Ein Ticket ist schneller gelöst, wenn darin schon steht, was geprüft wurde. Bei vielen Betreffzeilen, die im IT-Support aus Hamburger Betrieben ankommen, lässt sich der erste Befund ohne Techniker holen, meist in wenigen Minuten und kostenlos.
Unten stehen acht solcher Betreffzeilen, jeweils mit dem Gratis-Check, der den ersten Befund liefert, und mit dem, was er übersieht. Darunter sind auch Datenschutzfragen, weil sie in kleineren Betrieben oft zuerst im Support-Postfach landen. Alle Zahlen stammen von den Seiten der Werkzeuge selbst und gelten für den 21. Oktober 2026.
Cybersicherheit First!
Ihre IT-Sicherheit ist unsere oberste Priorität
Domain und Postfach
Betreff: Die Agentur bekommt kein Zertifikat für die neue Shop-Adresse
Die Webagentur zieht den Onlineshop auf eine eigene Unterdomain um und meldet, die Zertifikatsanfrage werde abgelehnt. Sie fragt, was im DNS dagegen spricht.
Der E-Mail-Sicherheitscheck von frag.hugo ist eigentlich für Mail-Domains gebaut. Zwei seiner zehn Prüfpunkte passen trotzdem zu diesem Ticket. Der erste ist die Zertifikatsfreigabe (CAA) im E-Mail-Sicherheitscheck. Fehlt der Eintrag, meldet der Check „Kein CAA-Eintrag — Nebenbefund“ und vermerkt, dass dann jede Zertifizierungsstelle ausstellen darf. Steht dort einer, listet er die erlaubten Stellen auf. Hat ein früherer Dienstleister nur seine eigene Stelle hinterlegt, ist die Ablehnung erklärt. Der zweite Punkt heißt „Platzhalter für Unterdomains“. Löst eine erfundene Unterdomain auf, bewertet der Check das als größere Angriffsfläche, denn Adressen wie „rechnung.ihre-domain.de“ wirken auf Empfänger echt.
Das Formular will nur den Domainnamen, die Abfrage läuft laut Seite über Server in Europa. Jeder Punkt bekommt ein Urteil wie „In Ordnung“, „Prüfen“ oder „Kritisch“. Weil SPF, DKIM und DMARC im selben Durchlauf stehen, sieht man auch gleich, ob der Shop später Bestellbestätigungen unter Ihrer Domain verschicken kann, ohne als Fälschung zu gelten.
Abgefragt wird genau der Name, den Sie eintippen, nur ein vorangestelltes „www.“ schneidet der Check ab. Prüfen Sie die Hauptdomain, steht ein eigener CAA-Eintrag der Shop-Adresse nicht im Ergebnis, und wohin die Shop-Adresse per CNAME zu einem Shop-Anbieter zeigt, gehört nicht zu den Prüfpunkten. Ob das Zertifikat danach richtig im Shop steckt, sieht er ebenso wenig.
Betreff: Bitte ein Postfach für Datenschutzanfragen einrichten, das auch jemand liest
Auf der Website steht seit Jahren eine Adresse für Datenschutzanfragen. Sie leitet an eine Kollegin weiter, die längst in einer anderen Abteilung arbeitet. Daraus soll ein Funktionspostfach mit Vertretung werden.
Wie viel davon abhängt, zeigen die Hamburger Kennzahlen aus dem 34. Tätigkeitsbericht, die frag.hugo mit Seitenangaben aufbereitet hat. Beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit gingen 2025 laut Bericht 4.220 Beschwerden ein, im Jahr davor waren es 2.607. Als wesentliche Ursache nennt die Behörde einen digitalen Kundenservice, in dem Anfragen in Chatbot-Schleifen und Verweisen auf FAQ-Seiten versanden. Auf Seite 10 des Berichts liest sich das so: „Er fragt nach seinen Daten und wird auf FAQ-Seiten verwiesen, die seine Frage nicht beantworten.“ Eine Weiterleitung an jemanden, der das Postfach nicht mehr öffnet, ist dieselbe Sackgasse per Mail.
Wie viele der Hamburger Beschwerden berechtigt waren, verrät der Steckbrief nicht, und viele Beschwerden bedeuten noch nicht viele Verstöße. Die Zahlen gelten für 2025. Der nächste Bericht erscheint laut Seite üblicherweise um den März. Einrichten muss das Postfach trotzdem der Support. Der Steckbrief liefert nur das Argument für die Vertretungsregel.
Rund um die Website
Betreff: Das neue Imagevideo soll per YouTube auf die Startseite
Das Marketing hat ein Imagevideo drehen lassen und möchte es direkt von YouTube auf der Startseite einbetten. Eingebaut sein soll es bis Freitag.
Derselbe Hamburg-Steckbrief gibt dazu einen Rat aus dem Bericht weiter: „Prüfen Sie, ob Ihre Website schon beim ersten Aufruf Google Analytics, Maps, Ads oder YouTube lädt.“ Bei der automatisierten Prüfung der Hamburger Aufsicht fiel YouTube in 20 Fällen auf, Google Maps in 51 (Seite 30 des Berichts). Ob die Testseite mit dem eingebetteten Video dazugehören würde, zeigt vor dem Livegang die Besuchssimulation von Webbkoll. Sie stellt einen gewöhnlichen Browserbesuch ohne Erweiterungen nach, die Oberfläche gibt es auf Deutsch. Danach sehen Sie, welche Server außerhalb Ihrer Domain der Besuch schon kontaktiert hat.
Für den Livegang heißt das, die Testseite muss ohne Kennwortschutz aus dem Internet erreichbar sein. Eine Staging-Seite hinter einer Passwortabfrage bleibt Webbkoll verschlossen. Ob Ihr Einwilligungsbanner rechtlich trägt, beurteilt das Werkzeug nicht, und manche Seiten lassen sich laut Betreiber aus verschiedenen Gründen gar nicht prüfen.
Konten, Lizenzen und Ausfälle
Betreff: Wir haben 31 Konten in Microsoft 365, aber nur 24 Leute
Bei der Durchsicht der Benutzerliste im Admin Center kommen mehr Konten heraus, als der Betrieb Beschäftigte hat. Wer hinter den überzähligen Konten steckt, weiß niemand.
Einen Teil der Antwort liefert der kostenlose Sicherheitsbericht für Microsoft 365, der ruhende Konten auflistet. Das PowerShell-Skript stammt von hagel IT. Unter Punkt 12 führt der Bericht jedes aktive Konto auf, an dem sich seit 90 Tagen niemand angemeldet hat. Auch ein vergessenes Konto lässt sich übernehmen, und es fällt lange niemandem auf. Wer zusätzlich wissen will, wer Teams, Exchange oder OneDrive zuletzt tatsächlich genutzt hat, findet in der Erklärung der Microsoft-365-Lizenzpläne bei hagel IT den Weg zu den Nutzungsberichten im Admin Center.
Lizenzen, die keinem Konto zugewiesen sind, tauchen im Bericht gar nicht auf. Deren Zahl zeigt das Admin Center als „nicht zugewiesen“. Abschalten wird das Skript nichts, und hinter einem Konto ohne Anmeldung kann ein Postfach stecken, das noch gebraucht wird. Vor dem Löschen fragt der Support besser einmal nach.
Betreff: Zoom startet nicht, Lexware hängt auch
Zehn Minuten vor einem Kundentermin lädt Zoom nicht, und in der Buchhaltung dreht sich Lexware. Zwei Ausfälle auf einmal sehen nach dem eigenen Netz aus. Die Ampel für 14 Cloud-Dienste bei hagel IT liest Zoom an der offiziellen Statusseite des Herstellers ab. Meldet Zoom dort eine Störung, ist eines der beiden Probleme erklärt. Lexware steht auf der Seite in der Liste der Anbieter, die sie absichtlich weglässt. Sie aufzuführen hieße laut Seite, dauerhaft „keine Daten“ anzuzeigen. Ob Ihr eigener Anschluss hängt, misst die Seite nicht. Steht Zoom auf Grün, suchen Sie also im eigenen Netz weiter.
Am Telefon und in der Buchhaltung
Betreff: Jemand ruft an und gibt sich als unser IT-Support aus
Die Kollegin am Empfang meldet einen Anruf. Der Mann am Telefon stellte sich als Techniker Ihres IT-Dienstleisters vor und wollte für ein dringendes Update kurz auf ihren Rechner. Sie hat aufgelegt und fragt jetzt, ob das echt war.
Die Masche heißt Vishing, also Phishing per Telefon. Der Überblick von hagel IT über Vishing und andere Tricks am Telefon beschreibt diesen Anrufer, der als „Microsoft-Techniker“ einen Fernzugriff einrichten will. Ob der Betrieb auf den nächsten Versuch vorbereitet ist, klären die Fragen 7 und 8 im Phishing-Selbsttest zu Anrufen von frag.hugo. In Frage 7 ruft der Chef an und will sofort eine Überweisung. Als erste Antwort bietet der Test einen Rückruf über die bekannte Durchwahl an, nach einer schriftlich festgehaltenen Regel. Frage 8 will wissen, ob jemand einen Betrugsanruf schon einmal geübt hat, statt nur davon zu lesen. Für den falschen Techniker gilt dieselbe Rückrufregel.
Sofort-Support
Kurze Reaktionszeiten durch dedizierte Teams
Der Test ist eine Selbsteinschätzung der Organisation. Ob die Kollegin beim nächsten Anruf wieder auflegt, misst er nicht.
Betreff: Muss die Warenwirtschaft ab Januar E-Rechnungen verschicken?
Die Buchhaltung möchte die Warenwirtschaft bis zum Jahreswechsel auf E-Rechnung umgestellt haben. Ob der Januar wirklich der Termin ist, zeigt frag.hugos Fristenkalender mit seinen Terminen zur E-Rechnung, getrennt nach Empfang und Ausstellung. Empfangen müssen alle Unternehmen E-Rechnungen schon seit dem 1. Januar 2025. Ausstellen müssen sie Rechnungen an andere Unternehmen vom 1. Januar 2027 an nur Betriebe mit mehr als 800.000 € Vorjahresumsatz, ab 2028 dann alle. Für den Januar entscheidet also der Umsatz 2026. Ob Ihre Warenwirtschaft das XML-Format erzeugt, steht nicht im Kalender. Der Hersteller beantwortet das schneller als jedes Werkzeug.
Am Anschluss
Betreff: Neuer Glasfaseranschluss, ist IPv6 jetzt an?
Der Anbieter hat den Glasfaseranschluss geschaltet, im Angebot stand IPv6. Ob es an den Arbeitsplätzen ankommt, zeigt der Verbindungstest von internet.nl, einer Initiative der Internet-Community und der niederländischen Regierung. Er läuft im Browser eines Arbeitsplatzes und beantwortet zwei Fragen, nämlich ob moderne Adressen erreichbar sind und ob Signaturen von Domains geprüft werden (Fachwort DNSSEC). Das dauert laut Seite zwischen 5 und 200 Sekunden. Von 27.143 getesteten Verbindungen erreichten 11.595 die volle Punktzahl.
Gemessen wird nur der Rechner, an dem der Test läuft, mit dem Netz dahinter. Über das Gäste-WLAN oder das Homeoffice sagt das Ergebnis nichts, und an der Firewall prüft er nichts.
Was ins Ticket gehört
| Betreff, kurz | Check | Anhang zum Ticket |
|---|---|---|
| Zertifikat für die Shop-Adresse | E-Mail-Sicherheitscheck | Befund zu CAA und Platzhalter als Bildschirmfoto, dazu die Zertifizierungsstelle, die die Agentur nutzen will |
| Postfach für Datenschutzanfragen | Hamburg-Steckbrief | wer das Postfach liest und wer im Urlaub vertritt |
| YouTube-Video auf der Startseite | Webbkoll | Liste der Anfragen an fremde Server, vor und nach dem Einbau |
| Mehr Konten als Leute | Microsoft-365-Check | ruhende Konten aus Punkt 12, jeweils mit Vermerk, ob sie noch gebraucht werden, dazu die Zahl der nicht zugewiesenen Lizenzen |
| Zoom und Lexware zugleich | Ampel für Cloud-Dienste | Zustand von Zoom mit Uhrzeit, für Lexware die Auskunft des Herstellers |
| Falscher Techniker am Telefon | Phishing-Selbsttest | Uhrzeit, angezeigte Nummer und was der Anrufer verlangt hat |
| E-Rechnung ab Januar | Fristenkalender | Vorjahresumsatz über oder unter 800.000 €, Name und Version der Warenwirtschaft |
| IPv6 nach dem Glasfaserwechsel | internet.nl | Ergebnis des Verbindungstests und der Arbeitsplatz, an dem er lief |
Welche Tickets zuerst dran sind
Ganz oben steht der Anruf des falschen Technikers. Sagen Sie noch am selben Tag allen am Telefon Bescheid und hängen Sie die Rückrufregel aus.
Gleich danach kommen das ungelesene Datenschutzpostfach und das Zertifikat für den Shop, für das der Mail-Check den ersten Befund liefert. Beim Postfach kann eine Auskunftsanfrage unbemerkt liegen bleiben, beim Zertifikat wartet der Shop.
Die übrigen Tickets haben einen natürlichen Termin. Die Konten sehen Sie vor der nächsten Microsoft-Rechnung durch. Die E-Rechnung klären Sie, sobald der Umsatz 2026 absehbar ist, und das Video kommt erst nach dem Webbkoll-Lauf auf die Seite. Wer heute nur einen Zettel schafft, schreibt die echte Support-Nummer und die Rückrufregel darauf und klebt ihn ans Telefon am Empfang. Für Fragen, die eher beim Datenschutzbeauftragten als beim Support landen, von der Folgenabschätzung bis zum Bußgeld, hat frag.hugo eine Werkzeugsammlung für Fragen jenseits des Support-Postfachs zusammengestellt.
