Startseite › BSI-Checklisten (WiBA)
BSI-Checklisten für kleine Betriebe: der Einstieg mit WiBA
Das BSI bietet kostenlose Checklisten an, mit denen Sie Ihre IT-Sicherheit Thema für Thema prüfen können: Datensicherung, Laptops, Smartphones, Cloud-Dienste, Passwörter. Das Paket heißt «Weg in die Basis-Absicherung», kurz WiBA. Für Selbstständige und kleine Betriebe ist es ein realistischer Einstieg. Wir helfen beim Ausfüllen und beim Umsetzen.
Was hinter WiBA steckt
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat WiBA entwickelt, damit Organisationen ohne Fachleute mit der Informationssicherheit anfangen können. Sie beantworten einfache Ja-Nein-Fragen. Jedes «Nein» ist eine Aufgabe für Ihre Liste. Methodenwissen brauchen Sie dafür nicht.
Die aktuelle Fassung WiBA 2.0 umfasst 19 Checklisten mit zusammen 257 Prüffragen, Stand der Checklisten März 2024. Sie stehen kostenlos auf der Website des BSI.
Ursprünglich hat das BSI WiBA für kleinere Kommunen gedacht. Laut BSI lassen sich die Checklisten aber auch in anderen, vergleichbaren Organisationen nutzen. Im Alltag eines kleinen Betriebs passen die meisten Fragen gut, manche Formulierungen klingen nach Verwaltung und müssen übersetzt werden. Datenschutzanforderungen behandelt WiBA nicht gesondert.
Warum WiBA zu Kleinstbetrieben passt
- Sie wählen aus: Checklisten zu Themen, die es bei Ihnen nicht gibt, lassen Sie weg. Ohne eigenen Server entfallen zum Beispiel die Listen zu Serversystemen und Serverraum.
- Sie sehen den Aufwand: Jede Prüffrage hat eine Aufwandskategorie von 1 bis 4. So finden Sie schnell die Punkte, die in einem Tag erledigt sind.
- Sie bekommen Hinweise: Zu vielen Fragen gibt es ein Hilfsmittel mit Erklärungen und praktischen Tipps zur Umsetzung.
- Sie bauen auf: WiBA ist nach Angaben des BSI die Vorstufe zur Basis-Absicherung nach IT-Grundschutz. Was Sie jetzt erledigen, zählt später mit.
Die 19 Checklisten und wie eine Prüffrage aufgebaut ist
Jede Checkliste behandelt ein Thema und funktioniert für sich allein. Sie können also mit der Datensicherung anfangen und das Netzwerk später erledigen.
Zu jeder Prüffrage gehören vier Teile:
- Antwort: Ja, Nein oder Nicht relevant. «Nicht relevant» passt nur, wenn es das Thema bei Ihnen wirklich nicht gibt, etwa kein Faxgerät. Schreiben Sie kurz dazu, warum.
- Hilfsmittel: erklärt die Frage und gibt Hinweise, wie Sie die Anforderung erfüllen können. Das BSI empfiehlt, es vor der Antwort zu lesen.
- Aufwand: eine der vier Kategorien weiter unten.
- Notizen: ein Satz, wie Sie es gelöst haben oder was noch fehlt.
Ein Beispiel aus der Checkliste «Backup»: «Ist festgelegt, welche Daten gesichert werden?» Für ein Büro mit drei Laptops heißt das: Liegen Kundendaten nur lokal auf einem Gerät, im Cloud-Speicher oder an beiden Orten, und was davon wird gesichert?
Für einen typischen kleinen Betrieb ohne eigenen Server sind vor allem diese Listen wichtig: Organisation und Personal, Rollen / Berechtigungen / Authentisierung, Backup, Client, Mobile Endgeräte, Bürosoftware, Outsourcing und Cloud, Arbeit außerhalb der Institution sowie Vorbereitung für Sicherheitsvorfälle.
- Arbeit außerhalb der Institution 10
- Arbeit innerhalb der Institution / Haustechnik 7
- Backup 7
- Bürosoftware 19
- Client 13
- Drucker und Multifunktionsgeräte 6
- IT-Administration 22
- Mobile Endgeräte 18
- Netze 26
- Organisation und Personal 18
- Outsourcing und Cloud 6
- Rollen / Berechtigungen / Authentisierung 16
- Serverraum und Datenträgerarchiv 11
- Serversysteme 35
- Sicherheitsmechanismen 10
- Telefonie und Fax 4
- Umgang mit Informationen 6
- Vorbereitung für Sicherheitsvorfälle 7
- Webserver und Webanwendungen 16
Anzahl der Prüffragen je Checkliste laut BSI-Checklisten WiBA 2.0, Stand März 2024.
Die vier Aufwandskategorien
- Kategorie 1
- Schnell erledigt, meist in etwa einem Tag oder mit wenig Aufwand.
- Kategorie 2
- Geringer Aufwand, meist höchstens einige Wochen, selbst umsetzbar.
- Kategorie 3
- Einige Monate, unter Umständen mit Unterstützung von außen.
- Kategorie 4
- Aufwendig und oft langfristig, mit Fachwissen und Hilfe Dritter.
Beschreibung der Kategorien nach den FAQ des BSI zu WiBA.
So gehen Sie im kleinen Betrieb vor
Das BSI empfiehlt zwei Stufen: erst ehrlich den Stand erheben, dann die offenen Punkte nach und nach erledigen. Für einen kleinen Betrieb sieht das so aus.
Zuständigkeit klären
Im Kleinstbetrieb sind das meist Sie selbst. Legen Sie fest, wer die Checklisten bearbeitet und wer am Ende entscheidet.
Stand erheben
Fragen mit Ja, Nein oder Nicht relevant beantworten, Hilfsmittel lesen, kurze Notizen machen. Was Ihr IT-Dienstleister betreut, füllt er nach Empfehlung des BSI selbst aus.
Reihenfolge festlegen
Alle «Nein» sammeln und sortieren. Schnelle Punkte aus Kategorie 1 und gravierende Lücken dürfen nach vorn.
Abarbeiten
Schritt für Schritt umsetzen und in den Notizen festhalten. Eine feste Frist gibt das BSI nicht vor. Danach empfiehlt es die vollständige Basis-Absicherung.
WiBA, Cyber-Risiko-Check und IT-Grundschutz im Vergleich
Die drei Angebote bauen aufeinander auf. Für Selbstständige und Kleinstbetriebe ist oft der Check der schnellste Start und WiBA der gründlichere zweite Schritt.
| Cyber-Risiko-Check | WiBA | Basis-Absicherung | |
|---|---|---|---|
| Grundlage | DIN SPEC 27076 | BSI-Checklisten, abgeleitet aus dem IT-Grundschutz | BSI-Standard 200-2 und IT-Grundschutz-Kompendium |
| Umfang | 27 Prüfpunkte in 6 Themen | 257 Prüffragen in 19 Checklisten, davon nur die passenden | Basis-Anforderungen aller relevanten Bausteine |
| Vorgehen | Gespräch mit einem Berater, rund zwei Stunden | Selbst oder begleitet, erste Erhebung laut BSI etwa zwei Tage | Geregelter Sicherheitsprozess mit Leitlinie und Sicherheitskonzept |
| Ergebnis | Bericht mit Bewertung und Reihenfolge der Maßnahmen | Liste erledigter und offener Punkte | Einstieg in ein Managementsystem für Informationssicherheit |
| Zertifikat | Nein | Nein | Nein, eine ISO-27001-Zertifizierung setzt Kern- oder Standard-Absicherung voraus |
Wer nach WiBA weitermachen will, findet den nächsten Schritt im Stufenplan zum IT-Grundschutz. Das BSI stellt dafür eine Tabelle bereit, die jede WiBA-Prüffrage den Anforderungen der Basis-Absicherung zuordnet. Außerdem sollen die WiBA-Checklisten nach Angaben des BSI fester Bestandteil des neuen Grundschutz++ werden.
Wobei wir helfen
Die Checklisten sind frei verfügbar. Schwierig wird es meist bei drei Fragen: Welche Listen gelten für mich? Was bedeutet diese Frage für meinen Betrieb? Womit fange ich an? Dabei unterstützen wir Sie:
- Gemeinsam durchgehen: Wir bearbeiten die passenden Checklisten mit Ihnen und, falls vorhanden, mit Ihrem IT-Dienstleister und halten die Antworten nachvollziehbar fest.
- Aufgabenliste: Aus allen «Nein» entsteht eine Liste mit Reihenfolge, Aufwand und Zuständigkeit.
- Umsetzen: Wir helfen bei Regeln und technischen Maßnahmen, etwa Datensicherung, Zwei-Faktor-Anmeldung oder einem Notfallzettel.
- Dranbleiben: Auf Wunsch sind wir danach Ihr fester Ansprechpartner für Informationssicherheit.
Umfang und Kosten besprechen wir nach einem ersten Gespräch.
Mit den BSI-Checklisten anfangen
Schreiben Sie uns, wie Ihr Betrieb arbeitet. Wir sagen Ihnen, welche Checklisten für Sie zählen und ob der Cyber-Risiko-Check vorher sinnvoll ist.
Offizielle Quellen
- BSI: Weg in die Basis-Absicherung (WiBA), Übersicht und Downloads
- BSI: FAQ zu WiBA (Zielgruppe, Zertifizierung, Aufwandskategorien)
- BSI: WiBA Vorgehensweise (PDF)
- BSI: WiBA-Checklisten 2.0 (ZIP)
- BSI: BSI-Standards 200-1 bis 200-4
- BSI: Grundschutz++
Stand der Angaben: Oktober 2026.