt?

Nein

Teilweise

Ist das Mitglieder-CRM mit Gesundheits- und Zahlungsdaten in einer verschlüsselten Datenbank mit MFA-Zugang gespeichert?

Nein

Teilweise

Ist Ihr digitales Zugangssystem (z. B. Chipkarten, Drehkreuze, Mitglieder-App) so abgesichert, dass es auch bei einem kompletten Internet- oder Computerausfall reibungslos weiterfunktioniert und Kunden trotzdem ein- und ausgehen können?

Nein

Teilweise

Sind digitale Pflegedokumentationen (Pflegeplanung, Medikamentenpläne) DSGVO-konform verschlüsselt und nur für autorisiertes Personal zugänglich?(Praxis-Check für DSGVO-Konformität: Sperren sich Tablets/PCs auf den Wohnbereichen bei Inaktivität nach kurzer Zeit automatisch selbst? Nutzen Mitarbeiter eigene Passwörter statt Gemeinschafts-Logins und sind die Geräte für den Fall eines Diebstahls komplett verschlüsselt)

Nein

Teilweise

Sind vernetzte Pflegegeräte (Pflegebetten, Sturzmelder, Notruf) in isolierten Netzwerksegmenten ohne Zugang zu Pflegedaten-Systemen?

Nein

Teilweise

💊 Wenn das Warenwirtschaftssystem morgens nicht startet — Sie kommen Montag früh in die Apotheke, das WWS fährt nicht hoch (Ransomware-Meldung am Bildschirm). Können Sie noch eRezepte einlösen, BtM-Belege buchen, Kassenabschlüsse machen? Apotheken sind besonders verletzlich, weil sie eine seltene Kombination an Hochrisiko-Daten haben: Gesundheitsdaten (DSGVO Art. 9) + Zahlungsdaten + verschreibungspflichtige Medikamente (BtM-Pflicht). Praxis-Realität: In vielen Apotheken laufen alle PTAs mit dem gleichen ‚Apotheke‘-Login — wird das gehackt, hat der Angreifer ALLES

Nein

Teilweise

Ist Ihre Anbindung an das securPharm-System (zur Medikamentenprüfung) durch regelmäßige Updates Ihres Softwarehauses geschützt und gibt es einen Notfallplan bei einem Systemausfall?

Nein

Teilweise

Ist eine WAF (Web Application Firewall) mit Bot-Protection vor dem Checkout aktiv und werden Transaktionen auf Betrug überwacht (Fraud Detection)?Verizon DBIR Retail 2024: Web-App-Angriffe (SQLi, Credential Stuffing, Card Skimming) dominieren im E-Commerce. Magecart/JS-Skimmer sind aktuelle Top-Bedrohung.

Nein

Teilweise

Ist der sichere Umgang mit Kreditkartendaten nachweislich zertifiziert? (PCI-Sicherheitsstandard/oder nutzen Sie einen externen Zahlungsanbieter (wie Stripe oder PayPal), der die Daten sicher verarbeitet (Tokenisierung)?

Nein

Teilweise(Unterschiede beim Checkout)

Terminals & Manipulationsschutz — Werden für das Bezahlen moderne, verschlüsselte Terminals (P2PE/PCI-PTS) genutzt und werden die Geräte (PIN-Pads) regelmäßig auf physische Manipulationen (z.B. Skimmer-Aufsätze) geprüft?

Nein

Teilweise

POS-Netzwerk-Trennung — Sind die Kassensysteme (POS) in einem eigenen, isolierten Netzwerksegment betrieben, das komplett vom normalen Büro-Netzwerk und dem Gäste-WLAN getrennt ist? Verizon DBIR: Wenn ein Mitarbeiter im Büro auf eine Phishing-Mail klickt, darf sich die Schadsoftware niemals bis zu den Kassenterminals ausbreiten können.

Nein

Teilweise

Sind die digitalen Bestell- und Lieferverbindungen (EDI) zu Ihren Kunden und Lieferanten verschlüsselt und absolut fälschungssicher geschützt?(Wenn diese Verbindungen veraltet oder unverschlüsselt sind, können Hacker den Datenstrom unbemerkt mitlesen. Im schlimmsten Fall manipulieren Angreifer Bestellmengen, ändern die Preise im Hintergrund oder fälschen die Kontodaten auf den Rechnungen

Nein

Teilweise

Physischer Kassenschutz- Sind die Kassenberechtigungen so eingestellt, dass Kassierer keine kritischen Aktionen (wie Stornierungen, Rabatte oder Kassenöffnung ohne Verkauf) ohne Freigabe durch die Filialleitung durchführen können?

Nein

Teilweise

Werden OBD-Diagnosesysteme und Hersteller-Portale (z.B. VW-Group Connect) über segmentierte Verbindungen ohne Zugang zu Kundendaten-Systemen betrieben?

Nein

Teilweise

Sind Zugänge zu Hersteller- und Importeursportalen (Bestellsysteme, Garantieabwicklung, Fahrzeugkonfiguration) mit MFA gesichert und werden ehemalige Mitarbeiter-Zugänge sofort nach Austritt gesperrt?(Ungeschützte Hersteller-Portal-Zugänge ermöglichen unberechtigte Fahrzeugbestellungen, Garantiemissbrauch und Zugriff auf Kundendaten & aktive Ex-Mitarbeiter-Accounts sind im Kfz-Handel ein bekanntes Risiko)

Nein

Teilweise

Laufen die automatischen Datenverbindungen zu Versicherungsgesellschaften (für Policenabrufe, Bestandsübertragungen) über gesicherte, verschlüsselte Kanäle — und nicht über veraltete, offene Schnittstellen?ine ungesicherte Verbindung ist ein offenes Fenster für Angreifer, die Kundendaten abgreifen oder manipulieren wollen

Nein

Teilweise

Ist Ihr Verwaltungsprogramm (mit allen Kundenverträgen, Bankverbindungen und Gesundheitsdaten) so gesichert, dass nur berechtigte Mitarbeiter Zugriff haben? Gerät das in falsche Hände, sind Kunden doppelt betroffen — und die DSGVO-Meldepflicht tritt sofort ein

Nein

Teilweise

Zugang zu Depots und Handelsplattformen absichern — Sind alle Logins zu Depot-Systemen, Handelsplattformen und Bankportalen mit einer Authenticator-App oder einem Hardware-Schlüssel gesichert — und nicht nur mit Passwort und SMS-Code?

Nein

Teilweise

📑 Beratungsdokumentation vor Manipulation schützen — Werden Beratungsgespräche, Anlageempfehlungen und Kundenprofile in einem System gespeichert, das Änderungen protokolliert und ein 10-jähriges, unveränderliches Archiv garantiert?Die BaFin kann jederzeit vollständige Beratungshistorien der letzten 10 Jahre anfordern

Nein

Teilweise

Ja, noch per E-Mail

Mieterdaten und Bonitätsunterlagen sicher ablegen — Werden Ausweiskopien, SCHUFA-Auskünfte und Mietverträge von Interessenten und Mietern DSGVO-konform gespeichert — mit klarer Regel wann diese Daten wieder gelöscht werden?

Nein

Teilweise

Was passiert wenn die IT ausfällt? — Weiß jeder im Team was zu tun ist wenn das System durch einen Cyberangriff oder Datenleck bzw. Systemausfall ausfällt — wer wird zuerst angerufen, wie läuft die Beratung notfalls ohne PC weiter und wer informiert die Kunden?

Nein

Teilweise

Sind die Daten Ihrer Transport-Software (TMS) durch tägliche Backups geschützt, die physisch oder logisch komplett vom restlichen Firmennetzwerk isoliert sind (Offline- oder Cloud-Tresor-Backup)?

Nein

Teilweise

Wurden Disponenten und Buchhaltung gegen Phishing und gefälschte Fracht-/Überweisungsaufforderungen geschult? Disponenten erhalten täglich externe E-Mails mit Frachtaufträgen. BEC-Angriffe auf die Transportbranche nehmen stark zu

Nein

Teilweise

Fahrer-Kommunikation — Werden Tourenpläne und Adressänderungen über verschlüsselte Geschäftskanäle übermittelt (nicht über private WhatsApp-Gruppen)? Private Messenger speichern Adressen und Empfängerdaten auf privaten Handys. (DSGVO-Problem und Sicherheitsrisiko)

Nein

Teilweise

Nein

Teilweise

Absicherung der Lager-Steuerung (WMS/SPS) — Sind die Steuerungssysteme des Lagers (WMS, Hochregallager, Förderbänder, Scanner-Infrastruktur) in einem eigenen Netzwerksegment untergebracht, das vom normalen Büro-Netzwerk und dem Gäste-WLAN vollständig getrennt ist? Klickt ein Mitarbeiter im Büro auf einen Phishing-Link, breitet sich ein Trojaner im gesamten Netzwerk aus. Erreicht er die Lager-Steuerung, fallen Barcodescanner, Sortieranlagen und Förderbänder aus — das Lager ist sofort gelähmt.

Nein

Teilweise

Werden Ihre Mitarbeiter (insbesondere in der Verwaltung, Disposition und Buchhaltung) durch regelmäßige Schulungen oder simulierte Tests darauf trainiert, gefälschte E-Mails (Phishing) zu erkennen, und gibt es einen Meldeweg für verdächtige Nachrichten?

Nein

Teilweise

Freelancer-Zugang — Haben externe Grafiker und Texter nur temporären Zugriff auf interne Systeme und wird dieser nach Projektende sofort entzogen? (Aktive Freelancer-Accounts in Google Drive/Figma nach Projektende sind offene Hintertüren zu Kundendaten und unveröffentlichten Kampagnen)

Nein

Teilweise

Phishing-Schutz — Wurden alle Mitarbeiter (auch Junior-Designer, Praktikanten) gegen Phishing und gefälschte Kunden-E-Mails geschult? Agenturen bekommen viele externe E-Mails mit Anhängen von ’neuen Kunden‘. Perfekte Tarnung für Malware

Nein

Teilweise

Social-Media-Konten der Kunden absichern — Sind alle Kunden-Accounts (Instagram, LinkedIn, X/Twitter, Facebook) die Sie verwalten über einen zentralen Business Manager geführt — und nicht über private Mitarbeiter-Logins — sodass ein Mitarbeiterwechsel keinen Kontrollverlust bedeutet? Der häufigste und teuerste Schadensfall in PR-Agenturen:

Nein

Teilweise

Cloud-Zugriffsrechte (Least Privilege): Sind Google Drive, Dropbox oder OneDrive für Kundenprojekte so konfiguriert, dass externe Links nicht öffentlich einsehbar sind und Berechtigungen restriktiv vergeben werden? Art. 32 DSGVO — Technische & organisatorische Maßnahmen (TOMs)

Nein

Teilweise

Werden eilige Zahlungsaufforderungen und IBAN-Änderungen von Freelancern über einen zweiten Kanal (Telefon) verifiziert? (Agenturen erhalten gefälschte CEO-Mails und gefälschte Freelancer-IBAN-Änderungen)

Nein

Teilweise

Nein

Teilweise