IT-Audit-Checkliste: Was ein Betrieb über seine IT wissen muss

Die meisten Betriebe wissen erstaunlich genau, welche Fahrzeuge sie besitzen und wann der nächste Termin ansteht. Bei der IT sieht es anders aus. Dort ist über Jahre etwas gewachsen, Geräte kamen dazu, jemand richtete einen Cloud-Dienst ein, ein Mitarbeiter ging, und niemand hat je aufgeschrieben, was eigentlich alles läuft.

Eine Bestandsaufnahme kostet einen Tag und beantwortet drei Fragen: Was ist vorhanden, wer hat Zugriff, und was passiert, wenn etwas ausfällt.

1. Geräte

Zählen Sie alles, was rechnet oder Daten hält: Arbeitsplatzrechner, Notebooks, Server, NAS, Tablets, Diensthandys, Drucker mit Festplatte, Kassensysteme. Notieren Sie je Gerät das Anschaffungsjahr, das Betriebssystem und wer damit arbeitet.

Zwei Dinge fallen dabei fast immer auf. Erstens sind einzelne Geräte älter, als alle dachten. Zweitens taucht Hardware auf, die niemand mehr braucht und die trotzdem am Netz hängt.

2. Konten und Zugriffe

Hier liegt der wertvollste Teil. Listen Sie alle Benutzerkonten auf, und zwar auch die in Cloud-Diensten, im Onlinebanking, im Shop-System und beim Domain-Anbieter.

Dann stellen Sie die Frage, die am meisten aufdeckt: Wer hat noch Zugriff, obwohl er nicht mehr da ist? Ehemalige Mitarbeiter, der Praktikant vom letzten Sommer, der Dienstleister, der vor drei Jahren die Website gemacht hat. In fast jedem Betrieb findet sich mindestens ein aktives Konto, das längst hätte geschlossen sein müssen.

3. Lizenzen und Abos

Welche Software wird bezahlt, für wie viele Nutzer, und wird sie noch benutzt? Betriebe zahlen regelmäßig für Arbeitsplätze, die es nicht mehr gibt, oder für eine höhere Stufe, deren Funktionen niemand nutzt.

Notieren Sie zu jedem Posten den Betrag, den Abrechnungszeitraum und das Kündigungsdatum. Diese Spalte allein rechtfertigt oft schon den Aufwand, wie der Ratgeber IT-Kosten senken an Beispielen zeigt.

4. Die Sicherung

Die Frage lautet hier, ob sie funktioniert, und nicht bloß, ob es eine gibt. Klären Sie:

• Was wird gesichert? Auch die Datenbank der Branchensoftware und die Postfächer, nicht nur der Dateiordner.
• Wohin? Und liegt mindestens eine Kopie getrennt vom laufenden Betrieb?
• Wer schaut auf die Meldungen? Sicherungen scheitern oft monatelang unbemerkt.
• Wann wurde zuletzt zurückgespielt? Ohne diese Antwort ist alles andere eine Vermutung.

Der Maßstab dafür steht unter 3-2-1-Backup-Regel.

5. Netzwerk und Internet

Welcher Anschluss mit welcher Bandbreite, welcher Router, wie viele Zugangspunkte, gibt es ein Gäste-WLAN, und ist es vom Betriebsnetz getrennt? Notieren Sie auch, wer das WLAN-Kennwort kennt. Bei einem Kennwort, das seit fünf Jahren gilt und im Pausenraum hängt, ist die Antwort meist: alle.

6. Verträge und Ansprechpartner

Wer ist zuständig für Internet, Telefonie, Software, Website, Domain und Mail? Mit welcher Kundennummer, welcher Laufzeit und welcher Kündigungsfrist? Und die entscheidende Zusatzfrage: Auf wen laufen diese Verträge? Domains und Cloud-Konten, die auf eine Privatperson oder einen ehemaligen Dienstleister laufen, sind ein stilles Risiko.

7. Der Notfallzugang

Was passiert, wenn die eine Person, die alles weiß, zwei Wochen ausfällt? Für diesen Fall braucht es eine hinterlegte Liste der wichtigsten Zugänge, an einem Ort, den die Geschäftsführung erreicht, und eine Absprache, wer im Ernstfall entscheiden darf.

Das ist kein Misstrauen gegenüber Mitarbeitern, es ist dieselbe Vorsorge wie bei einem Schlüssel für den Firmentresor.

Was Sie danach entscheiden können

Mit diesen sieben Listen lässt sich zum ersten Mal rechnen. Sie sehen, welche Geräte in den nächsten zwölf Monaten fällig werden, welche Verträge sich lohnen und wo der größte Ausfall drohen würde. Erst danach ist die Frage sinnvoll, ob sich eine laufende Betreuung rechnet oder ob einzelne Einsätze genügen.

Wenn Sie das nicht selbst zusammentragen wollen, machen wir es als IT-Check und übergeben das Ergebnis schriftlich, mit Empfehlungen und Preisen. Übernehmen wir anschließend die Betreuung, wird der Betrag angerechnet.