IT-Sicherheit im Mittelstand: pragmatisch verbessern statt aufschieben

Cyberangriffe treffen längst nicht mehr nur Konzerne. Verschlüsselte Server, gestohlene Daten, ein stillstehender Betrieb — für mittelständische Unternehmen ist das Risiko real, während Zeit, Budget und Spezialwissen für Sicherheit oft fehlen.

Dazu kommt wachsender Druck von außen: NIS2, Sicherheitsanforderungen großer Kunden in der Lieferkette und Cyber-Versicherungen, die Mindeststandards verlangen.

Ich unterstütze Unternehmen dabei, ihre IT-Sicherheit strukturiert und mit Augenmaß zu verbessern — nicht mit Angst und Produktverkauf, sondern mit einem klaren Blick auf Prozesse, Systeme und die Risiken, die wirklich zählen.

Wobei ich unterstütze

IT-Sicherheit beginnt nicht mit Tools, sondern mit Überblick. Ich helfe dabei:

  • Bestandsaufnahme: Welche Systeme, Daten und Zugänge gibt es überhaupt?
  • Risiken identifizieren und priorisieren — was wäre wirklich existenzbedrohend, was ist verkraftbar?
  • Basisschutz mit dem größten Hebel umsetzen: Zugriffe, Updates, Backups, E-Mail-Sicherheit
  • Anforderungen von außen einordnen und beantworten: NIS2, Kunden-Audits, Cyber-Versicherung
  • Notfallfähigkeit aufbauen: Was passiert am Tag X — und wer macht was?
  • Sicherheit in Digitalisierungs- und Automatisierungsvorhaben von Anfang an mitdenken (Security by Design)

Sicherheit ist bei mir kein nachgelagertes Extra, sondern Teil jedes Digitalisierungs- und Architekturvorhabens.

Für wen das sinnvoll ist

Diese Leistung ist besonders sinnvoll für:

  • mittelständische Unternehmen ohne eigenes Security-Team
  • Unternehmen, die von NIS2 betroffen sind oder von Kunden nach Sicherheitsnachweisen gefragt werden
  • Geschäftsführungen, die wissen wollen, wo sie bei der IT-Sicherheit wirklich stehen
  • Unternehmen, die Digitalisierung und Sicherheit zusammen denken wollen statt nacheinander

So läuft die Zusammenarbeit ab

01

Überblick gewinnen

Wir erfassen gemeinsam, welche Systeme, Daten, Zugänge und Abhängigkeiten es gibt — oft zum ersten Mal vollständig an einem Ort.

02

Risiken bewerten

Nicht jede Lücke ist gleich kritisch. Ich priorisiere nach realistischem Schaden für Ihr Geschäft, nicht nach Länge der Checkliste.

03

Maßnahmen priorisieren

Zuerst die Basics mit dem größten Hebel: Zugriffskontrolle, Updates, Backups, E-Mail-Sicherheit, Wiederanlauffähigkeit.

04

Umsetzung begleiten

Die Maßnahmen setzt Ihr IT-Team oder Ihr Dienstleister um — ich strukturiere, prüfe nach und übersetze zwischen Geschäftsführung und Technik.

05

Nachhalten

Sicherheit ist kein Projekt mit Enddatum. Wir etablieren einen einfachen Rhythmus aus Überprüfung, Übung und Anpassung.

Wenn dabei sichtbar wird, dass Systeme grundlegend neu geordnet werden müssen, greift oft auch Software-Architektur und technische Projektleitung.

Was Unternehmen davon haben

Am Ende steht kein dicker Bericht für die Schublade, sondern:

  • ein realistisches Bild der eigenen Sicherheitslage
  • priorisierte Maßnahmen statt endloser Empfehlungslisten
  • belastbare Antworten für Kunden, Auditoren und Versicherer
  • ein klarer Plan für den Ernstfall
  • Sicherheit, die in Prozesse eingebaut ist, statt sie zu blockieren

Warum crozzIT

Mein Hintergrund

Ich arbeite seit 2024 als Enterprise-Architekt bei einer gesetzlichen Krankenkasse — einem KRITIS-Unternehmen, in dem IT-Sicherheit und Regulatorik zum Arbeitsalltag gehören. Davor über zehn Jahre Backend- und Cloud-Architektur bei Unternehmen wie Zalando, Klarna und IONOS.

Mein Ansatz

Ich bin kein Pentest-Dienstleister und verkaufe keine Security-Produkte. Mein Beitrag ist der Architektur-Blick: verstehen, wie Geschäft, Prozesse und Systeme zusammenhängen — und Sicherheit dort verankern, wo sie tatsächlich wirkt.

Häufige Fragen

Sind wir überhaupt von NIS2 betroffen?
Grob gilt: Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz in bestimmten Sektoren können betroffen sein — direkt oder indirekt als Zulieferer. Eine erste Einordnung ist meist in einem kurzen Gespräch möglich.
Machst du auch Penetrationstests?
Nein. Für Pentests arbeite ich mit spezialisierten Anbietern zusammen — ich helfe, sie sinnvoll zu beauftragen und die Ergebnisse richtig einzuordnen.
Wir haben einen IT-Dienstleister — reicht das nicht?
IT-Dienstleister halten Systeme am Laufen, betrachten Sicherheit aber selten aus Geschäfts- und Risikosicht. Erst beides zusammen ergibt ein belastbares Bild.
Wie startet man am besten?
Mit einer kompakten Bestandsaufnahme: Systeme, Zugänge, Risiken, priorisierte Empfehlungen. Das ist als überschaubares Festpreispaket möglich und liefert eine Grundlage für alle weiteren Entscheidungen.
Ersetzt das eine ISO-27001-Zertifizierung?
Nein — aber es ist oft der pragmatische erste Schritt. Wird später eine Zertifizierung nötig, ist die Vorarbeit nicht verloren, sondern zahlt direkt darauf ein.

Das könnte auch relevant sein

IT-Sicherheit greift oft mit diesen Leistungen ineinander:

Sie möchten wissen, wo Ihr Unternehmen bei der IT-Sicherheit wirklich steht?

In einem ersten Gespräch klären wir Ausgangslage, akute Fragen und sinnvolle nächste Schritte.

Lassen Sie uns darüber sprechen