Vom Assessment zur Security-Roadmap: Eine Case Study

Eine Security-Roadmap ist schnell auf Papier gebracht. Die eigentliche Frage ist: Wird daraus tatsächlich gelebte Sicherheit – oder verstaubt das Dokument in einem Ordner? Dieser Beitrag zeigt anhand eines anonymisierten Praxisfalls, wie die Security-Roadmap Umsetzung im Mittelstand konkret aussieht: von der Ausgangslage über das Assessment-Ergebnis und die priorisierte Roadmap bis zu den ersten zwölf Monaten der Umsetzung und dem messbaren Ergebnis.

Das Beispiel ist anonymisiert und in den Details verallgemeinert, spiegelt aber ein typisches Muster wider, das uns in der Beratung immer wieder begegnet. Bewusst verzichten wir auf erfundene Präzisionszahlen – wo Größenordnungen helfen, nennen wir sie, ohne eine Scheingenauigkeit vorzutäuschen.

Die Ausgangslage: Ein gewachsener Mittelständler

Unser Beispielunternehmen ist ein mittelständischer Maschinenbauer mit rund 600 Mitarbeitenden, mehreren Standorten und einer über Jahrzehnte gewachsenen IT-Landschaft. Das Unternehmen ist ein Hidden Champion in seiner Nische, exportiert weltweit und arbeitet als Zulieferer für die Automobilindustrie – was es regulatorisch und vertraglich unter Druck setzt.

Die Ausgangssituation war typisch:

• Ein IT-Leiter mit kleinem Team, hervorragend im operativen Betrieb, aber ohne Kapazität und ohne fachliches Gegenüber für strategische Security-Arbeit.
• Eine solide, aber organisch gewachsene IT – mit historisch bedingten Sonderlösungen, einer flachen Active-Directory-Struktur und über die Jahre angesammelten Berechtigungen, die nie aufgeräumt wurden.
• Microsoft 365 im Einsatz, aber mit weitgehend Standard-Konfiguration und ungenutztem Sicherheitspotenzial in den vorhandenen Lizenzen.
• Wachsender Compliance-Druck: Kunden aus der Automobilbranche forderten TISAX, und mit NIS2 (in Deutschland seit Dezember 2025 in Kraft) kam eine weitere Anforderung hinzu, deren Betroffenheit zunächst unklar war.

Der Auslöser, aktiv zu werden, war kein Vorfall – sondern eine konkrete Kundenanfrage nach einem Sicherheitsnachweis, kombiniert mit dem unguten Gefühl der Geschäftsführung, den eigenen Reifegrad gar nicht zu kennen.

Schritt 1: Das Reifegrad-Assessment

Am Anfang stand kein Maßnahmenkatalog, sondern eine ehrliche Standortbestimmung. Das Reifegrad-Assessment bewertete die Informationssicherheit des Unternehmens strukturiert entlang etablierter Kategorien – orientiert an den 93 Controls der ISO/IEC 27001:2022 und ergänzt um eine technische Betrachtung der Microsoft-365-Umgebung.

Das Assessment lief über wenige Wochen und kombinierte:

• Interviews mit IT-Leitung, Geschäftsführung und ausgewählten Fachbereichen.
• Eine Sichtung der vorhandenen Dokumentation – Richtlinien, Prozesse, Notfallpläne (soweit vorhanden).
• Eine technische Bestandsaufnahme der zentralen Systeme, der Identity-Landschaft und der Backup-Strategie.

Warum Assessment vor Aktion
Ohne Standortbestimmung wird Security zur Blindfahrt. Erst wenn klar ist, wo die größten Lücken klaffen, lässt sich Budget sinnvoll einsetzen – statt es im teuersten, aber nicht wichtigsten Bereich zu verbrennen.

Schritt 2: Das Assessment-Ergebnis

Das Ergebnis war für die Geschäftsführung aufschlussreich – und in Teilen unbequem. Der Gesamtreifegrad lag im unteren Mittelfeld: solide Grundlagen im operativen Betrieb, aber deutliche Lücken in Governance, Prozessen und Resilienz. Die zentralen Befunde:

• Identity & Access als größtes Risiko. Über Jahre gewachsene, nie rezertifizierte Berechtigungen, zu viele privilegierte Konten, kein strukturierter Prozess für Ein- und Austritte. Ein Angreifer mit einem einzigen kompromittierten Konto hätte weitreichenden Zugriff gehabt.
• Keine erprobte Notfallfähigkeit. Backups existierten, aber ein Restore unter Realbedingungen war nie getestet worden. Ein Incident-Response-Plan fehlte vollständig.
• Ungenutztes Sicherheitspotenzial in Microsoft 365. Vorhandene Lizenzen boten Funktionen für Multi-Faktor-Authentifizierung, Conditional Access und Informationsschutz, die schlicht nicht aktiviert waren.
• Awareness als Leerstelle. Außer einer jährlichen Pflichtschulung gab es keine kontinuierliche Sensibilisierung.
• Fehlende Governance. Keine dokumentierte Risikoanalyse, keine Security-Verantwortlichkeiten jenseits des IT-Leiters, kein Management-Reporting.

Wichtig war die Einordnung: Nicht alles war kritisch, und nicht alles musste sofort. Das Assessment lieferte nicht nur eine Mängelliste, sondern eine Priorisierung nach Risiko – die Grundlage für die Roadmap.

Schritt 3: Die priorisierte Roadmap

Aus dem Assessment wurde eine Roadmap über 24 Monate entwickelt, die nach drei Kategorien sortiert war:

• Pflicht – regulatorisch oder durch akutes Risiko getrieben, ohne Aufschub.
• Reifegrad – Maßnahmen, die das Sicherheitsniveau strukturell heben.
• Hygiene – laufende Prozesse, die dauerhaft etabliert werden.

Die Priorisierung folgte einem klaren Prinzip: Erst die größten Risiken mit dem besten Aufwand-Wirkungs-Verhältnis. Konkret ergab sich diese grobe Reihenfolge:

1. Quick Wins in Microsoft 365 – Aktivierung von MFA und Conditional Access. Hohe Wirkung, geringe Kosten, schnelle Umsetzbarkeit, da bereits lizenziert.
2. Identity & Access Management – Aufräumen der Berechtigungen, Einführung eines strukturierten Joiner-Mover-Leaver-Prozesses und einer ersten Rezertifizierung. Mehr dazu unter Identity & Access Management.
3. Notfallfähigkeit – erprobtes Backup-Restore-Konzept und ein getesteter Incident-Response-Plan.
4. Governance und ISMS-Grundstruktur – als Fundament für die geforderte TISAX-Zertifizierung über unseren Bereich Compliance & ISMS.
5. Awareness als Programm – kontinuierliche Sensibilisierung statt Einmal-Schulung.

Begleitet wurde die gesamte Roadmap von einem Strategic Security Advisor (SSA) – nicht als externer Übernehmer der Verantwortung, sondern als Sparringspartner des IT-Leiters, der die Umsetzung steuerte, priorisierte und gegenüber der Geschäftsführung argumentierte.

Praxis-Tipp
Eine Roadmap, die mit Quick Wins beginnt, erzeugt früh sichtbare Erfolge. Das ist nicht nur psychologisch wertvoll, sondern sichert das Management-Commitment für die aufwändigeren Maßnahmen, die später folgen.

Schritt 4: Die ersten 12 Monate Umsetzung

Die Roadmap blieb kein Papier. Im ersten Jahr wurden die priorisierten Maßnahmen konsequent abgearbeitet – in einem Tempo, das das kleine IT-Team nicht überforderte.

Quartal 1 – Quick Wins und Stabilisierung. MFA wurde flächendeckend ausgerollt, Conditional Access eingerichtet, die kritischsten privilegierten Konten reduziert. Schon diese Maßnahmen senkten das Risiko eines erfolgreichen Kontomissbrauchs spürbar – mit minimalem Budget.

Quartal 2 – Identity aufräumen. Die gewachsenen Berechtigungen wurden inventarisiert und in einer ersten Rezertifizierung durch die Fachbereiche bestätigt oder entzogen. Ein dokumentierter Joiner-Mover-Leaver-Prozess wurde eingeführt, damit künftig keine neuen Altlasten entstehen.

Quartal 3 – Resilienz herstellen. Das Backup-Konzept wurde überarbeitet und – entscheidend – ein Restore unter Realbedingungen getestet. Dabei zeigten sich Lücken, die im Ernstfall fatal gewesen wären und nun geschlossen wurden. Parallel wurde ein schlanker Incident-Response-Plan erstellt und in einer Tabletop-Übung durchgespielt.

Quartal 4 – Governance und Awareness. Die ISMS-Grundstruktur für TISAX nahm Form an: Risikoanalyse, zentrale Richtlinien, definierte Verantwortlichkeiten. Gleichzeitig startete ein kontinuierliches Awareness-Programm mit regelmäßigen Phishing-Simulationen über Security Awareness.

Über das gesamte Jahr lief das SSA-Sparring in einem festen Rhythmus – mit regelmäßigen Strategie-Terminen, in denen Fortschritt, Hindernisse und Nachsteuerung besprochen wurden. Die Roadmap wurde dabei nicht stur abgearbeitet, sondern bei Bedarf angepasst.

Schritt 5: Das Ergebnis nach 12 Monaten

Nach einem Jahr hatte sich das Bild deutlich gewandelt – nicht durch einen großen Wurf, sondern durch konsequente, priorisierte Arbeit:

• Der Reifegrad stieg messbar von unterem Mittelfeld auf ein solides Niveau – sichtbar in einem erneuten, vergleichenden Assessment.
• Die größten Risiken waren entschärft. Die Identity-Landschaft war aufgeräumt, MFA flächendeckend, die Notfallfähigkeit erprobt.
• Die TISAX-Vorbereitung war auf Kurs – die geforderte Zertifizierung rückte in greifbare Nähe und damit der Erhalt der Kundenbeziehungen in der Automobilbranche.
• Der IT-Leiter war entlastet, nicht ersetzt. Er hatte mit dem SSA ein fachliches Gegenüber gewonnen und konnte Security-Entscheidungen nun fundiert treffen und gegenüber der Geschäftsführung argumentieren.
• Die Geschäftsführung sah Security nicht mehr als Black Box, sondern bekam regelmäßiges, verständliches Reporting über Reifegrad und Fortschritt.

Entscheidend: Das Unternehmen hatte nicht mehr ausgegeben, als geplant – aber das Geld war risikobasiert eingesetzt worden. Die teuersten Maßnahmen kamen erst, nachdem die billigen Quick Wins ihre Wirkung entfaltet hatten.

Was diese Case Study verallgemeinerbar macht

Der Fall ist im Detail individuell, im Muster aber typisch. Drei Lektionen lassen sich übertragen:

1. Assessment vor Aktion. Wer ohne Standortbestimmung investiert, verbrennt Budget. Die Reihenfolge Assessment → Roadmap → Umsetzung ist keine Förmlichkeit, sondern der Kern wirtschaftlicher Security. Wie eine solche Roadmap grundsätzlich aufgebaut ist, lesen Sie in unserem Beitrag zur Security-Roadmap im Mittelstand.
2. Priorisierung schlägt Vollständigkeit. Niemand kann alles auf einmal. Wer die größten Risiken zuerst und mit dem besten Aufwand-Wirkungs-Verhältnis angeht, kommt schneller voran als wer alles parallel versucht.
3. Begleitung schlägt Übernahme. Der IT-Leiter blieb verantwortlich – und wurde durch das SSA-Sparring besser. Wissen und Kontrolle blieben im Haus.

Was im zweiten Jahr folgt

Eine Roadmap über 24 Monate ist nach zwölf Monaten erst zur Hälfte abgearbeitet – und das ist Absicht. Die zweite Hälfte unterscheidet sich charakteristisch von der ersten: Während im ersten Jahr akute Risiken entschärft und Quick Wins gehoben wurden, geht es im zweiten Jahr um Verstetigung.

Im beschriebenen Fall standen für die folgenden Monate diese Themen an:

• Die TISAX-Zertifizierung zum Abschluss bringen – aus der aufgebauten ISMS-Grundstruktur wird ein assessment-fähiges Managementsystem. Die realistischen Kosten für ein KMU bewegen sich je nach Assessment-Level und Scope im Bereich von 28.000 bis 51.000 Euro.
• Die erste Rezertifizierung wiederholen – Berechtigungsmanagement ist kein Einmal-Projekt, sondern ein wiederkehrender Prozess. Erst die zweite Runde zeigt, ob der Prozess wirklich trägt.
• Awareness messbar machen – die Phishing-Klickrate als KPI etablieren und über die Zeit beobachten, statt sich auf das Gefühl zu verlassen, „dass es besser wird".
• Management-Reporting verstetigen – ein quartalsweiser Review-Termin, in dem Reifegrad und KPIs der Geschäftsführung berichtet werden, hält die Strategie lebendig.

Der entscheidende Mechanismus dahinter: Eine Roadmap ist kein Projekt mit Enddatum, sondern der Übergang in einen kontinuierlichen Verbesserungsprozess. Genau hier scheitern viele Unternehmen, die ein Assessment einmalig durchführen und danach in den alten Modus zurückfallen.

Lektion aus der Praxis
Der gefährlichste Moment kommt nach den ersten Erfolgen. Wenn die akute Bedrohung entschärft ist, sinkt die Aufmerksamkeit – und ohne festen Review-Rhythmus verfällt der Reifegrad schleichend. Das SSA-Sparring wirkt genau hier als Anker, der die Strategie über die anfängliche Euphorie hinaus am Leben hält.

Wie welabs Sie von Assessment bis Umsetzung unterstützt

welabs begleitet mittelständische Unternehmen auf genau diesem Weg – von der ehrlichen Standortbestimmung bis zur gelebten Umsetzung, mit Konzern-Erfahrung, übersetzt auf Ihre Realität.

Konkret unterstützen wir Sie mit:

• Reifegrad-Assessment als objektive Standortbestimmung. Mehr dazu auf Security-Roadmap & Strategie.
• Priorisierte Security-Roadmap mit klarem Aufwand-Wirkungs-Verhältnis.
• Strategic Security Advisor (SSA) – kontinuierliche Begleitung der Umsetzung als Sparringspartner Ihres IT-Leiters.
• Identity & Access Management über unseren IAM-Bereich.
• Compliance-Begleitung für TISAX, ISO 27001 und NIS2 über Compliance & ISMS.

Sie kennen Ihren eigenen Reifegrad nicht und wollen wissen, wo Sie stehen? In einem unverbindlichen Erstgespräch klären wir den ersten Schritt – nehmen Sie Kontakt auf.

Fazit

Diese Case Study zeigt, dass eine Security-Roadmap-Umsetzung im Mittelstand kein Mammutprojekt sein muss. Der Schlüssel liegt in der richtigen Reihenfolge: ein ehrliches Assessment, eine risikobasiert priorisierte Roadmap und eine konsequente, aber das Team nicht überfordernde Umsetzung – begleitet von einem Sparringspartner, der steuert, statt zu übernehmen.

Innerhalb eines Jahres lässt sich so der Reifegrad spürbar heben, die größten Risiken entschärfen und die Compliance-Fähigkeit herstellen – ohne mehr Budget als geplant, aber mit Geld, das an der richtigen Stelle landet. Genau das unterscheidet wirksame Security von teurem Aktionismus.