Der IT Klub hat die erste Erhebungswelle seines neuen „Leitindex für IT-Security“ gestartet und verspricht mittelständischen Unternehmen eine kostenlose Bestandsaufnahme ihrer Cybersicherheit. Im Kern der wiederkehrenden Studie steht die sogenannte Reality Gap – die oft eklatante Differenz zwischen der Selbsteinschätzung der IT-Sicherheit und den tatsächlich gemessenen Werten. Ziel ist es, Unternehmen aus Deutschland, Österreich und der Schweiz eine datenbasierte Grundlage für Priorisierungen und Investitionen zu liefern.
Was die Reality Gap für den Mittelstand bedeutet
Viele Unternehmen schätzen ihre eigene Resilienz gegen Cyberangriffe als hoch ein, doch technische Prüfungen offenbaren regelmäßig Schwachstellen. Der IT Klub definiert diesen Abstand zwischen Wahrnehmung und Realität als „Reality Gap“. Der Leitindex erfasst diesen Gap systematisch: Mittels eines Fragebogens wird die Selbsteinschätzung in den Bereichen technische und organisatorische IT-Sicherheit, Datenschutz sowie Business Continuity erhoben. Anschließend kommen optionale technische Messungen hinzu, die ein externes Penetration-Scanning, ein Lieferketten-Screening und eine kontrollierte Phishing-Simulation der Belegschaft umfassen. Gemessen werden unter anderem Klick- und Interaktionsraten, offene Ports, veraltete Komponenten und exponierte Systeme.
So funktioniert der Leitindex
Die Teilnahme ist laut IT Klub kostenfrei und unverbindlich. Unternehmen füllen zunächst einen kurzen Basisfragebogen aus. Bei Zustimmung werden dann die technischen Tests durchgeführt. Die Ergebnisse aus Selbstauskunft und Messung werden auf einer GRC-Plattform (Governance, Risk and Compliance) zusammengeführt und auf einer Skala von 0 bis 5 bewertet. Das zugrunde liegende Reifegradmodell orientiert sich an Referenzrahmen wie dem NIST Cybersecurity Framework und der ISO/IEC 27001. Als wirtschaftlich sinnvolles Ziel gilt Stufe 3, bei der Sicherheitsprozesse definiert, dokumentiert und im Arbeitsalltag verankert sind.
Die Testmethoden im Überblick
| Testmethode | Gemessene Parameter | Zweck |
|---|---|---|
| Fragebogen (Selbsteinschätzung) | Technische & organisatorische IT-Security, Datenschutz, Business Continuity | Erhebung der subjektiven Sicherheitswahrnehmung |
| Externer Penetrationstest | Offene Ports, veraltete Komponenten, exponierte Systeme | Identifikation von Angriffsflächen nach außen |
| Lieferketten-Screening | Sicherheitsstatus von Drittanbietern und Partnern | Risikobewertung der Lieferkette |
| Phishing-Simulation | Klick- und Interaktionsraten der Belegschaft | Messung der Sensibilisierung der Mitarbeitenden |
Datenschutz und Nutzen für die Teilnehmer
Die individuellen Ergebnisse bleiben beim Unternehmen. Die Auswertung zeigt den Reifegrad in vier Kategorien sowie die schwächsten Stellen, an denen zuerst angesetzt werden sollte. Für die Gesamtauswertung werden die Daten anonymisiert in einer deutschen Cloud verarbeitet. Teilnehmer erhalten die Gesamtergebnisse vor der offiziellen Veröffentlichung. Den Wert der kostenfreien Tests beziffert der IT Klub auf weit über 10.000 Euro. Das Netzwerk mit Sitz in Mainz, das über 160 Mitgliedsunternehmen aus der IT- und Medienbranche vereint, betont die wirtschaftliche Trennung zwischen Herausgeber und den durchführenden Unternehmen. Ein Beirat begleitet die Methodik.
Bereits 22 Unternehmen registriert – und weitere können folgen
Nach Angaben des IT Klub haben sich bereits 22 Unternehmen aus dem DACH-Raum für die erste Welle registriert. Interessierte Unternehmen können sich über die Website des Leitindex anmelden. Die Studie ist als wiederkehrendes Messinstrument angelegt, sodass Unternehmen ihre Entwicklung über die Zeit verfolgen können. Gerade für den Mittelstand, der oft nicht über die Budgets für umfassende Security-Audits verfügt, bietet der kostenlose Index eine niedrigschwellige Möglichkeit, das eigene Sicherheitsniveau realistisch einzuschätzen und gezielt zu verbessern. Angesichts der wachsenden regulatorischen Anforderungen – etwa durch NIS-2 – gewinnt eine solche objektive Standortbestimmung zusätzlich an Bedeutung. Der IT Klub stellt damit ein Werkzeug bereit, das aus der Praxis für die Praxis entstanden ist und genau die Lücke adressiert, die viele Unternehmen bislang übersehen: den Unterschied zwischen dem, was man glaubt, und dem, was ist.
