Auch das bestätigt meinen wieder Eindruck: IT-Security ist weniger Technik als Organisation. Wenn niemand internes da Verantwortung übernimmt, hilft auch die beste Beratung nichts.

Das ist aus meiner Erfahrung ein zentraler Punkt. Gute Beratung sagt euch auch ganz klar: „Das ist Ihre Aufgabe, das ist Dienstleister-Aufgabe, das ist optional. (usw.)" 
Bei der MTG-Beratung war genau das Teil der Roadmap: nicht nur Maßnahmen, sondern auch Zuständigkeiten und Prioritäten – realistisch für KMU, ohne Overkill. 

Noch ein wichtiger punkt: wenn ein Berater nicht erklären kann, was man bewusst NICHT macht, würde ich vorsichtig sein. Alles gleichzeitig abzusichern ist unrealistisch, gerade für kleinere Unternehmen.

Morgen,

das hilft mir sehr, danke euch allen. Mein aktueller Eindruck nach der Diskussion hier: IT-Security-Beratung ist kein Luxus, sondern eine Art Standortbestimmung. Wichtig dabei ist eine neutrale Analyse, keine Panikmache. Intern muss jemand Verantwortung übernehmen, auch ohne tiefes Technik-Know-how. Beratung ohne klare Roadmap und Priorisierung bringt nichts. 

Wir werden jetzt gezielt Angebote für eine Erst-Analyse / Risikoabschätzung einholen – mit klaren Fragen und klarer Erwartungshaltung. Wenn das sauber läuft, gehen wir den nächsten Schritt.

Danke für die ehrlichen Meinungen – genau dafür liebe ich dieses Forum.

LG