Technik
Technische Infrastruktur
20
Trägt das Fundament?
Server, Storage, Netz und Backup — die Schicht, auf der alles andere aufsetzt. Hier entscheidet sich, ob ein Ausfall ein Ärgernis oder ein Stillstand ist.
8 Kriterien 239 Fragen
Auf Basis von BSI WiBA 2.0
Wissen, wo Ihre IT
wirklich steht.
Die Network Scorecard bewertet Ihre IT-Infrastruktur entlang von 502 Prüffragen in 33 Kriterien und fünf gewichteten Dimensionen. Sie bekommen keinen Eindruck, sondern einen nachvollziehbaren Reifegrad — mit benannten Risiken und einer Maßnahmenliste in der Reihenfolge, in der sie wirkt.
- Prüffragen
- 502Prüffragen
- Kriterien
- 33Kriterien
- Dimensionen
- 5Dimensionen
- KO-Fragen
- 15KO-Fragen
Scorecard — Musterauswertung
Katalog v6.1
Gewichteter Gesamtscore
2,9 / 5,0
Konfidenz: Mittel
2 KO-Kriterien erfüllt
Technik 20 %
3,4 2 3 3 8 Kriterien
Anwendungen 15 %
3,2 1 2 3 6 Kriterien
Organisation 20 %
2,7 2 3 1 6 Kriterien
Sicherheit 35 %
2,4 3 4 2 9 Kriterien
Zukunft 10 %
3,5 0 2 2 4 Kriterien
33 Kriterien:
8 rot ·
14 gelb ·
11 grün Soll-Reifegrad
Beispielhafte Auswertung. Struktur, Gewichtung und Rechenweg entsprechen dem echten Bericht.
Normbezug je Kriterium
BSI WiBA 2.0CIS Controls v8.1ISO/IEC 27001:2022DIN SPEC 27076DSGVO Art. 32
Anlass
Die meisten IT-Risiken sind nicht unbekannt. Sie sind nur unbewertet.
In fast jedem Betrieb weiß jemand, wo es klemmt. Was fehlt, ist eine gemeinsame, überprüfbare Grundlage dafür, was zuerst drankommt — und was nur unangenehm, aber unkritisch ist.
Die Antwort lautet „läuft doch"
Solange nichts ausfällt, gilt die IT als in Ordnung. Ob das Backup zurückspielbar ist, hat seit Jahren niemand geprüft. Die Scorecard ersetzt diese Vermutung durch einen Nachweis — oder durch einen benannten Befund.
Sie sollen über Budget entscheiden
Auf dem Tisch liegen Angebote, aber keine Grundlage für die Reihenfolge. Ein Reifegrad je Kriterium samt Priorität A, B oder C macht aus einer Wunschliste eine begründete Investitionsplanung.
Ihr Auftraggeber fragt nach
Kunden, Versicherer und Konzernmütter reichen Sicherheitsanforderungen vertraglich durch. Neun der 33 Kriterien decken genau diesen Bereich ab — inklusive der Frage, ob Sie die Anforderungen überhaupt erfüllen können.
Sie übernehmen eine gewachsene IT
Neue IT-Leitung, neuer Dienstleister, Zukauf eines Standorts: Ein strukturierter Ist-Stand über alle fünf Dimensionen schafft in wenigen Wochen den Überblick, für den sonst ein Jahr Betriebserfahrung nötig wäre.
Ablauf
Fünf Schritte, keine Blackbox
Jeder Schritt hat ein definiertes Ergebnis und einen Ausstiegspunkt. Sie entscheiden nach dem Screening, ob und wie tief es weitergeht.
- 01
Erstgespräch und Screening
ca. 30 MinutenAcht Screening-Fragen stecken den Rahmen ab: Größenordnung, kritische Systeme, offensichtliche Lücken. Danach sagen wir Ihnen, in welcher Tiefe ein Assessment sinnvoll ist — und wenn es keines braucht, auch das.
- 02
Scope festlegen
gemeinsamSie entscheiden, welche Dimensionen und Kriterien bewertet werden. Ein Voll-Assessment über alle 33 Kriterien oder ein enger Quick-Check, etwa nur auf Sicherheit und Notfallvorsorge. Der Gesamtscore rechnet die Gewichte auf den gewählten Scope um, der Bericht weist ihn aus.
- 03
Erhebung
2–4 WochenRemote-Prüfung von Konfigurationen, Selbstauskunft durch Ihr Team und ein Vor-Ort-Termin für alles Physische. Je Frage halten wir Antwort, Prüfmethode, Evidenz und Notiz fest — damit später nachvollziehbar ist, worauf jede Bewertung beruht.
- 04
Bewertung
Auditor, nicht AutomatikJe Kriterium setzt der Auditor Ist- und Soll-Reifegrad, prüft KO-Befunde und formuliert Feststellung und Empfehlung. Die Kontrollabdeckung aus den Antworten ist dabei ein Vorschlag — die Bewertung trifft ein Mensch und begründet sie.
- 05
Bericht und Besprechung
Managementbericht + DetailteilGesamtscore, Reifegradprofil, KO-Befunde und Konfidenzrating für die Geschäftsführung; Feststellung, Empfehlung und Priorität je Kriterium für die IT. Wir gehen den Bericht mit Ihnen durch — er soll nicht abgelegt, sondern abgearbeitet werden.
Prüfumfang
Fünf Dimensionen, unterschiedlich gewichtet
Nicht jeder Bereich wiegt gleich schwer. Sicherheit und Cyber-Resilienz gehen mit 35 % in den Gesamtscore ein, Zukunftsfähigkeit mit 10 %. Die Gewichtung ist der Standard aus 502 Prüffragen — und je Projekt anpassbar, wenn Ihr Betrieb anders liegt.
Anwendungen
Anwendungen und Systeme
15
Läuft, was das Geschäft trägt?
Die Anwendungen, ohne die der Betrieb steht — mit ihren Abhängigkeiten, Schnittstellen und dem passenden Betriebsmodell.
6 Kriterien 52 Fragen
Organisation
Organisation und Betrieb
20
Funktioniert es auch ohne den einen Kollegen?
Verantwortlichkeiten, Prozesse, Dokumentation. Der Bereich, in dem Kopfmonopole sichtbar werden — und der im Notfall den Unterschied macht.
6 Kriterien 37 Fragen
Sicherheit
Sicherheit, Compliance und Cyber-Resilienz
35
Was passiert am Tag danach?
Die am stärksten gewichtete Dimension: Zugriffsschutz, Notfallvorsorge, Incident Response, Datenschutz und durchgereichte Auftraggeber-Anforderungen.
9 Kriterien 156 Fragen
Zukunft
Zukunftsfähigkeit und Wirtschaftlichkeit
10
Trägt die Architektur noch in fünf Jahren?
Investitionsstau, Cloud-Readiness, Architektur und Kostenstruktur — die Grundlage für Budgetentscheidungen, die länger halten als ein Haushaltsjahr.
4 Kriterien 18 Fragen
33
Kriterien insgesamt, jedes mit eigenem Reifegrad, eigener Ampel und eigener Empfehlung.
Wie daraus ein Score wird Ergebnis
Was am Ende auf dem Tisch liegt
Kein Foliensatz mit Ampeln, deren Zustandekommen niemand erklären kann. Jede Bewertung ist bis auf die einzelne Prüffrage, die Prüfmethode und die Evidenz zurückverfolgbar.
Reifegradprofil — Musterauswertung
Die Fläche zeigt den Ist-Zustand, die gestrichelte Linie das mit Ihnen vereinbarte Ziel. Wo beide auseinanderliegen, steht Arbeit an — wie viel, sagt der Abstand.
Managementbericht
Gesamtscore, Reifegradprofil, die größten Risiken und erfüllten KO-Kriterien, dazu eine Empfehlung. Auf wenigen Seiten, ohne Fachjargon — für Menschen, die entscheiden, nicht administrieren.
Detailbericht je Kriterium
Für alle 33 Kriterien: Feststellung, Empfehlung, Ampel, Ist- und Soll-Reifegrad, Priorität A/B/C und die geprüfte Evidenz. Der Teil, mit dem Ihre IT arbeitet.
Handlungsfelder, priorisiert
Alle roten und gelben Kriterien nach Priorität und Aufwand sortiert. Quick Wins stehen oben — Maßnahmen, die viel bewirken und wenig kosten.
Konfidenzrating
Eine ehrliche Angabe dazu, wie belastbar das Ergebnis ist: wie viel technisch geprüft wurde und was offen blieb. Ein Score ohne diese Angabe wäre eine Zahl ohne Gewicht.
Rohdaten als Export
Bericht als PDF und Markdown, Bewertung als JSON. Ihre Daten bleiben verwertbar, auch ohne uns und ohne unser Werkzeug.
Vergleichbare Wiederholung
Dieselbe Katalogversion, dieselben Formeln: Eine Zweitmessung nach 12 bis 18 Monaten zeigt die Entwicklung im direkten Vergleich statt im Gefühl.
Abgrenzung
Und was die Scorecard ausdrücklich nicht ist
Ein Assessment, das alles verspricht, liefert nichts davon belastbar. Diese Abgrenzung steht in jedem Bericht — nicht im Kleingedruckten, sondern auf der ersten Seite.
Keine ISO-27001-Zertifizierung
Wir ordnen jedes Kriterium den Anhang-A-Bereichen zu. Eine formale Gap-Analyse Ihres Managementsystems ist das nicht, und ein Zertifikat schon gar nicht.
Kein Penetrationstest
Wir prüfen Konfigurationen, Prozesse und Nachweise. Ob sich eine Anwendung aktiv kompromittieren lässt, beantwortet ein Pentest — eine andere Leistung mit anderem Ziel.
Keine TCO-Studie
Die Dimension Zukunftsfähigkeit bewertet Investitionsstau und Betriebsmodell-Eignung. Eine belastbare Vollkostenrechnung über fünf Jahre ersetzt das nicht.
Keine Verkaufsveranstaltung
Der Bericht ist ohne uns verwertbar. Wenn ein Kriterium grün ist, steht das im Bericht — auch wenn wir daran nichts verdienen.
Die Plattform dahinter
Ein Assessment ist nur so gut wie seine Nachvollziehbarkeit.
Wir erheben nicht in Tabellen. Hinter der Scorecard steht eine von DATAZONE entwickelte Anwendung, in der alle 502 Prüffragen, die Bewertungslogik und die Berichte liegen. Der Rechenweg ist festgeschrieben und getestet — nicht in einer Formel, die beim Kopieren verrutscht.
- Jede Antwort mit Prüfmethode, Evidenzreferenz und Notiz hinterlegt
- Änderungshistorie je Bewertung — wer hat wann was geändert
- Eigener Zugang für Ihr Team: Selbstauskunft vorab, vom Auditor bestätigt
- Versionierter Fragenkatalog, damit Wiederholungsmessungen vergleichbar bleiben
Erhebung — Kernphase zuletzt gespeichert 14:07
F-112
TEC-05
KO-relevant
Existiert eine unveränderbare oder offline gehaltene Backup-Kopie (Immutability/Air-Gap) als Ransomware-Schutz?
Gibt es eine Sicherung, die ein Angreifer nicht mitlöschen kann?
Ja Überwiegend Teilweise Nein N/A offen
- Prüfmethode
- Konfigurationsprüfung
- Evidenz
- PBS-Datastore-Export
- Kontrollabdeckung TEC-05
- 58 %
Häufige Fragen
Was Interessenten üblicherweise wissen wollen
Was kostet ein Assessment?
Der Preis richtet sich nach Umfang und Tiefe. Das Screening mit acht Fragen ist Teil des kostenlosen Erstgesprächs. Die Kernerhebung über alle 33 Kriterien liegt bei rund zehn Stunden Erhebungsaufwand, die Vertiefung kommt nur dort dazu, wo Sie sie wollen. Sie erhalten vor Beginn ein Festpreisangebot mit klar benanntem Scope.
Wie lange dauert das, und wie viel Zeit kostet es uns?
Ein typisches Assessment mit Kernerhebung läuft über zwei bis vier Wochen. 357 der 502 Fragen beantworten wir remote anhand von Konfigurationen und Exporten, 94 laufen als Selbstauskunft vorab, 51 setzen einen Vor-Ort-Termin voraus. Ihr Team ist im Wesentlichen in den Interviews gebunden — geführt nach Rolle, damit niemand für Fragen im Raum sitzt, die ihn nicht betreffen.
Ist das eine ISO-27001-Zertifizierung?
Nein, ausdrücklich nicht. Die Scorecard bewertet den Ist-Zustand Ihrer Infrastruktur und ordnet jedes Kriterium den Anhang-A-Bereichen der ISO/IEC 27001 zu. Sie ersetzt weder eine formale Gap-Analyse des Managementsystems noch eine TCO-Studie noch einen Penetrationstest. Diese Abgrenzung steht in jedem Bericht.
Müssen wir alle 502 Fragen beantworten?
Nein. Screening und Kernerhebung sind zusammen 129 Fragen und ergeben bereits eine belastbare Bewertung über alle fünf Dimensionen. Die 373 Vertiefungsfragen setzen wir gezielt ein. Sie können den Scope außerdem auf einzelne Dimensionen oder Kriterien begrenzen — der Gesamtscore wird dann auf die aktivierten Gewichte umgerechnet, und der Bericht weist aus, was bewertet wurde und was nicht.
Wer bekommt die Ergebnisse zu sehen?
Sie. Der Bericht geht an Geschäftsführung und IT-Leitung. Die Erhebungsdaten liegen in Deutschland, das Werkzeug betreibt DATAZONE selbst, und ein Assessment lässt sich auf Wunsch vollständig löschen — mit Protokoll darüber.
Was ist ein KO-Kriterium?
15 der 502 Fragen sind so kritisch, dass eine negative Antwort das betroffene Kriterium unabhängig vom Reifegrad auf Rot setzt — etwa ein nie getesteter Restore, ein Backup, das sich aus dem Produktivnetz löschen lässt, oder administrative Zugänge ohne MFA. Ein KO-Befund ist kein Punktabzug, sondern ein Befund, der vor allen anderen Maßnahmen steht.
Wir haben schon einen IT-Dienstleister. Richtet sich das gegen ihn?
Nein. Die Scorecard bewertet den Zustand der Infrastruktur, nicht die Arbeit einer Person oder Firma. Viele Befunde sind Folge von Budgetentscheidungen, gewachsenen Strukturen oder Prioritäten, die anderswo gesetzt wurden. Das Ergebnis ist für beide Seiten nützlich: Sie bekommen eine begründete Prioritätenliste, Ihr Dienstleister eine Grundlage für das, was er ohnehin seit Längerem anspricht.
Was passiert nach dem Bericht?
Der Bericht enthält je Kriterium Feststellung, Empfehlung und Priorität A, B oder C — sortiert nach Wirkung und Aufwand, Quick Wins zuerst. Ob Sie die Maßnahmen selbst umsetzen, Ihren bestehenden Dienstleister beauftragen oder uns: Das Ergebnis gehört Ihnen und ist ohne uns verwertbar. Eine Wiederholungsmessung nach 12 bis 18 Monaten zeigt die Entwicklung im direkten Vergleich.
Fangen Sie mit acht Fragen an.
Das Screening ist Teil des Erstgesprächs und kostet Sie eine halbe Stunde. Danach wissen Sie, ob sich ein vollständiges Assessment lohnt — und wir sagen es Ihnen auch, wenn es das nicht tut.
DATAZONE · 86633 Neuburg a. d. Donau · Erhebung und Auswertung in Deutschland