IT-Audit-Checkliste für Unternehmen in sieben Punkten

Die meisten Unternehmen wissen genau, welche Fahrzeuge sie besitzen und wann der nächste TÜV-Termin ansteht. Bei der IT sieht es anders aus. Dort ist über Jahre etwas gewachsen, Geräte kamen dazu, jemand richtete einen Cloud-Dienst ein, ein Mitarbeiter ging, und niemand hat je aufgeschrieben, was eigentlich alles läuft.

Eine Bestandsaufnahme kostet einen Tag und beantwortet drei Fragen. Was ist vorhanden, wer hat Zugriff, und was passiert, wenn etwas ausfällt?

1. Geräte

Zählen Sie alles, was rechnet oder Daten hält: Arbeitsplatzrechner, Notebooks, Server, NAS, Tablets, Diensthandys, Drucker mit Festplatte, Kassen- und Maschinensteuerungen. Notieren Sie je Gerät das Anschaffungsjahr, das Betriebssystem und wer damit arbeitet.

Zwei Dinge fallen dabei fast immer auf. Einzelne Geräte sind älter, als alle dachten, und es taucht Hardware auf, die niemand mehr braucht und die trotzdem am Netz hängt. Steht dabei ein Server mit Windows Server 2016 auf der Liste, wird es eilig, wie der Ratgeber zum Support-Ende von Windows Server 2016 zeigt.

2. Konten und Zugriffe

Hier liegt der wertvollste Teil. Listen Sie alle Benutzerkonten auf, auch die in Cloud-Diensten, im Onlinebanking, im Shop-System und beim Domain-Anbieter.

Dann stellen Sie die Frage, die am meisten aufdeckt. Wer hat noch Zugriff, obwohl er nicht mehr da ist? Ehemalige Mitarbeiter, die Aushilfe vom letzten Sommer, der Dienstleister, der vor drei Jahren die Website gemacht hat. In fast jedem Unternehmen findet sich mindestens ein aktives Konto, das längst hätte geschlossen sein müssen.

3. Lizenzen und Abos

Welche Software wird bezahlt, für wie viele Nutzer, und wird sie noch benutzt? Unternehmen zahlen regelmäßig für Arbeitsplätze, die es nicht mehr gibt, oder für eine höhere Stufe, deren Funktionen niemand nutzt.

Notieren Sie zu jedem Posten den Betrag, den Abrechnungszeitraum und das Kündigungsdatum. Diese Spalte allein rechtfertigt oft schon den Aufwand, wie der Ratgeber IT-Kosten senken an Beispielen zeigt.

4. Datensicherung

Hier zählt, ob sie funktioniert. Dass es eine gibt, reicht nicht. Klären Sie:

• Was wird gesichert? Auch die Datenbank der Branchensoftware und die Postfächer, nicht nur der Dateiordner.
• Wohin? Und liegt mindestens eine Kopie getrennt vom laufenden Betrieb?
• Wer schaut auf die Meldungen? Sicherungen scheitern oft monatelang unbemerkt.
• Wann wurde zuletzt zurückgespielt? Ohne diese Antwort ist alles andere eine Vermutung.

Der Maßstab dafür steht unter 3-2-1-Backup-Regel.

5. Netzwerk und Internet

Welcher Anschluss mit welcher Bandbreite, welcher Router, wie viele Zugangspunkte, gibt es ein Gäste-WLAN, und ist es vom Betriebsnetz getrennt? Notieren Sie auch, wer das WLAN-Kennwort kennt. Bei einem Kennwort, das seit fünf Jahren gilt und im Pausenraum hängt, lautet die Antwort meist „alle“.

6. Verträge und Ansprechpartner

Wer ist zuständig für Internet, Telefonie, Software, Website, Domain und Mail? Mit welcher Kundennummer, welcher Laufzeit und welcher Kündigungsfrist? Entscheidend ist die Zusatzfrage, auf wen diese Verträge laufen. Domains und Cloud-Konten, die auf einen ausgeschiedenen Mitarbeiter oder einen früheren Dienstleister registriert sind, sind ein stilles Risiko.

7. Notfallzugang

Was passiert, wenn die eine Person, die alles weiß, zwei Wochen ausfällt? Für diesen Fall braucht es eine hinterlegte Liste der wichtigsten Zugänge an einem Ort, den die Geschäftsführung erreicht, und eine Absprache, wer im Ernstfall entscheiden darf. Das ist dieselbe Vorsorge wie beim Zweitschlüssel für den Firmentresor.

Wie Sie aus diesem Punkt einen vollständigen Ablauf für den Ausfall machen, mit Telefonliste, Wiederanlauf-Reihenfolge und Vorlage, beschreibt der Ratgeber IT-Notfallplan.

Was Sie danach entscheiden können

Mit diesen sieben Listen lässt sich zum ersten Mal rechnen. Sie sehen, welche Geräte in den nächsten zwölf Monaten fällig werden, welche Verträge sich lohnen und wo der größte Ausfall drohen würde. Erst danach ist die Frage sinnvoll, ob sich eine laufende Betreuung rechnet oder ob einzelne Einsätze genügen.

Wenn Sie das nicht selbst zusammentragen wollen, übernehmen wir es im IT-Check für 290 € netto und übergeben das Ergebnis schriftlich. Beauftragen Sie uns anschließend mit der Umsetzung oder der IT-Betreuung, rechnen wir den Betrag an.