Warum dieses Thema aufmerksame Lektüre verdient
Will ein kleines Unternehmen seine Cybersicherheit stärken, liegt die erste Schwierigkeit nicht immer im Technischen. Oft geht es darum zu wissen, wo man beginnt, welche Themen vorrangig sind und wie man vermeidet, aus einem einfachen Vorhaben ein unverhältnismäßiges Projekt zu machen. Der CyberRisikoCheck wurde entwickelt, um diesen ersten Orientierungspunkt zu liefern.
Das Verfahren wurde vom BSI entwickelt und in der DIN SPEC 27076 „IT-Sicherheitsberatung für kleine und Kleinstunternehmen" standardisiert. Es richtet sich an Unternehmen mit bis zu 50 Mitarbeitenden, die über keine eigene IT-Sicherheitsabteilung verfügen. Es handelt sich weder um einen Penetrationstest noch um eine Zertifizierung.
Anders als ein rein freiwilliges Beratungsangebot wird der CyberRisikoCheck von einem beim BSI geschulten IT-Dienstleister bzw. einer Beraterin oder einem Berater durchgeführt, die bzw. der die kostenfrei bereitgestellte BSI-Webanwendung nutzt. Die Leistung des Dienstleisters selbst kann kostenpflichtig sein; die Bedingungen sollten vorab geklärt werden.
Dieser Ratgeber beschreibt den öffentlichen Ablauf des Verfahrens, die Situationen, für die es geeignet ist, und Fälle, in denen eine tiefergehende Bewertung nötig sein kann. Kriterien und Modalitäten können sich ändern; Informationen sollten stets auf dem offiziellen BSI-Portal geprüft werden.
Wozu dient der CyberRisikoCheck?
Der CyberRisikoCheck soll einem Unternehmen helfen, ein erstes Reifegradniveau zu bestimmen und wenige vorrangige Maßnahmen auszuwählen. Das Verfahren vermeidet, mit einer Werkzeugliste oder einem zu breiten Risikokatalog zu beginnen. Es zielt darauf ab, angesichts der geschilderten Situation verständliche Maßnahmen herauszuarbeiten.
Das Vorgehen kann auch eine gemeinsame Sprache zwischen Geschäftsführung, IT-Verantwortlichen und Team schaffen. In einem Kleinstunternehmen sind diese Rollen oft auf mehrere Personen verteilt oder einem externen Dienstleister anvertraut. Der Ergebnisbericht macht Prioritäten sichtbar und hilft zu entscheiden, wer sie umsetzt.
Welche Unternehmen sind betroffen?
Der CyberRisikoCheck richtet sich an kleine und Kleinstunternehmen mit bis zu 50 Mitarbeitenden, die noch kein organisiertes Cyber-Team oder aktuelle, detaillierte Bewertungen besitzen. Die verpflichtende Teilnahme der Geschäftsführung am gesamten Prozess wird von mehreren Anbietern als Voraussetzung genannt.
Er ist nicht als unmittelbare Antwort auf eine laufende Cyberattacke konzipiert. Ein von einem Vorfall betroffenes Unternehmen sollte die passenden Unterstützungsangebote nutzen (siehe unseren Ratgeber zur Unterstützung nach einer Cyberattacke). Der CyberRisikoCheck dient der Prävention und Priorisierung.
Wie läuft das strukturierte Interview ab?
Das Vorgehen beginnt mit der Auswahl eines geschulten IT-Dienstleisters bzw. einer Beraterin oder eines Beraters. Im Interview werden anhand der BSI-Webanwendung 27 Prüfanforderungen zu sechs Themenbereichen besprochen: unter anderem Organisation, Identitätsmanagement, Datensicherung, Schutz vor Schadprogrammen und IT-Systeme.
Die Dauer beträgt je nach Quelle in der Regel ein bis drei Stunden und kann vor Ort oder remote stattfinden. Der Check ist ausschließlich interviewbasiert; er setzt keinen Systemzugriff, keine Softwareinstallation und keine technische Schwachstellensuche voraus.
Was enthält der Ergebnisbericht?
Antworten werden nach den Vorgaben der DIN SPEC 27076 bewertet, mit einer Höchstpunktzahl von 37 Punkten. Der Bericht zeigt das Sicherheitsniveau je Themenbereich sowie priorisierte Risiken (kritisch, mittel, gering) mit konkreten Handlungsempfehlungen für jede nicht erfüllte Anforderung.
Um das Ergebnis operativ nutzbar zu machen, kann das Unternehmen jede Maßnahme in ein einfaches Blatt übersetzen: Verantwortliche Person, Frist, Abhängigkeiten und Nachweis der Umsetzung.
Grenzen und sinnvolle nächste Schritte
Der CyberRisikoCheck ersetzt weder ein technisches Audit noch einen Penetrationstest noch eine Zertifizierung. Er dient als praxisnahe Vorstufe zu weiterführenden Standards wie ISO 27001 oder BSI IT-Grundschutz und als erste Orientierung, nicht als abschließende Garantie.
Das BSI erhält anonymisierte Erhebungsdaten aus durchgeführten Checks, die in die nationalen Lageberichte zur Cybersicherheit von KMU einfließen — ein zusätzlicher Grund, warum Ergebnisse dem Datenschutz entsprechend behandelt werden sollten.
Eine Situation sachlich darstellen
Jedes Unternehmen hat ein anderes Umfeld, andere Verträge und Rahmenbedingungen. Das Formular erlaubt es, den Kontext zu beschreiben, ohne Passwörter oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können die Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und die vorgeschlagenen weiteren Schritte verantwortlich bleibt.
Zum FormularFazit
Der CyberRisikoCheck bietet kleinen Unternehmen einen niedrigschwelligen, standardisierten Einstieg in die Cybersicherheit, ohne Vorkenntnisse vorauszusetzen. Sein Wert hängt von der Qualität der im Interview geteilten Informationen und der Fähigkeit des Unternehmens ab, Feststellungen in Verantwortlichkeiten, Fristen und konkrete Maßnahmen zu übersetzen.
Für Unternehmen mit komplexerer Umgebung, sensibleren Daten oder bereits bestehenden Sicherheitsmaßnahmen kann eine tiefergehende technische Bewertung sinnvoller sein als dieser erste Check.
Häufige Fragen
Ist der CyberRisikoCheck kostenlos?
Die vom BSI bereitgestellte Webanwendung ist für geschulte Dienstleister kostenfrei. Die eigentliche Beratungsleistung des Dienstleisters kann jedoch kostenpflichtig sein; dies sollte vorab geklärt werden.
Ersetzt der Check ein technisches Audit?
Nein. Er ist interviewbasiert und liefert eine erste Einschätzung, keine technische Schwachstellenanalyse.
Muss die Geschäftsführung teilnehmen?
Mehrere Anbieter nennen die durchgängige Teilnahme der Geschäftsführung als Voraussetzung für ein aussagekräftiges Ergebnis.
Was passiert mit den Daten des Checks?
Das BSI erhält anonymisierte Erhebungsdaten für nationale Lageberichte. Unternehmensspezifische Ergebnisse verbleiben beim durchführenden Dienstleister und dem Unternehmen.
Konsultierte offizielle Quellen
Quellen geprüft am 24. August 2026. Kriterien und Modalitäten können sich ändern.
Verwandte Ratgeber
Diese Seite ersetzt weder ein Audit noch eine technische Analyse noch eine Rechtsberatung. Etwaige Entscheidungen und Eingriffe obliegen kompetenten Fachpersonen.