Die IT-Dokumentation einer kleinen Firma in Kurzform
Eine brauchbare IT-Dokumentation besteht für einen Betrieb mit fünf bis zwanzig Leuten aus fünf Listen: Geräte, Netz und Anschlüsse, Programme und Online-Konten, Verträge und Lizenzen, Zuständigkeiten. Dazu kommt ein einfacher Netzplan, eine Zeichnung, welches Gerät woran hängt. Jede Zeile nennt, was es ist, wo es steht, wer sich darum kümmert und seit wann der Eintrag stimmt.
Passwörter stehen in keiner dieser Listen. In der Zeile steht stattdessen, unter welchem Namen der Zugang im Passwort-Tresor liegt, etwa „Tresor, Sammlung IT, Router Büro“. Das BSI erlaubt im IT-Grundschutz, ein Passwort schriftlich festzuhalten, nur für eine Hinterlegung im Notfall, und verlangt dann eine sichere Aufbewahrung. Eine Excel-Datei auf dem gemeinsamen Laufwerk ist das nicht. Grundlage sind das IT-Grundschutz-Kompendium, Edition 2023, und der BSI-Standard 200-2, Stand 15.10.2026.
Was das BSI für die Dokumentation verlangt
Der BSI-Standard 200-2 beschreibt, welche Angaben zu jedem IT-System gehören: eine eindeutige Bezeichnung, Funktion und Typ, die Plattform mit Betriebssystem, der Aufstellungsort, der Status (in Betrieb, im Test, in Planung) und die Benutzer und Administratoren. Als IT-System zählt der Standard ausdrücklich auch Netzdrucker, Telefonanlagen, Smartphones und aktive Netzkomponenten. Für das Sicherheitskonzept darf man gleichartige Geräte als Gruppe mit Anzahl erfassen, etwa „6 Arbeitsplatz-PCs Büro“, wenn sie vom gleichen Typ sind, ähnlich eingerichtet sind, ähnliche Aufgaben haben und denselben Schutzbedarf. Für Wartung und Fehlersuche nennt derselbe Standard aber eine vollständige Erfassung der einzelnen Systeme notwendig. In einer IT-Dokumentation für den Alltag bekommt deshalb jedes Gerät eine eigene Zeile.
Für den Netzplan nennt der Standard zu jedem Gerät zusätzlich den zuständigen Administrator, die Schnittstellen wie WLAN oder Bluetooth und die Netzadresse, für Verbindungen nach außen den Namen des Providers und die Art der Leitung. Im IT-Grundschutz-Kompendium kommen drei Anforderungen dazu, die eine kleine Firma direkt betreffen:
- ORP.4.A3 (Basis): Dokumentiert wird, welche Benutzerkennungen, Gruppen und Rechteprofile angelegt sind. Die Liste wird regelmäßig mit dem tatsächlichen Stand abgeglichen, vor unberechtigtem Zugriff geschützt und, wenn sie elektronisch geführt wird, mitgesichert.
- ORP.4.A8 (Basis): Passwörter sind geheim und nur der jeweiligen Person bekannt. Schriftlich festgehalten werden dürfen sie nur zur Hinterlegung für einen Notfall. Die Nutzung eines Passwort-Managers soll die Firma prüfen.
- OPS.1.1.1.A6 (Standard): Die Übersicht über alle IT-Geräte wird aktuell gehalten. Auch vorhandene, aber nicht mehr genutzte Geräte gehören hinein.
Das BSI baut den Grundschutz gerade um. Der Nachfolger heißt Grundschutz++, die Methodik soll laut Meilensteinplan des BSI (Stand Oktober 2026) am 27.10.2026 auf der Messe it-sa erscheinen. Der bisherige IT-Grundschutz bleibt nach Angaben des BSI in einer mehrjährigen Übergangszeit anwendbar, aktuell ist die Edition 2023 des Kompendiums. Prüfen Sie beim Aufbau Ihrer Liste, ob das BSI die genannten Anforderungen inzwischen neu gefasst hat.
Die Vorlage: fünf Tabellenblätter
Für einen Betrieb ohne eigene IT-Abteilung reicht eine Excel- oder Calc-Datei mit fünf Blättern. Jedes Blatt hat in der ersten Zeile das Datum der letzten Prüfung und den Namen der Person, die geprüft hat.
| Blatt | Spalten | Beispielzeile |
|---|---|---|
| Geräte | Bezeichnung, Typ, Betriebssystem, Standort, genutzt von, betreut von, Status, Zugang im Tresor | PC-EMPF-01, Windows 11 Pro, Empfang, Frau Kaya, IT-Dienstleister, in Betrieb, „IT / PC-EMPF-01 lokaler Admin“ |
| Netz und Anschlüsse | Gerät, Netzadresse, Verbindung, Anbieter, Kundennummer, Störungsnummer, Zugang im Tresor | Router Büro, 192.168.10.1, Glasfaser, Anbieter mit Kundennummer, „IT / Router Büro“ |
| Programme und Online-Konten | Name, wofür, Konto läuft auf, Administratoren, zweiter Faktor wo, Zugang im Tresor | Warenwirtschaft, Bestellung und Lager, Firma, Inhaber und Büroleitung, App im Tresor, „Büro / Warenwirtschaft Admin“ |
| Verträge und Lizenzen | Anbieter und Leistung, Vertragsnummer, Laufzeit, Kündigungsfrist, Vertragspartner, Lizenzschlüssel wo | Virenschutz, 25 Plätze, läuft bis 03/2027, drei Monate Frist, Firma, „Anhang im Tresor“ |
| Zuständigkeiten | Bereich, verantwortlich, Vertretung, extern zuständig, Telefon | Datensicherung, Inhaber, Büroleitung, IT-Dienstleister, Rufnummer |
Kostenlose Vorlage: Die fünf Blätter gibt es fertig als Excel-Datei, die sich auch in LibreOffice Calc öffnen lässt, mit Prüfzeile, Filter und je einer erfundenen Beispielzeile. Das Blatt Geräte gibt es zusätzlich als CSV-Datei. Eine Spalte für Passwörter hat die Vorlage mit Absicht nicht. Weitergabe erlaubt.
Die Spalte „Konto läuft auf“ deckt die häufigste Lücke auf: Programme und Portale, die mit der privaten Adresse eines Mitarbeiters oder eines früheren Dienstleisters angelegt wurden. Bei der Domain ist das besonders heikel, dazu mehr unter Domain und Website in eigene Hand. Die Spalte „zweiter Faktor wo“ zeigt, welche Anmeldung am Handy einer bestimmten Person hängt.
Der Verweis ersetzt das Passwort
Eine Dokumentation wird gelesen, kopiert und weitergegeben: Der IT-Dienstleister bekommt sie per Mail, die Versicherung fragt nach einer Übersicht, eine Fassung liegt ausgedruckt im Ordner. Jede dieser Kopien enthielte alle Passwörter, wenn sie in einer Spalte stünden. Ändert jemand ein Passwort, stimmt außerdem die Liste nicht mehr, und keiner weiß, welche Kopie gilt.
Mit dem Verweis bleibt die Dokumentation richtig, auch wenn sich ein Passwort ändert. Der Eintrag im Tresor heißt genau so wie die Zeile in der Liste, und in der Notiz des Eintrags steht umgekehrt die Bezeichnung des Geräts. Warum Passwörter in Excel oder im Browser für Firmen schlecht aufgehoben sind, steht im Ratgeber Passwörter in Excel oder im Browser. Wie die Passwörter im Tresor auf Sammlungen und Rechte verteilt werden, zeigt Passwörter im Team teilen.
Ins Dokument gehören alle Angaben, die man braucht, um einen Zugang zu finden und zu beschreiben: Benutzername oder Anmeldeadresse, Adresse der Verwaltungsoberfläche, wer Administrator ist. In den Tresor gehören die Geheimnisse selbst, also Passwort, PIN, Schlüssel für den zweiten Faktor, Wiederherstellungscodes und Lizenzschlüssel als Dateianhang.
Ohne Passwörter ist die Dokumentation trotzdem vertraulich
Netzadressen, Gerätenamen, die Namen der Administratorkonten und die Kundennummern beim Telefonanbieter verraten einem Angreifer viel über den Betrieb. Mit Kundennummer und Namen des Inhabers kann ein Anrufer bei einer Hotline versuchen, sich als die Firma auszugeben. Das BSI verlangt deshalb für die Dokumentation der Benutzerkennungen, dass sie vor unberechtigtem Zugriff geschützt ist, und für die Dokumentation des IT-Betriebs, dass nur Berechtigte sie sehen und sie jederzeit verfügbar ist.
Praktisch heißt das: Die Datei liegt in einem Ordner, den Geschäftsführung, Vertretung und IT-Dienstleister öffnen können, nicht auf dem Laufwerk für alle. Ein ausgedrucktes Exemplar mit Datum liegt verschlossen im Büro, damit die Liste auch lesbar ist, wenn Server oder Netz ausfallen. Eine dritte Kopie kann als Anhang an einem Eintrag im Tresor hängen, in der Sammlung, die nur Geschäftsführung und Vertretung sehen.
Lücken in gewachsenen Dokumentationen
- Die Dokumentation liegt nur beim Dienstleister. Sie steht in seinem Ticketsystem oder seiner Software, und die Firma hat keinen aktuellen Auszug. Lassen Sie sich mindestens einmal im Jahr einen Stand geben. Was beim Wechsel des Dienstleisters dazukommt, beschreibt IT-Dienstleister wechseln.
- Es gibt eine Spalte „Passwort“. Die Werte kommen in den Tresor, die Spalte wird zur Spalte „Zugang im Tresor“, und alte Kopien der Datei werden gelöscht, auch die im Mailpostfach.
- Drucker, Kameras und Telefonanlage fehlen. Sie gelten im Büro nicht als IT, haben aber eigene Verwaltungsoberflächen, manchmal noch mit dem Kennwort ab Werk. Wie Sie die ersetzen, steht unter Standardpasswörter von Geräten.
- Ausgemusterte Geräte und Konten sind verschwunden. Das alte NAS im Schrank enthält noch Daten, das Konto eines früheren Mitarbeiters beim Lieferantenportal ist noch aktiv. Das BSI nennt ausdrücklich auch nicht mehr genutzte Geräte als Teil der Übersicht. Für Konten von Ausgeschiedenen gilt die Checkliste Mitarbeiter verlässt die Firma.
Wann die Dokumentation angefasst wird
Das BSI verlangt bei den Benutzerkennungen einen regelmäßigen Abgleich, nennt dafür aber kein festes Intervall. Für eine kleine Firma bewährt sich eine feste Durchsicht im Jahr, dazu Änderungen am selben Tag bei diesen Anlässen: ein neues Gerät oder ein ausgemustertes, ein Eintritt oder Austritt, ein neuer oder gekündigter Vertrag, ein Wechsel des Anbieters für Internet oder Telefon. Für den Eintritt neuer Leute gibt es die Checkliste für neue Mitarbeiter.
Bei der jährlichen Durchsicht gehen Inhaberin und Dienstleister die Listen zusammen durch. Eine liest vor, die andere prüft im Admin Center, am Router oder im Tresor, ob es stimmt. Danach kommt das neue Datum in die erste Zeile jedes Blatts.
Die Dokumentation ist der Bestand. Der IT-Notfallplan greift daraus die wenigen Zugänge und Telefonnummern heraus, die bei einem Angriff oder Ausfall sofort greifbar sein müssen. Wie er aufgebaut ist, beschreibt IT-Notfallplan: Zugänge.
Beispiel: zwei Optikgeschäfte, eine Liste
Ein erfundener Fall: Ein Augenoptiker mit zwei Geschäften und neun Leuten hat eine Datei „IT.xlsx“ auf dem gemeinsamen Laufwerk. Sie stammt vom früheren Filialleiter, enthält Kasse, Kartenterminal und Router mit Passwörtern, aber weder die Software des Zentriergeräts noch das Herstellerkonto, mit dem dessen Updates geladen werden. Öffnen kann die Datei jeder im Team, auch die Aushilfe am Samstag.
Die Inhaberin legt eine Sammlung „IT“ im Tresor an, überträgt die Passwörter dorthin und ändert sie dabei, weil die alte Datei für alle offen lag. Die Excel-Datei bekommt die fünf Blätter von oben, je Geschäft eine Zeile für Router und Kartenterminal, und zieht in einen Ordner, den nur sie und die zweite Filialleiterin öffnen. Beim Durchgehen fällt auf, dass das Herstellerkonto auf die Adresse des früheren Filialleiters läuft, die Inhaberin stellt es auf eine Firmenadresse um. Die alte Datei löscht sie. Welche Konten ein Fachgeschäft sonst noch hat, zeigt die Seite für Optiker und Hörakustiker.
Die Zugänge zur Dokumentation bei Passwortheld
Bei Passwortheld liegt der Tresor auf einem Server, den Ihre Firma bei netcup mietet, und wir halten ihn aktuell. Die Sammlungen richten wir bei der Einrichtung nach Ihren Bereichen ein, eine Sammlung „IT“ für Geräte und Verwaltungszugänge kann von Anfang an dazugehören. Ihr IT-Dienstleister kann ein eigenes Konto bekommen, das nur diese Sammlung sieht. Die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können sie nicht lesen. Die Dokumentation selbst schreiben Sie oder Ihr Dienstleister, das Eintragen der Passwörter gehört nicht zur Wartung.
Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer und nur für Unternehmer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Ohne das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichern wir den Tresor nicht, dann exportieren Sie ihn selbst verschlüsselt. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Was im Tresor sonst möglich ist, zeigt die Übersicht der Funktionen, Fragen klären wir im kostenlosen Erstgespräch (15 Minuten).
Quellen: BSI: IT-Grundschutz-Kompendium, Edition 2023 (ORP.4 Identitäts- und Berechtigungsmanagement, OPS.1.1.1 Allgemeiner IT-Betrieb); BSI: IT-Grundschutz-Kompendium Edition 2023 (PDF); BSI-Standard 200-2: IT-Grundschutz-Methodik, Version 1.0 (PDF); BSI: Grundschutz++ (Meilensteinplan, Stand Oktober 2026). Stand: 14.10.2026.