Was eine NGO wirklich von ihrer IT braucht — die ehrliche No-Buzzword-Checkliste

Eine NGO braucht von ihrer IT genau acht Dinge: sichere E-Mail-Konten mit Zwei-Faktor, tägliche Backups mit nachprüfbarem Restore, Schweizer oder EU-Hosting ohne US-Rechtsraum, klare Zugriffsrechte, gepflegte Geräte mit automatischen Updates, einen getesteten Notfallplan, Passwort-Hygiene und die Möglichkeit, den Anbieter jederzeit zu wechseln. Wer alle acht Punkte sauber abhakt, reduziert das typische Alltagsrisiko einer NGO massiv.

Wie die Liste funktioniert

Nutzt diese Liste als Selbsttest für die Geschäftsleitung. Setzt euch 30 Minuten zusammen, geht die acht Punkte durch und antwortet ehrlich mit Ja, Nein oder Weiss nicht. Jedes Nein und jedes Weiss nicht wird ein Eintrag in eurer Pendenzenliste. Wenn ihr bei mehr als drei Punkten nicht klar Ja sagen könnt, lohnt sich ein kostenloser IT-Health-Check: 60 Minuten mit einem NGO-IT-Partner, ohne Verkaufsdruck, mit konkreten Empfehlungen zur Reihenfolge.

Wiederholt die Übung in sechs Monaten. IT-Sicherheit ist kein Zustand, sondern Routine.

Die 8-Punkte-Checkliste für NGOs

1. Sichere E-Mail und Konten

• Wir nutzen Zwei-Faktor-Anmeldung (2FA) auf allen E-Mail- und Cloud-Konten.
• Jede Person hat ein eigenes Konto — keine geteilten Logins im Team.
• Ehemalige Mitarbeitende und Vorstandsmitglieder haben keinen aktiven Zugriff mehr.
• Die wichtigsten Konten (Geschäftsleitung, Buchhaltung, IT) sind zusätzlich durch eine Wiederherstellungs-Adresse abgesichert.

Warum wichtig: Die Mehrheit der gezielten Angriffe auf NGOs beginnt mit einem gestohlenen E-Mail-Passwort. Ohne Zwei-Faktor ist ein Konto nach einem einzigen Klick auf eine gefälschte Seite dauerhaft verloren.

Woran erkenne ich, dass es fehlt: Im Postfach tauchen unerklärliche „Ich wurde gesperrt"-Mails auf, eine ehemalige Person hat noch aktive Konten, oder die Passwörter stehen im Browser gespeichert, und niemand weiss, wer sie zuletzt aktualisiert hat.

2. Backups, die wirklich funktionieren

• Wir haben tägliche Backups aller relevanten Daten (Mail, Dateien, CRM, Buchhaltung).
• Wir testen mindestens einmal pro Quartal eine Wiederherstellung aus dem Backup, nicht nur einen Statuscheck der Backup-Software.
• Die Backups liegen physisch an einem anderen Ort als die Originaldaten (anderes System, anderes Rechenzentrum, andere Region).
• Die Aufbewahrungsdauer der Backups ist schriftlich festgehalten (typisch: 30 Tage für Tages-Backups, 12 Monate für Monats-Backups).

Warum wichtig: Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall kein Backup. Ransomware, versehentliches Löschen und Hardware-Defekte sind die häufigsten Ursachen für Datenverlust — bei NGOs nicht anders als in der Wirtschaft.

Woran erkenne ich, dass es fehlt: Niemand im Team weiss auf Anhieb, wo die Backups liegen. Der Backup-Status wird seit Monaten nicht angeschaut. Es gibt keine schriftliche Wiederherstellungs-Anleitung. Beim letzten Datenverlust war unklar, welche Version wiederhergestellt werden kann.

3. Datenschutz und DSG-Konformität

• Wir wissen, in welchem Land unsere Daten physisch gespeichert werden.
• Wir haben ein Verzeichnis der Bearbeitungstätigkeiten gemäss Schweizer DSG (und DSGVO, falls wir Personen in der EU betreuen).
• Mit jedem Auftragsbearbeiter (Cloud, CRM, Hosting, Lohn, Spendenplattform) liegt ein Auftragsverarbeitungsvertrag (AVV) vor.
• Wir haben eine Aktuelle Datenschutzerklärung auf der Website, die zur tatsächlichen Bearbeitung passt.

Warum wichtig: Das revidierte Schweizer DSG (in Kraft seit 1. September 2023) verlangt eine Auflistung der Datenbearbeitungen und nachvollziehbare Sicherheitsmassnahmen. Wer hier Lücken hat, riskiert Bussen, Aufsichtsverfahren und Reputationsverlust — gerade bei Stiftungsaufsicht, ZEWO und Spendenwerbung.

Woran erkenne ich, dass es fehlt: Niemand im Team kann die Frage „Wo liegen unsere Spenderdaten?" in unter einer Minute beantworten. Es gibt kein Verzeichnis, oder es ist veraltet. Vertragspartner wurden nie auf DSG-Konformität geprüft. Die Datenschutzerklärung wurde seit zwei Jahren nicht aktualisiert.

4. Zusammenarbeit und Dateien

• Dateien liegen an einem Ort für alle — nicht verstreut auf Laptops, USB-Sticks und privaten Cloud-Konten.
• Wir können Dateien mit Kommentaren und Versionen teilen.
• Wir können Texte, Tabellen und Präsentationen gemeinsam bearbeiten.
• Externe (Treuhand, Stiftungsrat, Spender:innen, Auditor) können kontrolliert mitlesen oder mitarbeiten, ohne Sicherheitsprobleme.

Warum wichtig: Ineffiziente Zusammenarbeit kostet NGOs mehr Zeit als schlechte IT-Sicherheit. Wer Dateien per E-Mail hin- und herschickt, verliert die Kontrolle über Versionen, hat keine Nachvollziehbarkeit und macht Datenschutzvorfälle wahrscheinlicher. Eine zentrale, gehostete Zusammenarbeit ist die Grundlage für Punkte 2 und 3.

Woran erkenne ich, dass es fehlt: Im Team existieren drei Versionen desselben Budgets. Freigaben laufen über private WhatsApp-Gruppen. Wichtige Dokumente liegen nur auf dem Laptop einer Person, die gerade im Urlaub ist.

5. Geräte- und Update-Management

• Betriebssystem und Anwendungen werden automatisch aktualisiert (Windows, macOS, mobile Geräte).
• Wir haben ein Geräte-Inventar: Welche Laptops, Handys und Tablets sind im Einsatz, und wer nutzt sie.
• Beim Ausscheiden von Mitarbeitenden werden Geräte und Zugänge sauber zurückgegeben und zentral gelöscht.
• Verlorene oder gestohlene Geräte können aus der Ferne gesperrt und gelöscht werden.

Warum wichtig: Die Mehrheit der erfolgreichen Angriffe auf NGOs nutzt bekannte Software-Schwachstellen, für die längst ein Update verfügbar ist. Cybersicherheits-Behörden in der Schweiz und der EU listen zeitnahes Patchen als eine der wirksamsten Einzelmassnahmen.

Woran erkenne ich, dass es fehlt: Auf mehreren Geräten sind seit Monaten rote Update-Banner sichtbar. Niemand weiss, wie viele Laptops die NGO im Einsatz hat. Beim Austritt einer Person werden Laptop-Passwörter und Cloud-Konten nicht zentral widerrufen.

6. Zugriffs- und Passwort-Hygiene

• Wir nutzen einen Passwort-Manager für alle Konten — kein Notizbuch, keine geteilten Passwörter.
• Wir vergeben Zugriffsrechte nach Aufgabe, nicht nach Mitarbeitenden-Titel.
• Wir entfernen Zugriffsrechte zeitnah beim Ausscheiden (spätestens am letzten Arbeitstag).
• Wir vergeben Admin-Rechte (Mail, Cloud, CRM, Buchhaltung) nur an Personen, die es für ihre Rolle brauchen — und protokollieren, wer welche Rechte hat.

Warum wichtig: Datenlecks bei NGOs entstehen meistens nicht durch externe Angreifer, sondern durch zu grosszügig vergebene Rechte und wiederverwendete Passwörter. Das Prinzip „So wenig Zugriff wie möglich" ist der wirksamste Einzelschritt, den eine NGO ohne zusätzliches Budget umsetzen kann.

Woran erkenne ich, dass es fehlt: Es gibt drei Personen mit vollem Admin-Zugriff, von denen eine seit zwei Jahren nicht mehr im Team ist. Mehrere Konten verwenden dasselbe Passwort. Mitarbeitende haben Zugriff auf Personendaten, die sie für ihre Aufgabe nicht brauchen.

7. Notfallplan und Ausfallvorsorge

• Wir haben eine schriftliche Anleitung: „Wenn das Mail-System ausfällt, dann ...".
• Wir kennen die Notfall-Kontakte unseres IT-Partners oder unserer IT-Person, auch ausserhalb der Bürozeiten.
• Wir wissen, welche Daten und Systeme für den Betrieb kritisch sind (Mail, Spendenbuchhaltung, CRM, Telefonie).
• Die wichtigsten Passwörter und Wiederherstellungs-Codes liegen an einem sicheren Ort, den die Geschäftsleitung im Notfall findet.

Warum wichtig: Der Ernstfall kommt am Freitagabend um 17:30 Uhr. Wer dann keine Anleitung hat, verliert Stunden mit Improvisation — und macht in der Hektik häufig die teuersten Fehler. Eine kurze, schriftliche Notfallkarte reicht; sie muss nicht perfekt sein, sie muss nur existieren.

Woran erkenne ich, dass es fehlt: Auf die Frage „Was tun wir, wenn unser Cloud-Anbieter morgen ausfällt?" gibt es im Team zwei verschiedene Antworten. Es existiert keine Liste von „kritisch für den Betrieb"-Systemen. Der IT-Kontakt steht nur in einer einzigen Person.

8. Anbieter-Unabhängigkeit

• Unsere Daten liegen in einem offenen Format, das wir ohne Spezialwerkzeug lesen können — kein Lock-in durch proprietäre Dateien.
• Wir können Mail, Dateien, CRM und Hosting mit vertretbarem Aufwand wechseln.
• Wir kennen die Rechtslage unserer Hauptanbieter: Sitz, anwendbares Recht, Zugriff durch ausländische Behörden (Stichwort US CLOUD Act).
• Unsere Verträge haben eine zumutbare Kündigungsfrist (in der Regel drei Monate oder weniger).

Warum wichtig: Wer sich ohne Exit-Strategie an einen Anbieter bindet, verliert die Möglichkeit, auf Preiserhöhungen, Service-Probleme oder rechtliche Risiken zu reagieren. Für NGOs mit Spendengeldern ist Anbieter-Unabhängigkeit kein Luxus, sondern Sorgfalt gegenüber Mittelherkunft und Begünstigten.

Woran erkenne ich, dass es fehlt: Niemand weiss, wie unsere Daten exportiert werden, falls wir morgen wechseln müssten. Der Anbieter hat die Preise in den letzten drei Jahren deutlich erhöht, ohne dass wir eine Alternative geprüft haben. Der Vertrag läuft über 24 Monate ohne Kündigungsmöglichkeit.

Was kostet es, alle acht Punkte sauber umzusetzen?

Die Kosten hängen davon ab, ob ihr bereits mit professionellen, in der Schweiz gehosteten Werkzeugen arbeitet (zum Beispiel über eine Managed Office-Lösung) oder noch mit Gratislösungen und Excel-Listen. Die konkrete Höhe hängt vom Ausgangszustand und der Teamgrösse ab; dazu kommt ein wiederkehrender Betrag für Hosting, Lizenzen und Support, den wir im Erstgespräch beziffern. Der grösste Anteil entfällt auf die Ersteinrichtung; der laufende Betrieb ist in der Regel kleiner, als die meisten NGOs erwarten.

Wer weiss, wo er steht, holt sich mit dem kostenlosen IT-Health-Check von nowtec in 60 Minuten eine ehrliche Einschätzung — ohne Verkaufsdruck, mit klarer Prioritätenliste. Jetzt Termin anfragen.

FAQ — Häufige Fragen

Braucht wirklich jede NGO diese acht Punkte?

Nicht jede NGO braucht jeden Punkt im vollen Umfang. Eine kleine NGO ohne Spender- oder Klientendaten kommt mit weniger Sicherheitsaufwand aus als eine Stiftung mit ZEWO-Zertifizierung und sensiblen Daten. Aber alle acht Punkte stehen für bewährte Sorgfalt im Alltag. Welche Intensität sinnvoll ist, hängt vom Risikoprofil eurer Daten ab — nicht von der Höhe eures IT-Budgets.

Wie lange dauert es, diese Checkliste vollständig abzuarbeiten?

Wer alle Punkte im eigenen Team hintereinander angeht, rechnet realistisch mit zwei bis vier Wochen, plus eine anschliessende Phase für Konfiguration und Schulung. Mit externer Unterstützung durch einen NGO-erfahrenen IT-Partner ist die gleiche Liste typischerweise deutlich schneller umgesetzt, weil Werkzeuge, Vorlagen und Erfahrungswerte schon vorhanden sind.

Was ist der wichtigste Punkt, wenn wir nur einen sofort umsetzen können?

Zwei-Faktor-Anmeldung (2FA) auf dem E-Mail-Konto der Geschäftsleitung. Damit wird der häufigste konkrete Angriffsvektor auf NGOs entschärft — ohne Budget, ohne neue Tools, ohne grosse Veränderungen. Die restlichen sieben Punkte bauen darauf auf und sind deutlich einfacher umzusetzen, wenn 2FA einmal steht.

Reicht ein gutes Antivirus-Programm nicht aus?

Ein Antivirus-Programm ersetzt keinen einzigen dieser acht Punkte. Es fängt bekannte Schadsoftware ab, schützt aber nicht vor Phishing-Mails, gestohlenen Passwörtern, fehlenden Backups oder ungeklärten Datenflüssen. Moderne NGO-IT-Sicherheit ist eine Kombination aus Haltung (Updates, Passwörter, Rechte), Werkzeugen (Passwort-Manager, 2FA, Backup) und Prozessen (Notfallplan, AVV, Verzeichnis). Antivirus allein deckt davon nur einen Bruchteil ab.

Können wir das intern machen oder brauchen wir einen externen Partner?

Einige Punkte (Passwort-Hygiene, Update-Disziplin, Skizze des Notfallplans) lassen sich intern anpacken. Andere (Backups mit echtem Wiederherstellungs-Test, sauberes DSG-Verzeichnis, Anbieter-Wechsel) brauchen Erfahrung, Werkzeuge und Zeit, die in einer kleinen NGO oft nicht vorhanden sind. Ein externer IT-Partner mit NGO-Erfahrung lohnt sich, sobald regelmässig mehr als ein halber Tag pro Monat für IT-Aufgaben anfällt — eine IT-Beratung für NGOs ist in diesem Fall schneller und günstiger als ein eigenes IT-Mandat.

Wo finden wir die externen Pflichtdokumente (AVV-Vorlage, DSG-Verzeichnis)?

Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragte) veröffentlicht auf seiner Website Grundlagen und Wegleitungen zum Schweizer DSG. Für die DSGVO stellt die EU-Kommission Standardvertragsklauseln bereit. In der Praxis reichen diese Muster allein nicht aus; sie müssen auf die konkrete NGO zugeschnitten werden. Ein NGO-IT-Partner übernimmt diese Anpassung.

Kostenloser IT-Health-Check für eure NGO: In 60 Minuten prüfen wir, ob eure aktuelle Lösung DSG-konform, CLOUD-Act-sicher und migrationsfähig ist — ohne Verkaufsdruck, mit konkreten Empfehlungen. Jetzt Termin anfragen.

Verwandte Artikel im Magazin:

• Nextcloud vs. Google Workspace: Was NGOs wählen sollen
• IT-Budget für kleine NGOs — was ist realistisch?

Unsere Dienstleistungen: IT-Beratung und Consulting für NGOs · Managed Office aus Schweizer Hosting · Alle Services im Überblick