Schritt-für-Schritt Anleitung
Das Tool führt Sie in 7 Schritten durch den gesamten Bewertungsprozess. Planen Sie ca. 30 Minuten ein. Idealerweise führt die Bewertung der IT-Verantwortliche zusammen mit einem Mitglied der Geschäftsleitung durch.
Das Tool basiert auf der Masterthesis von Simon Wälti (MAS Leadership in Innovation & Technology, BFH 2024) und beruht auf vier Säulen: Finanzen (Kosten bei Ausfall), Security-Level (NIST CSF 2.0 Gap-Analyse), Gefährdung (Exposure-Index nach Himmel/Sowa) und Enhance (CIS Controls Verbesserungsmassnahmen).
Tab «Unternehmensdaten» ausfüllen
Firmenname, Branche, Mitarbeiterzahl, Jahresumsatz, Betriebskosten, Cybersecurity-Ausgaben und geschätzte Ausfallzeit eingeben. Das Tool berechnet sofort den potenziellen Gesamtschaden in fünf Kategorien.
Tab «Bewertung» - 22 Kategorien bewerten
Für jede Kategorie das aktuelle Maturitätslevel (IST) und das Ziellevel (SOLL) per Dropdown wählen (Skala 0-4). Gap und Handlungsbedarf werden automatisch farblich markiert.
Tab «Gefährdung» - Risiken einschätzen
9 Verwundbarkeits-Fragen und 8 Bedrohungs-Szenarien beantworten (je 0-10). Gewichtung (1-4) nach Branche anpassbar. Ergibt den kombinierten Gefährdungsindex.
Ergebnisse und Empfehlungen prüfen
Dashboard zeigt 4 KPIs, Ampelsystem und Charts. Im Tab «Empfehlungen» sind Massnahmen automatisch nach Ihren Gaps priorisiert - von Sofortmassnahmen bis langfristigen Projekten.
Massnahmenplan erstellen
Strategie wählen (Eliminieren, Vermindern, Mitigieren, Tragen), Zeitraum und Kosten festlegen. Gesamtkosten werden automatisch berechnet.
Roadmap nutzen
Automatisch generierte Phasen: Quick Wins (0-3 Monate), Wichtige Massnahmen (3-6 Monate), Strategische Investitionen (6-12 Monate). Verantwortliche und Zieldaten eintragen.
Executive Summary drucken
Druckfertige A4-Zusammenfassung für die GL: Ampel-Status, Finanzen, Top-3-Quick-Wins, nächste Schritte. Exportieren via Datei → Drucken → PDF.
Farbcode im Excel
Eingabefelder sind mit blauer Schrift auf gelbem Hintergrund markiert. Nur diese Felder sollten Sie verändern.
Berechnete Felder werden automatisch berechnet - bitte nicht manuell verändern, sonst gehen Formeln verloren.
| Farbe | Bedeutung | Wo verwendet |
|---|---|---|
| Rot | Kritischer Handlungsbedarf (Gap ≥ 2) | Bewertung, Dashboard, Empfehlungen |
| Orange | Handlungsbedarf (Gap = 1) | Bewertung, Dashboard, Empfehlungen |
| Grün | OK / Ziel erreicht (Gap ≤ 0) | Bewertung, Dashboard, Empfehlungen |
Die Maturitätsstufen verstehen
Die Bewertung erfolgt nach den NIST Tiers (0-4). Schätzen Sie sich ehrlich ein - es geht um ein realistisches Bild, nicht um Perfektion.
| Stufe | Name | Bedeutung | KMU-Beispiel |
|---|---|---|---|
| 0 | Nicht umgesetzt | Kein Bewusstsein, keine Massnahmen. | «Wir haben uns nie damit beschäftigt.» |
| 1 | Partiell (nicht definiert) | Ad-hoc, reaktiv. Kein formaler Prozess. | «Unser IT-Leiter kümmert sich, wenn etwas passiert.» |
| 2 | Partiell (definiert & abgenommen) | Ansätze definiert und abgenommen, aber nicht überall umgesetzt. | «Einiges ist dokumentiert, aber nicht vollständig umgesetzt.» |
| 3 | Umgesetzt (statisch) | Formale, dokumentierte Prozesse. Vollständig umgesetzt. | «Wir haben Richtlinien, schulen regelmässig.» |
| 4 | Dynamisch (kont. verbessert) | Kontinuierliche Verbesserung, KPI-gesteuert. | «Wir messen Kennzahlen und passen fortlaufend an.» |
Realistische SOLL-Werte setzen: Nicht jede Kategorie muss auf Stufe 4 sein. Für die meisten KMU ist Stufe 2-3 ein gutes Ziel. Setzen Sie SOLL höher, wo Ihre geschäftskritischen Risiken liegen.
NIST CSF 2.0 im Detail
Das Framework besteht aus 6 Kernfunktionen mit insgesamt 22 Kategorien. Hier erfahren Sie, was jede Funktion bedeutet und welche Kategorien dazugehören.
Warum wichtig? Cybersecurity muss auf Geschäftsleitungsebene verankert sein. Ohne klare Governance fehlen strategische Ausrichtung, Verantwortlichkeit und Budget.
Was KMU tun sollten: Einen IT-Sicherheitsverantwortlichen bestimmen, grundlegende Richtlinien erstellen und die GL quartalsweise informieren.
Warum wichtig? Sie können nur schützen, was Sie kennen. Ohne Inventar fehlt die Grundlage für alle weiteren Massnahmen.
Was KMU tun sollten: Ein einfaches Inventar aller Geräte und Software erstellen (Excel reicht). Geschäftskritische Prozesse und Abhängigkeiten identifizieren. Jährlich eine Risikobewertung durchführen.
Warum wichtig? Schutzmassnahmen sind die erste Verteidigungslinie. Hier geht es um konkrete technische und organisatorische Massnahmen.
Die drei wirksamsten Quick Wins: MFA aktivieren (verhindert 99% der Konto-Übernahmen), Backups testen (nicht nur erstellen!) und Mitarbeitende schulen (91% der Angriffe beginnen mit Phishing).
Warum wichtig? Im Durchschnitt dauert es 207 Tage, bis ein Einbruch erkannt wird. Jeder Tag kostet.
Was KMU tun sollten: Mindestens zentrale Log-Sammlung und regelmässige Überprüfung. Ab ca. 20 Mitarbeitenden lohnt sich ein Managed Detection & Response (MDR) Service.
Warum wichtig? Es ist nicht die Frage ob, sondern wann ein Vorfall passiert. Mit einem getesteten Notfallplan erholt man sich nachweislich schneller.
Was KMU tun sollten: Einen einfachen Incident Response Plan erstellen (1-2 Seiten reichen): Wer macht was? Wen rufen wir an? Welche Systeme isolieren wir zuerst? Mindestens jährlich eine Tabletop-Übung durchführen.
Warum wichtig? Die Fähigkeit, nach einem Vorfall schnell wieder betriebsfähig zu sein, kann existenzentscheidend sein. 60% der KMU schliessen innerhalb von 6 Monaten nach einem schweren Angriff.
Was KMU tun sollten: Recovery-Fähigkeiten regelmässig testen - mindestens halbjährlich ein System aus dem Backup wiederherstellen. RTO und RPO definieren.
Gefährdungsanalyse: Verwundbarkeit × Bedrohung
Der Gefährdungsindex kombiniert zwei Perspektiven: interne Verwundbarkeit (beeinflussbar) und externe Bedrohungslage. Die Methodik basiert auf dem Exposure-Index nach Himmel/Sowa (BSI-Standard 200-2): Gefährdung = (Verwundbarkeitsindex + Bedrohungsindex) / 2.
Verwundbarkeitsindex (9 Fragen)
Inventar, Update-Management, Kontenmanagement, Passwort-Richtlinien, MFA, Backup, Verschlüsselung, Netzwerksegmentierung, Firewall. Diese Faktoren können Sie direkt beeinflussen.
Bedrohungsindex (8 Fragen)
Phishing, Ransomware, Insider-Bedrohung, Cloud-Angriffe, DDoS, Supply-Chain, Datenverlust, physischer Zugang. Begrenzt kontrollierbar - aber Sie können sich vorbereiten.
Interpretation des Gefährdungsindex
| Index | Stufe | Bedeutung | Empfohlene Reaktion |
|---|---|---|---|
| 0.0 - 0.3 | Tief | Grundschutz vorhanden, Bedrohungslage unter Kontrolle. | Regelmässige Überprüfung beibehalten. |
| 0.3 - 0.5 | Mittel | Lücken vorhanden. Typisch für KMU mit einzelnen, nicht systematischen Massnahmen. | Quick Wins umsetzen, GL informieren. |
| 0.5 - 0.7 | Erhöht | Wesentliche Schutzlücken. Ein Angriff hätte hohe Erfolgswahrscheinlichkeit. | Sofortmassnahmen. Externes Assessment erwägen. |
| 0.7 - 1.0 | Kritisch | Schwerwiegende Lücken. Das Unternehmen ist ein leichtes Ziel. | Notfall-Modus: MFA, Backups, Patching sofort. Externe Hilfe holen. |
Finanzielle Auswirkungen
Das Tool berechnet fünf Schadenskategorien basierend auf Ihren Unternehmensdaten. Die Berechnungsmethode folgt dem Ansatz von Erik Dinkel (CISO Universitätsspital Zürich): Jahresumsatz ÷ 365 × Ausfalltage = Kosten des Ausfalls.
Warum Finanzen? In der VGI-Umfrage (Wälti, 2024) konnten über 70% der Befragten nicht berechnen, was ein einwöchiger IT-Ausfall kosten würde - obwohl über 50% der Security-Budget-Entscheide auf GL-Stufe fallen.
| Schadenskategorie | Berechnung | Erklärung |
|---|---|---|
| Entgangene Einnahmen | Umsatz ÷ 365 × Ausfalltage | Umsatzverlust während Systeme nicht verfügbar sind. |
| Lösegeldforderung | Gestaffelt nach Gewinnhöhe: 2-5% | Je kleiner das Unternehmen, desto höher der %-Satz. Bezahlung bietet keine Garantie. |
| Wiederherstellung | 1% Umsatz + CHF 50'000 | IT-Forensik, Neuaufbau, externe Spezialisten. |
| Reputationsschaden | ca. 3% des Umsatzes | Geschätzter Umsatzrückgang im Folgejahr - separat ausgewiesen. |
Wissenschaftliche Grundlagen
Das Tool basiert auf der Forschungsarbeit «Cybersecurity-Self-Assessment für Gesundheitsorganisationen» von Simon Wälti (BFH, 2024).
Courtney's Law - Die drei Gesetze der Sicherheit
1. Sie können nur sinnvoll über Sicherheit sprechen, wenn Sie den Kontext kennen.
2. Geben Sie nie mehr Geld aus, als der Schaden bei Eintritt kosten würde. Perfekte Sicherheit kostet unendlich.
3. Es gibt keine technischen Lösungen für Management-Probleme - aber Management-Lösungen für technische Probleme. Sicherheit beginnt bei der Führung.
VGI-Umfrage: Bedarf bestätigt
38 Mitglieder der VGI befragt - fast 90% bewerteten das Tool als nützlich. Über 70% konnten die Kosten eines einwöchigen IT-Ausfalls nicht berechnen.
Mehr Tools ≠ Mehr Sicherheit
Unternehmen setzen im Schnitt 76 Security-Tools ein. Geschätzte 80% der Security-Controls sind organisatorisch - nur 20% technisch.
Vollständige Quellenangabe
Wälti, S. (2024). Cybersecurity-Self-Assessment für Gesundheitsorganisationen. Masterthesis, MAS Leadership in Innovation & Technology. Berner Fachhochschule, Departement Technik und Informatik. Betreuung: Hans-Peter Käser, Prof. Michael Lehmann. Ausgezeichnet mit dem BFH Alumni Preis.
Risikobewältigungs-Strategien
Im Massnahmenplan wählen Sie für jede Kategorie eine von vier Strategien:
Eliminieren
Risiko vollständig beseitigen. Z.B. unsicheres Altsystem abschalten, Schatten-IT entfernen.
Vermindern
Wahrscheinlichkeit/Auswirkung reduzieren. Z.B. Patches, MFA, Schulung, zusätzliche Kontrollen.
Mitigieren
Auswirkungen begrenzen. Z.B. Cyber-Versicherung, Backup-Strategie, Incident-Response-Plan.
Tragen
Restrisiko bewusst akzeptieren - weil Massnahmenkosten > möglicher Schaden. Muss dokumentiert werden.
Quick Wins zuerst: Beginnen Sie mit Massnahmen mit tiefem Aufwand und hoher Wirkung. MFA aktivieren, Backup testen, Passwort-Richtlinie einführen und Awareness-Schulung buchen bringen sofort messbaren Nutzen. Referenz: CIS Controls IG1 (Basis-Cyberhygiene).
Das Dashboard richtig lesen
Das Dashboard ist für die Präsentation an die Geschäftsleitung optimiert.
4 KPI-Boxen
Gesamt-Maturität
Durchschnittlicher IST-Wert über alle 6 Funktionen (0-4). Mit automatischer Klartext-Einordnung.
Schadenspotenzial
Berechneter Gesamtschaden in CHF. Macht das Risiko für Nicht-Techniker greifbar.
Gefährdungsindex
Kombinierter Index aus Verwundbarkeit und Bedrohung (0-1) mit Handlungsempfehlung.
Budget-Deckung
Verhältnis zu empfohlenem Budget: 10% des Schadenspotenzials (Gamper-Ansatz). Unter 50% = kritisch.
Ampelsystem pro Funktion
| Ampel | Bedeutung | Bedingung |
|---|---|---|
| KRITISCH | Dringender Handlungsbedarf | Gap ≥ 2.0 |
| ACHTUNG | Verbesserung nötig | Gap ≥ 1.0 |
| OK | Akzeptabler Stand | Gap > 0 |
| ERFÜLLT | Ziel erreicht | Gap = 0 |
Empfehlungen & Quick-Win-Analyse
Das Tab «Empfehlungen» priorisiert alle 22 Kategorien dynamisch nach Ihrem Gap. Jede Kategorie ist in einer Aufwand-Wirkung-Matrix eingeordnet:
| Wirkung Hoch | Wirkung Tief | |
|---|---|---|
| Aufwand Tief | Quick Win | Kleine Verbesserung |
| Aufwand Hoch | Strategisch | Aufwändig |
Der Effizienz-Score (Wirkung × invertierter Aufwand × Gap) hilft, die wirksamsten Massnahmen pro investiertem Franken zu identifizieren. Sortieren Sie die Empfehlungen nach dieser Spalte, um Prioritäten zu setzen.
Umsetzungs-Roadmap
Phase 1: Quick Wins (0-3 Monate)
Massnahmen mit tiefem Aufwand. Sofort starten, schnell sichtbare Ergebnisse - ideal als Einstieg für die GL.
Phase 2: Wichtige Massnahmen (3-6 Monate)
Strukturierte Umsetzung mit Projektplanung und mittlerem Aufwand.
Phase 3: Strategische Investitionen (6-12 Monate)
Langfristige Projekte mit grösserem Budget und hohem strategischen Nutzen.
Executive Summary (PDF-Export)
Das Tab «Executive Summary» ist eine druckfertige A4-Zusammenfassung für die Geschäftsleitung. Es enthält: die vier KPIs mit Klartext-Einordnung, alle 6 NIST-Funktionen mit Ampel, die finanzielle Auswirkung, die Top-3-Quick-Wins und nächste Schritte.
Export: Datei → Drucken → Als PDF speichern. Das Blatt ist auf A4-Querformat optimiert.
Praktische Tipps
Top 3 Sofort-Massnahmen
1. MFA überall - 99% der Konto-Übernahmen verhindert.
2. Backups testen - monatlich Wiederherstellung prüfen.
3. Schulung - 91% der Angriffe starten per Phishing.
Nächste Schritte
4. Patch-Management - Updates innerhalb 48h einspielen.
5. Inventar - alle Geräte und Software erfassen.
6. Notfallplan - 1-2 Seiten, Telefonnummern offline.
Strategisch
7. Cyber-Versicherung prüfen.
8. Managed Security - oft günstiger als eigenes Personal.
9. Testen - jährlich Pentest + Phishing-Simulation.