IT Security Assessment: Was es aufdeckt und wie es abläuft
15. Oktober 2026
Unser CISO Nikola Đinić erklärt, worauf es bei Scope, Prüfbereichen und der Ableitung konkreter Maßnahmen ankommt.
Ein IT Security Assessment ist für mich erst dann wertvoll, wenn klar ist, welche Sicherheitslücken Priorität haben und zuerst geschlossen werden müssen. Der Bericht ist dabei nur ein Zwischenstand. Entscheidend ist, was aus den Ergebnissen folgt.
Warum das zunehmend wichtig wird, zeigt die aktuelle Bedrohungslage: Laut der KI-Sicherheitsstudie 2026 von TÜV-Verband und BSI berichtet jedes sechste Unternehmen (17 %) von KI-gestützten Cyberangriffen oder Betrugsversuchen. 40 % der Betroffenen nennen automatisierte Angriffsskripte, die selbstständig in IT-Systeme einzudringen versuchten. Das erhöht den Druck, bekannte Schwachstellen konsequent zu beheben. Die Studie empfiehlt daher, Angriffsflächen zu verringern, Schwachstellen und Sicherheitsupdates zu priorisieren, Zugänge abzusichern und Wiederanlaufverfahren vorzubereiten.
Genau hier muss ein IT Security Assessment ansetzen: Risiken nicht nur identifizieren, sondern daraus klare Prioritäten und konkrete Maßnahmen ableiten. Als CISO von CONVOTIS bewerte ich Assessments deshalb vor allem danach, was anschließend tatsächlich umgesetzt wird. In diesem Beitrag erkläre ich, was ein Assessment liefert, wie es abläuft und woran Sie geeignete Angebote erkennen.
Was ein IT Security Assessment liefert
Ein IT Security Assessment bewertet die gesamte IT eines Unternehmens: Infrastruktur, Ausfallsicherheit, IT-Organisation und Sicherheitsmaßnahmen. Es verbindet einen technischen Schwachstellenscan mit der Dokumentation der Infrastruktur und Interviews mit den Verantwortlichen. Am Ende stehen drei Ergebnisse: ein Schwachstellenbericht, eine aktuelle Dokumentation der IT-Infrastruktur und ein Management-Report mit priorisierten Befunden und Empfehlungen.
Für Budgetverantwortliche zählt der dritte Punkt. Der Management-Report zeigt, welche Risiken kritisch sind, welche Lücken zuerst geschlossen werden sollten und wo Investitionen in Cybersicherheit den größten Effekt haben.
Schwachstellenanalyse, Penetrationstest und Security Assessment im Vergleich
Ein IT Security Assessment umfasst verschiedene Prüfmethoden, die unterschiedliche Fragen beantworten. Ein Schwachstellenscan identifiziert mögliche Sicherheitslücken, ein Penetrationstest untersucht deren tatsächliche Ausnutzbarkeit. Ein umfassendes Assessment geht darüber hinaus und bewertet auch organisatorische Abläufe, Zuständigkeiten und die Widerstandsfähigkeit der IT.
Die Unterschiede sind bei der Auswahl eines Anbieters entscheidend, denn die drei Leistungen unterscheiden sich deutlich in Umfang, Methodik und Ergebnis.
| Schwachstellenanalyse | Penetrationstest | IT Security Assessment | |
|---|---|---|---|
| Ziel | Bekannte Schwachstellen finden | Ausnutzbarkeit nachweisen | Gesamtlage bewerten |
| Methode | Automatisierter Schwachstellenscan, manuelle Sichtung | Manuelle Angriffe durch Pentester | Schwachstellenscan, Infrastruktur-Dokumentation und Interviews, bewertet anhand definierter Controls |
| Ergebnis | Liste potenzieller Schwachstellen mit Score | Verifizierte Angriffspfade mit Nachweis | Management-Report mit Health Score, priorisierten Befunden und Empfehlungen |
| Empfohlener Rhythmus | Kontinuierlich | Jährlich und nach größeren Änderungen | Jährlich oder vor strategischen Entscheidungen |
| Aufwand | Gering | Mittel bis hoch | Hoch |
Die Verfahren verfolgen unterschiedliche Ziele und können sich sinnvoll ergänzen. Ein Schwachstellenscan liefert Hinweise auf mögliche Sicherheitslücken, darunter auch Fehlalarme oder Schwachstellen mit geringem tatsächlichem Risiko. Ein Penetrationstest prüft gezielt, ob sich solche Lücken unter realistischen Bedingungen ausnutzen lassen.
Ein IT Security Assessment betrachtet zusätzlich die organisatorischen und strukturellen Risiken. Dazu gehören beispielsweise fehlende Dokumentationen, ein unvollständiges Asset-Management, ungeklärte Zuständigkeiten oder Lücken in der Notfallplanung. Welche Aspekte dabei konkret untersucht werden, hängt vom Umfang des Assessments ab. Ein Security-Assessment von CONVOTIS betrachtet dafür vier zentrale Bereiche.
Die vier Prüfbereiche
Ein 360°-Assessment prüft die IT anhand definierter Controls (Sicherheitsmaßnahmen) in vier Bereichen:
- IT-Infrastruktur: Zustand, Skalierbarkeit und Zukunftsfähigkeit der Infrastruktur.
- IT-Kontinuität und Resilienz: wie gut der Betrieb bei Störungen weiterläuft.
- IT-Organisation: IT-Verfahren und Struktur der IT-Organisation, etwa zentrales Gerätemanagement, Asset-Management, Softwareverteilung und interne IT-Audits.
- IT-Sicherheit: Wirksamkeit der bestehenden Sicherheitsmaßnahmen.
Ablauf: von der Bestandsaufnahme zum Management-Report
01 · Scope und Vorbereitung
Hier entscheidet sich die Qualität des gesamten Assessments. Erfasst werden Standorte und Mitarbeiterzahl je Standort, Server und Speicher, produktiv genutzte Cloud-Dienste und die Zahl der Remote-Mitarbeiter. Dazu kommt ein Netzwerkplan oder eine Liste aller Geräte mit IP-Adresse und Standort.
02 · Interviews vor Ort
An ein bis zwei Tagen vor Ort sprechen wir mit den Verantwortlichen: der technischen Leitung, der oder dem Informationssicherheitsbeauftragten, bei Bedarf mit externen Cloud-Verantwortlichen und zeitweise mit der Geschäftsführung. Die Interviews zeigen, wie Abläufe tatsächlich gelebt werden, nicht nur, wie sie dokumentiert sind. Für mich sind die Interviews der aufschlussreichste Teil. Hier zeigt sich, ob dokumentierte Prozesse im Alltag tatsächlich funktionieren.
03 · Technische Prüfung
Für den Schwachstellenscan wird ein Prüfgerät im Netzwerk angeschlossen. Mit lokalen Administratorzugängen zu Active Directory, Domain-Controller und VM-Host prüft das Team die Infrastruktur. Die technische Bewertung läuft remote über bis zu zwei Wochen.
04 · Bewerten und priorisieren
Jedes Control wird nach zwei Kriterien bewertet: Wie weit ist es umgesetzt, und wie relevant ist es für das Unternehmen? Daraus ergibt sich je Bereich ein Health Score. Jedes Control wird als kritisch, moderat oder gut eingestuft. Ein fehlendes Asset-Management wiegt bei zehn Standorten schwerer als bei einem einzigen Büro.
05 · Management-Präsentation
Der Management-Report fasst Health Score, Befunde und Empfehlungen zusammen und priorisiert die kritischen und dringenden Risiken. Von der Bewertung bis zur Präsentation vergehen im Schnitt vier Wochen.
Worauf es bei der Auswahl eines Assessment-Anbieters ankommt
Ein IT Security Assessment sollte nicht bei technischen Schwachstellen stehen bleiben. Entscheidend ist, ob der Anbieter auch die IT-Organisation, bestehende Prozesse und die Ausfallsicherheit berücksichtigt. Vor der Beauftragung prüfe ich deshalb, welche Bereiche tatsächlich untersucht werden, wie die Bewertung erfolgt und ob die Ergebnisse konkrete Handlungsempfehlungen enthalten.
Ebenso wichtig ist ein Management-Report, der technische Befunde verständlich einordnet, Risiken priorisiert und eine belastbare Grundlage für Investitionsentscheidungen liefert.
Wovon der Aufwand eines IT Security Assessments abhängt
Der Aufwand richtet sich vor allem nach Größe und Komplexität der IT-Landschaft. Relevant sind die Anzahl der Standorte, Server und Endgeräte, die eingesetzten Cloud-Dienste sowie der Umfang der technischen Prüfung und der Interviews.
Ein klar definierter Scope ist deshalb die Grundlage für ein vergleichbares Angebot. Er legt fest, welche Systeme und Standorte berücksichtigt werden, wie tief die Prüfung geht und welche Ergebnisse der Anbieter liefern muss.
Souveränität: wo Befunde und Rohdaten liegen
Ein Assessment-Bericht dokumentiert Zugangswege, Schwachstellen und Netzstrukturen des eigenen Unternehmens. Er ist damit eines der sensibelsten Dokumente im Unternehmen. In jedes Angebot gehört deshalb die Angabe, wo Rohdaten, Testwerkzeuge und Berichte gespeichert werden und welchem Rechtsraum der Anbieter unterliegt.
Bei CONVOTIS führen Teams aus Europa die Assessments durch, Ergebnisse bleiben auf europäischer Infrastruktur unter Kontrolle des . Assessments sind Teil unserer Security Consulting und reichen vom einmaligen Test bis zur laufenden Begleitung. Für Unternehmen unter NIS2 oder DORA ist ein Assessment ein Baustein, um die Wirksamkeit der Sicherheitsmaßnahmen nachzuweisen, die beide Regelwerke verlangen.
Was intern vor dem Start feststehen sollte
Die Qualität eines Assessments hängt auch von der Vorbereitung im eigenen Unternehmen ab. Vor dem Start kläre ich intern vier Punkte: einen aktuellen Netzwerkplan oder eine Geräteliste mit IP-Adressen und Standorten, benannte Ansprechpartner für die Interviews, die nötigen Administratorzugänge für die technische Prüfung und einen Termin für die Vor-Ort-Tage.
Mit der Präsentation des Management-Reports ist das Assessment allerdings nicht abgeschlossen. Die identifizierten Risiken müssen bewertet, priorisiert und in die bestehenden Risikomanagementprozesse übernommen werden. Für kritische Schwachstellen braucht es klare Verantwortlichkeiten, konkrete Maßnahmen und verbindliche Fristen.
Der Health Score je Prüfbereich bietet dem Management eine zusätzliche Orientierung. Werden Assessments regelmäßig mit vergleichbarer Methodik durchgeführt, lässt sich nachvollziehen, wo sich die Sicherheitslage verbessert hat und wo weiterhin Handlungsbedarf besteht.
Für mich bleibt deshalb entscheidend, was nach dem Assessment passiert: ob kritische Schwachstellen tatsächlich behoben werden und die Wirksamkeit der Maßnahmen überprüft wird. Erst dann zeigt sich der tatsächliche Nutzen.
