Warum die meisten DSGVO-Checklisten denjenigen nicht helfen, die die IT tatsächlich verwalten

Wenn du schon mal nach einer DSGVO-Checkliste gesucht hast, bist du wahrscheinlich auf ein Dokument voller juristischer Fachbegriffe gestoßen: Rechtfertigungsgrund-Prüfungen, Datenschutz-Folgenabschätzungen, Aufzeichnungen gemäß Artikel 30. Nützlich für deinen Rechtsbeistand, aber kaum umsetzbar, wenn du der Gründer, Personalchef oder Büroleiter bist, der irgendwie dafür verantwortlich geworden ist, sicherzustellen, dass Laptops verschlüsselt sind und ehemalige Mitarbeiter sich nicht mehr einloggen können.

Dieser Artikel ist die andere Checkliste: die IT-Seite der DSGVO-Konformität. Er behandelt die technischen und betrieblichen Kontrollmaßnahmen, die dein Unternehmen umsetzen muss – erklärt in einfacher Sprache und mit praktischen Schritten, die du auch ohne eigene IT-Abteilung befolgen kannst. Wir gehen die Grundlagen der IT-Compliance durch, die Lücken, an denen KMUs am häufigsten scheitern, und wie man sie schließt, bevor sie zu kostspieligen Problemen werden.

Es steht viel auf dem Spiel. Seit September 2024 ist die Nichteinhaltung der allgemeinen Grundsätze der Datenverarbeitung die am häufigsten geahndete Kategorie von DSGVO-Verstößen – seit Beginn der Durchsetzung im Jahr 2018 hat dies zu Bußgeldern von über 2,4 Milliarden Euro geführt (Statista / GDPR Enforcement Tracker). Und diese Strafen sind nicht nur den großen Tech-Unternehmen vorbehalten. Die DSGVO sieht keine Ausnahmeregelung für KMU vor: Die Aufsichtsbehörden verhängen regelmäßig fünf- und sechsstellige Bußgelder gegen kleine und mittlere Unternehmen – wegen fehlender Einwilligungen, unsachgemäßer Handhabung von Datenpannen und unzureichender Auftragsverarbeitungsverträge (Secure Privacy).

Was die DSGVO tatsächlich von deinen IT-Systemen verlangt

Die DSGVO spricht von „geeigneten technischen und organisatorischen Maßnahmen" (oft abgekürzt als TOMs). Dieser Begriff klingt vage, lässt sich aber in eine konkrete Reihe von IT-Kontrollmaßnahmen übersetzen. Hier siehst du, wie jede Kernanforderung auf konkrete Maßnahmen abgebildet werden kann, die du tatsächlich umsetzen kannst.

• Verschlüsselung: Auf jedem Gerät, das mit Unternehmensdaten in Berührung kommt (Laptops, Smartphones, Tablets), muss eine Vollplattenverschlüsselung aktiviert sein. Das bedeutet FileVault unter macOS, BitLocker unter Windows oder eine gleichwertige mobile Verschlüsselung. Wenn ein Gerät verloren geht oder gestohlen wird, entscheidet die Verschlüsselung darüber, ob es sich um eine meldepflichtige Datenpanne oder nur um einen verlorenen Laptop handelt.
• Zugriffskontrolle und das Prinzip der geringsten Berechtigungen: Mitarbeiter sollten nur Zugriff auf die Daten und Systeme haben, die sie für ihre Rolle benötigen. In etwa 87 % der Unternehmen sind sensible Daten für jeden Mitarbeiter zugänglich – ein direkter Verstoß gegen das in der DSGVO geforderte Prinzip der geringsten Berechtigungen (Varonis).
• Datenaufbewahrung und -löschung: Du brauchst klare Richtlinien dazu, wie lange du personenbezogene Daten aufbewahrst, sowie einen Prozess, um sie zu löschen, wenn sie nicht mehr benötigt werden. Dazu gehören Mitarbeiterdaten, Kundendaten und alles, was in Cloud-Tools gespeichert ist.
• Audit-Protokollierung: Du musst nachweisen können, wer wann und von wo aus auf welche Daten zugegriffen hat. Das ist unerlässlich für die Untersuchung von Vorfällen, die Vorbereitung auf Audits und die Bearbeitung von Betroffenenanfragen. Eine ordnungsgemäße IT-Dokumentation ist die Grundlage für die Audit-Bereitschaft.
• Auftragsverarbeitungsverträge (DPAs) mit Anbietern: Für jedes Cloud-Tool oder jeden SaaS-Anbieter, der personenbezogene Daten in deinem Auftrag verarbeitet, ist ein unterzeichneter DPA erforderlich. Wenn du Google Workspace, Slack, HubSpot oder ähnliche Tools nutzt, musst du mit jedem Anbieter eine solche Vereinbarung abschließen.
• Reaktion auf Vorfälle: Die DSGVO verpflichtet dich, bestimmte Datenpannen innerhalb von 72 Stunden deiner Aufsichtsbehörde zu melden. Du benötigst einen dokumentierten Prozess zur Erkennung, Bewertung und Meldung von Vorfällen – selbst wenn es sich nur um einen einseitigen Plan handelt.

Der wichtige Unterschied: Dein Rechtsteam kümmert sich um Einwilligungserklärungen, Datenschutzerklärungen und Betroffenenanfragen. Deine IT-Abteilung kümmert sich um die oben genannten Kontrollmaßnahmen. Wenn du beide Aufgabenbereiche abdeckst, konzentriere dich zuerst auf die IT-Kontrollmaßnahmen – denn sie verhindern Vorfälle von vornherein.

Wo KMUs ins Straucheln geraten: Die Lücken, die Prüfer und Kunden als Erstes entdecken

Die meisten KMU fallen bei einer Compliance-Prüfung nicht wegen eines obskuren rechtlichen Fehlers durch. Sie scheitern wegen grundlegender Lücken in der IT-Hygiene, die überraschend häufig vorkommen und leicht zu beheben sind, sobald man weiß, wo man suchen muss.

Veraltete Konten und „Geister"-Benutzer. Im Durchschnitt verfügen Unternehmen über etwa 1.800 Benutzerkonten mit Passwörtern, die nie ablaufen, und rund 15.000 inaktive „Geister"-Benutzerkonten, die weiterhin aktiviert sind. Dabei handelt es sich um Konten ehemaliger Mitarbeiter, Auftragnehmer oder Praktikanten, deren Zugriffsrechte nie ordnungsgemäß entzogen wurden. Jedes einzelne ist ein potenzieller Einstiegspunkt für unbefugten Zugriff.

Die Folgen sind keine hypothetische Gefahr. Im Mai 2024 verschaffte sich ein ehemaliger Mitarbeiter der FinWise Bank nach Beendigung seines Arbeitsverhältnisses Zugang zu internen Systemen und legte dabei persönliche Daten von 689.000 Kunden offen (Syteca). Im Jahr 2022 lud ein ehemaliger Mitarbeiter von Cash App, dessen Zugriffsrechte nicht ordnungsgemäß entzogen worden waren, interne Berichte herunter und legte die personenbezogenen Daten von etwa 8,2 Millionen US-Kunden offen (Teramind).

Unverschlüsselte Geräte. Eine der ersten DSGVO-Durchsetzungsmaßnahmen richtete sich gegen eine kleine Krankenhausgruppe in Portugal, die mit einem Bußgeld von 400.000 € belegt wurde – speziell wegen fehlender angemessener Zugriffskontrollen: nicht wegen einer Datenpanne, sondern wegen einer fehlenden IT-Kontrollmaßnahme (ComplianceJunction). Wenn deine Laptops nicht verschlüsselt sind und du das nicht nachweisen kannst, hast du ein Problem, noch bevor überhaupt etwas schiefgeht.

Fehlende Auftragsverarbeitungsverträge (DPAs) mit Anbietern. Viele KMUs führen SaaS-Tools schnell ein – besonders in Wachstumsphasen –, ohne jemals zu prüfen, ob ein DPA vorhanden ist. B2B-Kunden, die eine Vendor-Due-Diligence durchführen, werden Nachweise für diese Vereinbarungen verlangen, und das Fehlen solcher Vereinbarungen kann einen Geschäftsabschluss verzögern oder zum Scheitern bringen.

Einzeln betrachtet erscheinen diese Lücken geringfügig. Zusammen ergeben sie jedoch das Bild eines Unternehmens, das die Grundlagen der Cybersicherheit nicht ernst genommen hat – und genau darauf achten Aufsichtsbehörden und Unternehmenskunden.

Wie man DSGVO-IT-Kontrollen ohne IT-Team umsetzt

Zu wissen, was erforderlich ist, ist eine Sache. Die Umsetzung ohne IT-Personal ist eine andere. Hier erfährst du, wie du jeden Kontrollbereich praktisch angehen kannst.

Geräteverschlüsselung und Zugriffskontrolle vom ersten Tag an

Verschlüsselung muss durchgesetzt werden, nicht nur angefordert. Den Mitarbeitern eine Confluence-Seite mit dem Titel „Bitte aktiviere FileVault" zu schicken, ist keine Kontrollmaßnahme. Es ist eine Empfehlung. Um die Anforderungen der DSGVO an technische Maßnahmen tatsächlich zu erfüllen, brauchst du eine Möglichkeit, Verschlüsselungsrichtlinien auf Geräte auszurollen und die Einhaltung zentral zu überprüfen.

Was die Zugriffskontrolle angeht: Fang damit an zu erfassen, welche Rollen Zugriff auf welche Systeme benötigen. Ein Marketing-Praktikant braucht keinen Zugriff auf deine Finanztools. Ein Vertriebsmitarbeiter braucht keine Administratorrechte für die HR-Plattform. Das Prinzip der geringsten Berechtigungen klingt akademisch, bedeutet in der Praxis aber: Gib Mitarbeitern nur den minimalen Zugriff, den sie benötigen, überprüfe ihn regelmäßig und entziehe ihn, wenn sich ihre Rolle ändert.

Die Herausforderung für KMUs besteht darin, dass dies manuell – mithilfe von Tabellenkalkulationen und Kalendererinnerungen – zwar funktioniert, solange die Mitarbeiterzahl bei etwa 15 bis 20 liegt. Danach bleiben Dinge auf der Strecke. Deshalb nennen 41 % der KMUs einen Mangel an internen IT-Ressourcen als eine der größten betrieblichen Herausforderungen, was die Umsetzung und Durchsetzung technischer Compliance-Maßnahmen wie Geräteverschlüsselung und Zugriffsmanagement erschwert (Global Growth Insights).

Wenn du deine IT-Sicherheit ohne ein dediziertes Team aufbaust, ist es entscheidend, Tools zu nutzen, die Richtlinien automatisch durchsetzen, anstatt auf manuelle Überprüfungen zu setzen.

Sicheres Offboarding: Zugriff entziehen und Geräte löschen, wenn jemand das Unternehmen verlässt

Beim Offboarding haben die meisten KMU die größten Compliance-Lücken. Wenn ein Mitarbeiter das Unternehmen verlässt, musst du alle Kontozugriffe (E-Mail, Cloud-Apps, interne Tools) entziehen, Unternehmensgeräte einziehen oder per Fernzugriff löschen sowie das Eigentumsrecht an gemeinsam genutzten Dateien und Ressourcen übertragen. All das muss spätestens am letzten Arbeitstag des Mitarbeiters erledigt sein.

In der Praxis regeln viele Unternehmen das Offboarding per Slack-Nachricht an den Büroleiter und hoffen, dass sich jemand an alle Tools erinnert. So sammeln sich Geisterkonten an. Ein ordnungsgemäßer Offboarding-Prozess folgt einer strukturierten Checkliste. Zu wissen, was passiert, wenn ein Firmengerät verloren geht oder gestohlen wird, gehört zur selben Disziplin: Du brauchst Fernlöschfunktionen und dokumentierte Verfahren, bevor ein Vorfall eintritt.

Wenn ihr Mitarbeiter in Rechts- oder Compliance-Funktionen einarbeitet, gilt dasselbe Prinzip in umgekehrter Richtung: Onboarding-Checklisten für Compliance-nahe Funktionen sollten genau festlegen, auf welche Systeme sie unter welchen Bedingungen Zugriff erhalten.

Audit-Protokolle erstellen, die du einem Kunden oder Prüfer tatsächlich vorlegen kannst

Die DSGVO schreibt Audit-Protokolle nicht ausdrücklich vor, aber das „Rechenschaftsprinzip" (Artikel 5 Absatz 2) bedeutet, dass du die Einhaltung der Vorschriften nachweisen musst – nicht nur behaupten darfst. Wenn ein B2B-Kunde fragt: „Wie kontrollierst du den Zugriff auf personenbezogene Daten?", musst du Belege vorlegen – und nicht nur aus dem Gedächtnis einen Prozess beschreiben.

Zentrale Protokollierung bedeutet, Aufzeichnungen über Benutzerzugriffe, Berechtigungsänderungen, den Compliance-Status von Geräten und Sicherheitsereignisse an einem Ort zu sammeln. Tabellenkalkulationen und gemeinsam genutzte Laufwerke gelten nicht als auditfähige Nachweise, da sie bearbeitbar, nicht versioniert und leicht zu verlieren sind. Du benötigst Protokolle, die manipulationssicher, mit Zeitstempel versehen und durchsuchbar sind.

Dieselbe Disziplin gilt, wenn du mit KI-Tools wie ChatGPT auf Unternehmensgeräten arbeitest: Du brauchst Transparenz darüber, was genutzt wird, von wem und ob Daten ohne DPA an Drittanbieter fließen.

Compliance-Prozesse automatisieren, um Risiken zu reduzieren

Das Muster zieht sich durch alle oben genannten Abschnitte: Manuelle Prozesse funktionieren im kleinen Maßstab, versagen aber genau dann, wenn der Einsatz größer wird. Automatisierung bedeutet nicht, menschliches Urteilsvermögen zu ersetzen. Sie bedeutet, die Lücken durch menschliche Fehler zu schließen, die die meisten Compliance-Verstöße verursachen.

Schau dir an, was bei Zugriffsprüfungen passiert. Die DSGVO verlangt, dass du regelmäßig überprüfst, ob Zugriffsberechtigungen noch angemessen sind. In einem Unternehmen mit 50 Mitarbeitern und 15 SaaS-Tools sind das 750 Berechtigungsbeziehungen, die geprüft werden müssen. Das vierteljährlich von Hand zu erledigen, bedeutet einen ganzen Arbeitstag – vorausgesetzt, du übersiehst nichts.

Automatisierte Durchsetzung schließt diese Lücken auf drei Ebenen. Erstens die Durchsetzung von Richtlinien: Verschlüsselung, Passwortanforderungen und Bildschirmsperre-Timeouts werden automatisch auf die Geräte ausgerollt, sodass die Einhaltung der Vorschriften keine Option mehr ist. Zweitens das Lebenszyklusmanagement: Wenn ein Mitarbeiter im HR-System als ausscheidend markiert wird, werden seine Konten gesperrt und die Geräte gelöscht – ohne dass sich jemand jeden einzelnen Schritt merken muss. Drittens die kontinuierliche Überwachung: Anstelle regelmäßiger manueller Prüfungen können Tools nicht konforme Geräte oder übermäßige Berechtigungen in Echtzeit melden.

Bei einem Vergleich von mehr als 200 deeploi-Kunden, die eine integrierte IT-Management-Plattform nutzen, sank der IT-Arbeitsaufwand durch die Automatisierung von Aufgaben wie Hardware-Bereitstellung, Software-Installation, Kontoerstellung und Sicherheitskonfiguration um bis zu 90 %. Eine solche Entlastung ist es, die Compliance für Teams ohne eigene IT-Abteilung erst dauerhaft tragfähig macht.

Welche Tools unterstützen die IT-Compliance für KMUs?

Es gibt drei grundlegende Ansätze, und jeder hat klare Vor- und Nachteile.

Manuelle Checklisten und Tabellenkalkulationen. Kosten: nahezu null. Wirksamkeit: begrenzt. Du kannst eine Tabelle erstellen, in der festgehalten wird, wer Zugriff auf was hat, wann Geräte zuletzt überprüft wurden und welche DPAs unterzeichnet sind. Das Problem ist, dass nichts durchgesetzt wird. In einer Tabelle kann zwar „Verschlüsselung erforderlich" stehen, es gibt aber keinen Mechanismus, um zu überprüfen, ob sie tatsächlich aktiviert ist. Für Teams mit weniger als 10 Mitarbeitern mag das vorübergehend ausreichen, aber es entsteht ein Dokumentationsrückstand, der sich schnell aufschaukelt.

GRC-Plattformen (Vanta, Drata, Sprinto). Diese Tools sind stark in der Beweissicherung, der Dokumentation von Richtlinien und der Vorbereitung auf Audits. Sie verbinden sich mit deiner Cloud-Infrastruktur und ziehen Compliance-Nachweise automatisch ab. Wenn du dich auf die ISO 27001-Zertifizierung vorbereitest, sind sie sehr wertvoll. GRC-Plattformen überwachen und berichten jedoch in der Regel nur. Sie setzen technische Kontrollen nicht selbst durch. Sie weisen dich darauf hin, dass ein Laptop nicht verschlüsselt ist, verschlüsseln ihn aber nicht für dich.

Integrierte IT-Management-Plattformen. Das ist die Kategorie, die Durchsetzung mit Compliance-Transparenz verbindet. Tools in diesem Bereich rollen Verschlüsselungsrichtlinien auf Geräte aus, verwalten Benutzerkonten und Berechtigungen zentral, automatisieren Onboarding- und Offboarding-Workflows und erstellen Audit-Protokolle als Nebenprodukt des normalen Betriebs. deeploi ist in dieser Kategorie tätig, und die Kundenergebnisse vermitteln einen Eindruck vom möglichen Automatisierungsumfang: Unter den deeploi-Kunden verzeichnete The Female Company eine Zeitersparnis von 97 % und eine Senkung der IT-Kosten um 62 %, während HOLY Energy die gesamte Onboarding-Zeit für neue Mitarbeiter auf 5 Minuten reduzierte.

Die richtige Wahl hängt von deiner Situation ab. Wenn du bereits über ein IT-Team verfügst und dich auf ein formelles Audit vorbereiten musst, ist eine GRC-Plattform sinnvoll. Wenn du ein KMU ohne IT-Personal bist und die Kontrollmaßnahmen selbst benötigst – nicht nur den Nachweis darüber –, ist eine integrierte Plattform, die Compliance auf Geräte- und Kontoebene durchsetzt, der praktischere Ausgangspunkt.

Worauf du als wachsendes Unternehmen bei einem Compliance-Tool achten solltest

Bei der Bewertung eines Tools für IT-Compliance sind diese Kriterien auf KMU-Ebene am wichtigsten.

1. Automatisierungstiefe. Setzt das Tool Richtlinien aktiv durch (Verschlüsselung, Zugriffskontrolle, Offboarding) oder dient es nur der Überwachung und Berichterstellung? Überwachung ohne Durchsetzung erzeugt Arbeit; Durchsetzung reduziert sie.
2. Umfang der Audit-Protokolle. Kannst du zeitgestempelte, manipulationssichere Protokolle über Zugriffsänderungen, Geräte-Compliance und Sicherheitsereignisse exportieren? Halten diese Protokolle stand, wenn ein Kunde oder Prüfer Nachweise verlangt?
3. Benutzerfreundlichkeit für Nicht-IT-Mitarbeiter. Wenn die Person, die für Compliance zuständig ist, gleichzeitig Aufgaben im Personalwesen, in der Büroverwaltung oder im Finanzbereich übernimmt, muss das Tool auch ohne tiefgreifende technische Kenntnisse bedienbar sein. Komplexe Admin-Konsolen, die eine IT-Schulung erfordern, verfehlen ihren Zweck.
4. Integration in dein bestehendes System. Das Tool sollte sich mit deinem Identity Provider (Google Workspace, Microsoft 365), deinem HR-System und deinem Gerätepark verbinden lassen. Wenn du dafür ein separates Datenhaltungssystem pflegen musst, entstehen Datenabweichungen und blinde Flecken.
5. Kosten auf KMU-Niveau. Enterprise-GRC-Plattformen berechnen oft monatliche Gebühren pro Mitarbeiter, die bei 500 Mitarbeitern noch sinnvoll sind, bei 30 aber bereits steil wirken. Achte auf ein Preismodell, das sich an deiner tatsächlichen Teamgröße orientiert.

Nur 28 % der KMUs nannten Cybersicherheit als Bereich, von dem sie befürchten, dass er ihr Geschäft negativ beeinflussen könnte (GTIA). Diese Lücke setzt kleinere Unternehmen einem unverhältnismäßig hohen Risiko aus – was bedeutet, dass die Einstiegshürde eigentlich niedrig ist. Schon einfache automatisierte Kontrollen verschaffen dir einen Vorsprung gegenüber der Mehrheit.

Häufig gestellte Fragen

Werden KMUs wirklich wegen DSGVO-Verstößen mit Bußgeldern belegt?

Ja, und der Trend beschleunigt sich. Im Jahr 2024 wurden EU-weit DSGVO-Bußgelder von über 1,2 Milliarden Euro verhängt, wobei sich der Durchsetzungsbereich über die großen Tech-Unternehmen hinaus auf Finanzdienstleister und den Energiesektor ausweitete (CyberPilot). DSGVO-Bußgelder sind zweistufig aufgebaut: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei Verfahrensfehlern und bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei materiellen Verstößen wie unrechtmäßiger Datenverarbeitung. Dennoch kennen 96 % der KMU-Inhaber die Höchststrafe für DSGVO-Verstöße als Prozentsatz des weltweiten Umsatzes nicht (CPO Magazine). Die Fehlannahme, dass die Durchsetzung nur auf große Unternehmen abzielt, ist eine der gefährlichsten Annahmen, die ein KMU treffen kann.

Wie unterscheidet sich die IT-Compliance nach DSGVO von ISO 27001?

Die DSGVO ist eine Verordnung mit rechtlichen Sanktionen. ISO 27001 ist ein freiwilliger Zertifizierungsstandard. Bei den technischen Kontrollmaßnahmen (Verschlüsselung, Zugriffsmanagement, Reaktion auf Vorfälle) überschneiden sich beide erheblich, doch die DSGVO enthält darüber hinaus spezifische Anforderungen zu Betroffenenrechten, Meldefristen bei Datenpannen und Auftragsverarbeitungsverträgen, die ISO 27001 nicht direkt abdeckt. Viele KMUs nutzen ISO 27001 als Rahmenwerk, um die technischen Anforderungen der DSGVO zu erfüllen – das ist ein legitimer Ansatz, aber eine ISO-27001-Zertifizierung allein bedeutet noch keine DSGVO-Konformität.

Wie weise ich B2B-Kunden, die danach fragen, die DSGVO-Konformität nach?

Die meisten Unternehmenskunden werden drei Dinge verlangen: eine Liste deiner technischen und organisatorischen Maßnahmen (TOMs), unterzeichnete Auftragsverarbeitungsverträge (DPAs) mit deinen Unterauftragsverarbeitern (Cloud-Tools) und Nachweise zur Zugriffskontrolle (wer auf welche Daten zugreifen darf und wie du Berechtigungsänderungen verwaltest). Zentralisierte Audit-Protokolle, dokumentierte Geräterichtlinien und automatisierte Offboarding-Prozesse liefern dir konkrete Belege, die du vorlegen kannst – anstatt dich auf mündliche Zusicherungen zu verlassen.

Was ist der schnellste Weg, um auf IT-Seite DSGVO-konform zu werden, ohne jemanden einzustellen?

Beginne mit der Checkliste in diesem Artikel: Aktiviere die Verschlüsselung auf allen Geräten, führe das Prinzip der geringsten Berechtigungen ein, unterzeichne DPAs mit deinen Cloud-Anbietern, dokumentiere deinen Prozess zur Reaktion auf Vorfälle und richte einen ordnungsgemäßen Offboarding-Workflow ein. Für die laufende Durchsetzung und Audit-Bereitschaft solltest du eine Managed-IT-Plattform wie deeploi in Betracht ziehen, die Verschlüsselung, Zugriffskontrolle und Offboarding automatisch auf Geräteebene durchsetzt – sodass Compliance nicht davon abhängt, dass jemand daran denkt, eine Tabelle zu überprüfen.

Fazit

Die Einhaltung der DSGVO ist kein rechtlicher Haken, den man einem Anwalt übergibt und dann vergisst. Die technischen Kontrollmaßnahmen – Verschlüsselung, Zugriffsmanagement, Offboarding, Audit-Protokollierung – sind Aufgaben des IT-Betriebs. Sie müssen in den täglichen Ablauf deines Unternehmens integriert werden und dürfen nicht erst kurz vor einem Audit hastig ergänzt werden.

Die gute Nachricht ist, dass die Hürde für grundlegende Compliance auch ohne IT-Abteilung zu nehmen ist. Beginne mit den in dieser Checkliste beschriebenen Kontrollmaßnahmen, priorisiere die Lücken, die das größte Risiko darstellen (veraltete Konten und unverschlüsselte Geräte stehen fast immer ganz oben), und investiere in Tools, die Richtlinien durchsetzen, anstatt sie nur zu dokumentieren.

Wenn du dir nicht sicher bist, welche Kontrollmaßnahmen in deiner aktuellen Konfiguration bereits fehlen, ist der nächste praktische Schritt, deinen Gerätebestand und deine Zugriffsberechtigungen anhand der obigen Checkliste zu prüfen und Plattformen wie deeploi zu erkunden, die die häufigsten Lücken automatisch schließen können.