Gespräch
81 Anforderungen mit Aussagen · Gespräch vom 07.10.2025 · Lauf vom 20.01.2026
Stand 20.01.2026
Aussagen des Kunden aus dem Gespräch. Sie belegen den Ist-Zustand; die Bewertung erfolgt aus der technischen Erhebung und der Gesamtbeurteilung durch HoliSec. Eine Vorab-Einschätzung steht nur dort, wo das Ergebnis schon im Gespräch feststand.
Infrastruktur & Endgeräte
| Anforderung | Aussage | Vorab | Bewertung |
|---|---|---|---|
| Keine Zugangsdaten im Klartext | In MetaBDE sind Gerätepasswörter hinterlegt, Skripte für den ERP-Import enthalten ein SQL-Passwort, auf der Freigabe 'progs' liegt eine Installationsanleitung mit dem Domänen-Admin-Passwort. | — | teilweise |
| Produktions- und Büronetz getrennt | Die Maschinen hängen im Hallennetz, das dasselbe VLAN wie die Büro-PCs ist; der Hersteller braucht Zugriff auf die Steuerung vom Büro aus (Programme vom Konstruktions-PC). | — | nicht erfüllt |
| Server aktuell gepatcht | Windows-Updates werden „wenn Zeit ist“ eingespielt, meist nach Problemen; ESXi und Firewall-Firmware seit Jahren nicht; TechPartner patcht die FortiGate nur auf Anfrage. | — | teilweise |
| Webanwendungen abgesichert | MetaBDE ist eine Eigenentwicklung (ASP.NET) des ehemaligen Entwicklers; nie auf Sicherheit geprüft. Dazu ein Lieferantenportal beim ERP-Hersteller. | — | nicht erfüllt |
| Keine Standard-Zugangsdaten | Drucker und Kameras laufen mit Standardpasswörtern; der Switch hat ein eigenes Passwort, die SNMP-Community ist Standard. | — | teilweise |
| Endgeräteschutz mit Erkennung und Reaktion (EDR) | ESET Protect auf allen Büro-PCs und Servern; Steuerungs-PCs ohne Schutz, weil der Hersteller es verbietet. Alarme per Mail an ein Sammelpostfach. | — | teilweise |
| Lokale Administratorrechte minimiert | Benutzer sind lokale Administratoren, weil die CAD-Software das verlangt; Software installieren darf jeder. | — | nicht erfüllt |
| Clients automatisch gepatcht | WSUS auf dem Fileserver, Updates werden nach dem Patchday freigegeben, aber der WSUS synchronisiert seit Monaten nicht; Browser aktualisieren sich selbst. | — | nicht erfüllt |
| Zentrales Sicherheits-Monitoring | Kein SIEM, kein SOC; Checkmk meldet Ausfälle, der FortiAnalyzer ist nicht eingerichtet. | — | nicht erfüllt |
| Alarmierung bei Sicherheitsereignissen | ESET-Alarme und Veeam-Mails landen im Sammelpostfach; FortiGate meldet nichts; Microsoft 365 schickt Mails an die Global Admins, die niemand liest. | — | teilweise |
| Firewall-Regeln restriktiv | Die FortiGate wurde 2021 von TechPartner Süd eingerichtet; Regeln wurden seither nur ergänzt, nie überprüft. Was im Regelwerk steht, weiß die IT nicht im Detail. | — | nicht erfüllt |
| Verwaltungszugriff auf Netzwerkgeräte isoliert | Firewall, Switches und APs sind aus dem Client-Netz per Web und SSH erreichbar; TechPartner Süd kommt per VPN auf das Web-Interface. | — | nicht erfüllt |
| Server und Clients netzwerkseitig getrennt | VLANs gibt es für Server, Backup, Gast und Gebäudetechnik; Büro-PCs, Drucker, Kameras und Maschinensteuerungen teilen sich das Standard-VLAN. | — | nicht erfüllt |
| Angriffserkennung aktiv (IPS) | UTM-Lizenz vorhanden; ob IPS und Webfilter auf den Regeln aktiv sind, ist unklar. | — | teilweise |
| Exponierte Dienste in einer DMZ | Aus dem Internet erreichbar: SSL-VPN, der Kerio-Mailserver (HTTPS, SMTP) in der DMZ, ein Kundenportal des Webshops beim Hoster. MetaBDE war bis 2022 von außen erreichbar. | — | teilweise |
| VPN mit zweitem Faktor | SSL-VPN mit FortiToken für Mitarbeitende; die Konten für TechPartner Süd und 'wartung-laser' sind dauerhaft aktiv, der Hersteller-Zugang ohne zweiten Faktor. | — | teilweise |
| Switches gehärtet | HP Aruba 2920/2530, lokal verwaltet per SSH/Web, Firmware aus 2021; SNMP für Checkmk mit Standard-Community. | — | teilweise |
| Alt-Systeme in der Produktion isoliert | Vier Steuerungs-PCs mit Windows 7 Embedded, einer mit XP; keine Isolation, weil die Programme von den Konstruktions-PCs über das Netz übertragen werden. | — | nicht erfüllt |
| Herstellerzugriff auf Produktionssysteme kontrolliert | Die Hersteller haben TeamViewer dauerhaft installiert und greifen bei Störungen selbstständig zu; die Produktion erfährt es, wenn der Bildschirm sich bewegt. | — | nicht erfüllt |
| Fernwartung der Produktion mit zweitem Faktor | TeamViewer mit festem Passwort je Maschine; der Laserhersteller zusätzlich über VPN-Konto 'wartung-laser' ohne Token. | — | nicht erfüllt |
| Produktionssysteme gesichert | Steuerungsprogramme liegen auf den Steuerungs-PCs; der Schichtführer hat einen USB-Stick mit den wichtigsten Programmen. Ein Hersteller-Reset würde Tage kosten. | — | nicht erfüllt |
| Server nach Sicherheits-Baseline gehärtet | Neue Server werden aus der VMware-Vorlage geklont und manuell eingerichtet; keine Baseline, keine zentralen Härtungsrichtlinien. | — | nicht erfüllt |
| Verschlüsselung und Zertifikate aktuell | Let's Encrypt für Mail und MetaBDE mit Auto-Renew; interne Dienste selbstsigniert. Ablauf überwacht niemand. | — | teilweise |
| Regeln für USB- und Wechselmedien | Keine Regel; USB-Sticks sind in der Produktion für Programme an den Maschinen notwendig. | — | nicht erfüllt |
| Zentrale Geräteverwaltung | Keine Geräteverwaltung; Smartphones (24 Stück) nutzen Outlook mit Benutzerpasswort, verlorene Geräte können nicht gelöscht werden. | — | nicht erfüllt |
| Bildschirmsperre erzwungen | Bildschirmsperre per GPO nach 15 Minuten im Büro; in der Produktion sind die PCs dauerhaft angemeldet. | — | teilweise |
| Makros aus dem Internet blockiert | Makros werden nicht zentral blockiert; die Kalkulation lebt von Excel-Makros, daher „lieber nicht anfassen“. | — | teilweise |
| IoT-Geräte inventarisiert | Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, Smart-TVs in Besprechungsräumen, Tablets in der Produktion; verwaltet wird das von der Haustechnik und der Produktion, teils vom Elektriker. | — | nicht erfüllt |
| Protokolle ausreichend lang aufbewahrt | Windows-Ereignisprotokolle überschreiben sich nach wenigen Tagen; FortiGate-Logs lokal etwa zwei Wochen; Microsoft-365-Logs im Standard (30/90 Tage). | — | nicht erfüllt |
| Firewall ausfallsicher (HA) | Eine FortiGate; bei Ausfall steht Werk Süd ohne Internet und VPN, Werk Nord ohne ERP. | — | nicht erfüllt |
| WLAN sicher und getrennt | Drei SSIDs mit WPA2-Passwort (Firma, Produktion, Gast); das Gast-WLAN ist getrennt, das Firmen-Passwort ist seit 2020 unverändert und kennt jeder. | — | teilweise |
| Testsysteme isoliert | Zabbix als Testinstallation im Servernetz; der ehemalige Entwickler hat eine MetaBDE-Testumgebung auf seinem Notebook. | — | teilweise |
| Festplatten verschlüsselt | BitLocker bei den neueren Notebooks (Dell, 2023) aktiv, bei älteren nicht; Wiederherstellungsschlüssel auf einem USB-Stick der IT. | — | erfüllt |
| Zugriff auf alte Backups geprüft | Externe USB-Festplatten mit Vollsicherungen 2021 bis 2023 im IT-Schrank und zwei im Büro Werk Nord; alte Serverfestplatten aus dem Umzug 2023 im Lager. | — | erfüllt |
Backup & Notfall
| Anforderung | Aussage | Vorab | Bewertung |
|---|---|---|---|
| Alle kritischen Systeme gesichert | Alle VMs täglich per Veeam; der Fileserver zusätzlich stündlich; Steuerungs-PCs und die Konfigurationen von Firewall/Switches sind nicht enthalten. Ob die Jobs erfolgreich laufen, prüft niemand regelmäßig. | — | teilweise |
| Notfallplan für IT-Sicherheitsvorfälle | Bei Problemen ruft man die IT-Leitung an, die TechPartner Süd dazuholt. Wer entscheidet, wer die Geschäftsführung, Kunden oder Behörden informiert, ist nicht festgelegt; nichts ist schriftlich. | nicht vorhanden | nicht erfüllt |
| Zugriff auf Backups eingeschränkt | Der Veeam-Server ist Domänenmitglied; der Domänen-Admin hat vollen Zugriff auf Backup-Server, NAS und Cloud-Konto. | — | teilweise |
| Wiederherstellung regelmäßig getestet | Einzelne Dateien wurden schon wiederhergestellt; ein Test der kompletten Wiederherstellung (VM, Domänencontroller) wurde nie gemacht. | — | nicht erfüllt |
| Unveränderbare Backup-Kopie | Laut TechPartner ist das NAS-Repository immutable (S3 Object Lock); genau weiß es die IT nicht. | — | erfüllt |
| Offline- oder Offsite-Kopie vorhanden | Kopien auf das NAS in Werk Nord und in die Wasabi-Cloud; USB-Platten mit alten Vollsicherungen liegen im IT-Schrank. | — | erfüllt |
| Backups überwacht und alarmiert | Veeam schickt E-Mails bei Fehlern an die IT; sie gehen im Postfach unter — die letzten Jobs sind seit Wochen rot. | — | erfüllt |
| Sicherungskonzept dokumentiert | Kein schriftliches Sicherungskonzept; was wie oft gesichert wird, weiß nur die IT-Leitung. | — | erfüllt |
Identitäten & Zugriffe
| Anforderung | Aussage | Vorab | Bewertung |
|---|---|---|---|
| Berechtigungen nach Rollen vergeben | Berechtigungen auf dem Fileserver nach Abteilungsgruppen, historisch gewachsen; in MetaBDE und ERP vergeben die Key-User Rollen. Kein schriftliches Konzept. | — | teilweise |
| Passwörter in einem sicheren Tresor | Die IT nutzt Devolutions Server; daneben liegen Maschinen- und Gerätepasswörter in MetaBDE (Freitextfelder), Abteilungen führen eigene Excel-Listen; die Produktion klebt Passwörter an die Anlagen. | — | nicht erfüllt |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert | Drei Domänen-Admins (IT-Leitung, Techniker, TechPartner) und ein Setup-Konto; Überprüfung nie. | — | teilweise |
| Sicherung des Verzeichnisdienstes (System State) | Der Domänencontroller wird als VM per Veeam gesichert; eine Wiederherstellung des Verzeichnisdienstes wurde nie getestet. | — | teilweise |
| Globale Administratoren der Cloud-Plattform minimal | Sieben Global Admins: IT-Leitung, Techniker, Geschäftsführer, zwei TechPartner-Konten, das office@-Sammelkonto und ein Dienstkonto. Kein Break-Glass-Konto. | — | nicht erfüllt |
| Zweiter Faktor für Admin-Konten | Microsoft 365 Admins und VPN haben MFA; Domänen-Admins, ESXi, FortiGate-Web und Veeam werden mit Benutzername/Passwort administriert. | — | teilweise |
| Zweiter Faktor für alle Benutzer (inkl. Cloud-Dienste) | MFA ist für alle Microsoft-365-Benutzer per Conditional Access erzwungen; drei Ausnahmen für Buchhaltung und ein Dienstkonto. VPN mit FortiToken. | — | teilweise |
| Privilegierte Konten auf das Minimum reduziert | Zwei Personen der IT plus TechPartner Süd haben Domänen-Admin; alle arbeiten mit dem Admin-Konto auch im Alltag. Dazu etliche Dienst- und Technikkonten mit Adminrechten aus Projekten. | — | teilweise |
| Dienstkonten dokumentiert und minimal berechtigt | Dienstkonten für Backup, SQL, Scanner, MetaBDE und ERP existieren, teils mit Domänen-Admin; eine Liste gibt es in Devolutions, aber unvollständig. | — | nicht erfüllt |
| Konten bei Eintritt und Austritt gepflegt | Eintritt: Personalbüro mailt an die IT, Konto wird angelegt. Austritt wird oft erst nach Wochen gemeldet; Konten bleiben aktiv, Rechte werden nicht entzogen. | — | teilweise |
| Getrennte Administrationsebenen | Die Domänen-Admin-Konten werden auf jedem Server und auch auf Client-PCs zur Fehlersuche verwendet. | — | nicht erfüllt |
| Externe Freigaben kontrolliert | Freigaben an Externe sind erlaubt (jeder darf Links mit „Jeder“ erzeugen); Kontrolle gibt es keine. | — | nicht erfüllt |
| Schutzfunktionen des Cloud-E-Mail-Dienstes aktiv | Defender for Office 365 ist in Business Premium enthalten; ob Safe Links und Anti-Phishing-Richtlinien aktiv sind, weiß TechPartner. | — | teilweise |
| App-Berechtigungen in Cloud-Diensten geprüft | Benutzer dürfen Apps selbst zustimmen; Teams-Apps, Outlook-Add-ins und ein KI-Notizdienst wurden so eingebunden. | — | nicht erfüllt |
| Eigene Arbeitsplätze für Administration | Administriert wird vom normalen Büro-PC der IT, mit Mail und Browser. | — | teilweise |
| Jede Person meldet sich mit eigenem Konto an | Produktions-PCs laufen mit dem Sammelkonto 'produktion', Empfang und Lager mit Abteilungskonten, Versand mit einem gemeinsamen Postfach; sonst eigene Konten. | — | teilweise |
| Starke Passwort-Richtlinie | Vorgabe im AD: 8 Zeichen; Komplexität nicht erzwungen; keine Sperrung. Viele Passwörter sind seit Jahren gleich, „Passwort läuft nie ab“ ist bei etlichen Konten gesetzt. | nicht vorhanden | erfüllt |
| Bedingter Zugriff auf Cloud-Dienste aktiv | Conditional Access von TechPartner Süd eingerichtet: MFA für alle, Legacy-Auth blockiert, Standortregel für die Buchhaltung (deaktiviert). | — | erfüllt |
| Cloud-Daten gesichert | Veeam Backup for Microsoft 365 auf das NAS und in die Wasabi-Cloud; der letzte Lauf ist fehlgeschlagen. | — | erfüllt |
| SMBv1 abgeschaltet | Alte Multifunktionsdrucker scannen per SMB auf den Fileserver; ob sie SMBv1 brauchen, ist unbekannt. Die Messmaschine (XP) greift auf eine Freigabe zu. | — | erfüllt |
| Gast- und externe Konten kontrolliert | Gäste in Teams/SharePoint (Kunden, Lieferanten) werden nie überprüft; wie viele es gibt, weiß niemand. | — | erfüllt |
| Zertifikatsdienste sicher konfiguriert | Keine interne Zertifizierungsstelle; Zertifikate kommen von Let's Encrypt oder sind selbstsigniert. | — | nicht anwendbar |
| Vertrauensstellungen zu anderen Verzeichnissen geprüft | Keine Vertrauensstellungen; die 2019 übernommene Schlosserei Nord wurde in die Domäne migriert. | — | nicht anwendbar |
Organisation
| Anforderung | Aussage | Vorab | Bewertung |
|---|---|---|---|
| Vollständiges IT-Inventar | Es gibt eine Excel-Liste der Server und Notebooks aus 2023 und die MetaBDE-Gerätedoku für Maschinen und Netzgeräte; Drucker, Kameras, Smartphones und Cloud-Dienste sind nirgends erfasst. Zuletzt aktualisiert beim Serverumzug 2023. | nicht vorhanden | teilweise |
| Keine ungemanagte Schatten-IT | Der Vertrieb nutzt ein eigenes CRM-Abo (HubSpot Free) und Dropbox für Zeichnungen an Kunden; die Produktion hat selbst einen WLAN-Router für Tablets an der Kantbank gekauft. | — | nicht erfüllt |
| Veraltete Systeme außer Betrieb | Es gibt keinen Ablauf. Server werden ersetzt, wenn sie ausfallen; Windows 10 und ESXi sind bekannt, aber nicht budgetiert. | — | teilweise |
| Externe Zugänge dokumentiert und kontrolliert | TechPartner Süd hat Domänen-Admin und FortiGate-Admin per VPN; Maschinenhersteller per TeamViewer dauerhaft; vertraglich ist nichts geregelt außer dem Wartungsvertrag 2019. | nicht vorhanden | nicht erfüllt |
| Mitarbeitende regelmäßig sensibilisiert | Keine Schulungen; 2024 gab es eine Rundmail nach einem Phishing-Vorfall in der Buchhaltung. | nicht vorhanden | teilweise |
| IT-Sicherheitsrichtlinie vorhanden | Es gibt keine IT-Sicherheitsrichtlinie; nur eine Benutzerordnung von 2016 aus dem Intranet. | — | nicht erfüllt |
| Aktuelle Netzwerkdokumentation | Ein Netzplan aus 2021 (Visio) existiert; VLANs und Werk Nord sind darin nicht abgebildet. IP-Bereiche stehen in MetaBDE. | — | nicht erfüllt |
| Cloud-Ressourcen inventarisiert | Microsoft 365, proALPHA-Portal, DATEV, Webshop-Hoster, Wasabi-Cloud, ESET-Konsole, TeamViewer; Zugänge liegen teils in Devolutions, teils bei den Fachabteilungen. Keine Liste. | — | nicht erfüllt |
| Änderungen nachvollziehbar dokumentiert | Änderungen macht die IT oder TechPartner Süd nach Zuruf, dokumentiert wird im Ticket von TechPartner oder gar nicht. Keine Freigabe. | — | nicht erfüllt |
| Sensible Daten identifiziert | Konstruktionsdaten (Zeichnungen, Kalkulationen) auf dem Fileserver und in Dropbox, Personaldaten bei der Buchhaltung in einer Freigabe, Kundendaten im ERP. Eine Klassifizierung gibt es nicht. | — | nicht erfüllt |
| Regelung für Homeoffice und mobiles Arbeiten | Vertrieb und Konstruktion arbeiten teils von zu Hause über VPN oder Terminalserver, teilweise mit privaten PCs. Eine schriftliche Regelung gibt es nicht. | — | nicht erfüllt |
| Serverraum physisch geschützt | Serverraum in Werk Süd mit Schlüsselschloss (Schlüssel bei IT und Hausmeister), Klimagerät, USV für 20 Minuten; kein Rauchmelder, Wasserleitung über dem Raum. Backup-Server in Werk Nord steht im Büro des Lagerleiters. | — | erfüllt |
| Verantwortliche je System benannt | Für ERP und MetaBDE gibt es Key-User in Fachabteilungen; für Server, Firewall und Backup ist „die IT“ zuständig, schriftlich ist nichts festgelegt. Für die Maschinensteuerungen fühlt sich die Produktion verantwortlich. | — | erfüllt |
| Systeme nach Kritikalität klassifiziert | Bauchgefühl: ERP und Laser dürfen maximal einen Tag stehen, der Rest zwei bis drei Tage. Eine schriftliche Einstufung oder Wiederanlaufzeiten gibt es nicht. | — | erfüllt |
| Verantwortung für Informationssicherheit benannt | Gesamtverantwortung bei der Geschäftsführung (DI Karl Muster); im Alltag kümmert sich die IT-Leitung (Daniel Steiner) neben dem Tagesgeschäft, ohne definiertes Zeitbudget. | — | erfüllt |
| Vertraulichkeit geregelt | Mitarbeitende unterschreiben eine Verschwiegenheitsklausel im Dienstvertrag; mit TechPartner Süd und den Maschinenherstellern gibt es keine NDA. | — | erfüllt |