Sicherheitscheck schließt 23 Lücken in einer Steuerkanzlei in Höchst

Ausgangslage

Eine Steuerberatungskanzlei in Frankfurt-Höchst, 16 Mitarbeitende, etwa 1,9 Millionen € Jahresumsatz, mit Lohn- und Bankdaten von rund 400 Mandantenunternehmen. Die IT betreute ein örtlicher Dienstleister im Monatsvertrag, und die Kanzlei hatte keinen Grund, daran zu zweifeln. Dann fragte der Wirtschaftsprüfer eines Mandanten nach einem Nachweis der Sicherheitspraxis, und die Partner stellten fest, dass sie keinen hatten.

Sie wollten kein Zertifikat und konnten mit einem 40-seitigen Penetrationstestbericht nichts anfangen. Sie wollten wissen, ob die Grundlagen stimmen, in einer Liste, die sie ihrem IT-Dienstleister in die Hand geben können.

Vorgehen

Der Check für 2.900 € umfasst vier Dinge: einen Scan von allem, was aus dem Internet sichtbar ist, eine Konfigurationsprüfung der Cloud-Umgebung und des Kanzleinetzes, einen Blick auf Konten, Datensicherung, Zugriffsrechte und Update-Praxis sowie eine nach Priorität sortierte Maßnahmenliste. Zertifizierte Penetrationstests sind eine eigene Leistung, die akkreditierte Partner erbringen, und waren nicht Teil dieses Auftrags.

Woche eins: der Außenscan der Kanzlei-Domain, der Mail-Einrichtung und der zwei öffentlichen IP-Adressen, dann ein halber Tag vor Ort mit lesendem Administratorzugang zur Microsoft-365-Umgebung, zum Dateiserver und zur Firewall. Wir haben geprüft, welche Konten einen zweiten Anmeldefaktor haben, wer welchen Mandantenordner lesen kann, wann das letzte Update eingespielt wurde und ob je eine Datei aus der Sicherung wiederhergestellt worden war.

Woche zwei: eine zweistündige Videokonferenz mit den Partnern und dem IT-Dienstleister, in der wir jeden Befund durchgegangen sind und festgelegt haben, wer was bis wann erledigt. Die Maßnahmenliste nennt den Befund, das Risiko in einem Satz, die Abhilfe, den Verantwortlichen und den Termin.

Ergebnis

In diesem Szenario brachte der Check 23 Befunde, 5 davon mit hoher Priorität. Drei Konten ehemaliger Mitarbeitender waren noch aktiv, eines mit Zugriff auf das gesamte Mandantenarchiv. Der zweite Anmeldefaktor war für etwa 40 % der Konten eingeschaltet, für die Partner selbst nicht. Die nächtliche Sicherung lief, und niemand hatte je eine Wiederherstellung getestet, die beim ersten Versuch an einer Berechtigungseinstellung scheiterte und nach der Korrektur gelang. Der Mail-Einrichtung fehlten die zwei Einträge, die verhindern, dass Fremde im Namen der Kanzlei Mails versenden. Zwölf Arbeitsplatzrechner hingen mit Updates mehr als 90 Tage hinterher.

Der IT-Dienstleister schloss die fünf Befunde mit hoher Priorität innerhalb von drei Wochen und den Rest innerhalb von zwei Monaten. Die Kanzlei hat jetzt eine einseitige Darstellung ihrer Sicherheitspraxis für die Prüfer ihrer Mandanten und einen Wiedervorlagetermin in zwölf Monaten.

Was es gekostet hat

2.900 € Festpreis, vor Beginn der Arbeit genannt, für Außenscan, Konfigurationsprüfung und priorisierte Maßnahmenliste. Die Arbeit des IT-Dienstleisters zum Schließen der Befunde und jede zusätzliche Lizenz sind Fremdkosten und von der Garantie ausgenommen. Der Check ist durch unsere 100-Prozent-Geld-zurück-Garantie abgedeckt: volle Erstattung auf Wunsch innerhalb von 14 Tagen nach Lieferung, bei einem monatlichen Retainer ist der erste Monat voll erstattungsfähig.

Jeder Festpreisauftrag trägt die 100-Prozent-Geld-zurück-Garantie. So funktioniert die Garantie →