Cyber Security & NIS2
Technische Sicherheitsprüfungen von Netzwerken, Anwendungen und Infrastrukturen: Wir identifizieren Schwachstellen, belegen ihre tatsächlichen Auswirkungen und begleiten das Unternehmen bei der Behebung – mit Berichten, die die Geschäftsführung lesen und die IT umsetzen kann.
Was wir tun
Wir scannen wiederholbar den externen Perimeter, das interne Netzwerk und die Systeme, bewerten die Schwachstellen mit CVSS-Score und trennen sie von Fehlalarmen. Ein Inventar der Schwachstellen, das laufend aktualisierbar bleibt.
Wir nutzen Schwachstellen kontrolliert aus, um ihre konkreten Folgen zu belegen: Zugriff auf Daten, Rechteausweitung, Ausbreitung im Netzwerk (Lateral Movement). Black-, Grey- oder White-Box-Ansatz je nach Ziel und innerhalb der schriftlich vereinbarten Grenzen.
Wir testen Webanwendungen, APIs und mobile Apps nach den OWASP-Standards: Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle, Eingabevalidierung, Offenlegung von Daten und Anwendungslogik.
Wir prüfen Konfigurationen und Berechtigungen im Active Directory, die Einstellungen der Cloud-Umgebungen (Identitäten, Speicher, Netzwerk) und die Sicherheit der betrieblichen WLAN-Netze: die Bereiche, aus denen viele reale Angriffe starten.
Wir messen die Reaktion der Mitarbeitenden mit abgestimmten Phishing-Simulationen und Social-Engineering-Tests, im Einklang mit dem Datenschutz- und Arbeitsrecht, und übersetzen die aggregierten Ergebnisse in gezielte Schulungen für die am stärksten exponierten Rollen; disziplinarische Zwecke sind ausgeschlossen.
Wir übersetzen die Ergebnisse in sicherere Konfigurationen: Härtungsvorgaben für Systeme, Netzwerk und Cloud, Überprüfung von Berechtigungen und Authentifizierung, Hinweise für die Überwachung. Auf Wunsch begleiten wir dauerhaft die Verantwortlichen für Sicherheit im Unternehmen.
Cyberangriffe betreffen längst nicht mehr nur große Organisationen. Ransomware, Diebstahl von Zugangsdaten, Kompromittierung geschäftlicher E-Mail-Konten und Angriffe über Lieferanten treffen regelmäßig KMU, häufig über Schwachstellen, die seit Monaten bekannt und nie behoben worden sind. Die Frage, die sich die Geschäftsführung stellen muss, ist nicht, ob das Unternehmen angreifbar ist, sondern wie stark, von wo aus und mit welchen Folgen.
Die Vorschriften haben auf diese Entwicklung reagiert. Art. 32 DSGVO verlangt dem Risiko angemessene Sicherheitsmaßnahmen und nennt ausdrücklich, soweit erforderlich, ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Die NIS2-Richtlinie, in Italien umgesetzt durch das Gesetzesdekret 138/2024, verpflichtet wesentliche und wichtige Einrichtungen, Maßnahmen zum Management von Cybersicherheitsrisiken zu ergreifen und deren Wirksamkeit zu bewerten (Art. 24), mit unmittelbarer Verantwortung der Leitungsorgane (Art. 23). Die technischen Vorgaben und die Fristen legt die Agenzia per la cybersicurezza nazionale (ACN, die italienische Cybersicherheitsagentur) fest, die auch die Umsetzung überwacht.
Die ISO/IEC 27001:2022 führt unter ihren Maßnahmen den Umgang mit technischen Schwachstellen (A.8.8) sowie Sicherheitstests in Entwicklung und Abnahme (A.8.29) auf, die in der regelmäßigen Überwachung des Systems zu überprüfen sind. Im Finanzsektor führt die DORA-Verordnung ein regelmäßiges Programm für Tests der digitalen operationalen Resilienz ein.
Ein Sicherheitstest ist so gut wie seine Vorbereitung. Deshalb steht am Anfang immer die Festlegung des Umfangs: Wir klären mit dem Unternehmen, welche Systeme für das Geschäft wirklich zählen, welche Daten zu schützen sind und welche Abläufe nicht stillstehen dürfen. Daraus ergeben sich die Breite der Prüfungen, die Testart und die Testregeln, festgehalten in einer schriftlichen Autorisierung und abgedeckt durch eine Vertraulichkeitsvereinbarung.
Wir unterscheiden die beiden Instrumente klar. Die Schwachstellenanalyse (Vulnerability Assessment) ist eine breite und wiederholbare Momentaufnahme: systematischer Scan, manuelle Prüfung der Ergebnisse, Bewertung mit CVSS. Der Penetrationstest ist eine Untersuchung in der Tiefe: kontrollierte Ausnutzung der Schwachstellen, um die tatsächlichen Folgen eines Angriffs zu messen, mit Black-, Grey- oder White-Box-Ansatz je nachdem, wie viel zu Beginn über die Systeme bekannt ist. Wir folgen anerkannten Methodiken (PTES, NIST SP 800-115, OSSTMM) und bei Anwendungen den OWASP-Standards.
Über die oben beschriebenen Bereiche hinaus erweitern wir die Prüfungen, wenn der Kontext es erfordert, auf OT- und IoT-Umgebungen und für reifere Organisationen auf Red-Team-Übungen, die die gesamte Erkennungs- und Reaktionsfähigkeit auf die Probe stellen. Die Arbeit endet nicht mit dem Bericht: Retest und Begleitung bei der Behebung gehören dazu.
Unsere Methode
Wir legen mit dem Unternehmen Ziele, Umfang, Ausschlüsse, Testart, Zeitfenster und Notfallkanäle fest. Wir formalisieren die schriftliche Autorisierung, die Vertraulichkeitsvereinbarung und, bei Zugriff auf personenbezogene Daten, den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Wir rekonstruieren die exponierte Angriffsfläche, identifizieren Dienste und Versionen, führen die Schwachstellenscans durch und prüfen deren Ergebnisse manuell, um Fehlalarme auszuschließen.
Im Penetrationstest versuchen wir die Ausnutzung der Schwachstellen nach den vereinbarten Regeln, dokumentieren jeden Schritt mit Nachweisen und brechen die Aktivitäten ab, wenn der Betrieb gefährdet ist.
Wir bewerten die Ergebnisse mit CVSS und ordnen sie in den Geschäftskontext ein. Wir übergeben den Management-Bericht und den technischen Bericht und stellen beide der Geschäftsführung und der IT in einer eigenen Sitzung vor.
Wir unterstützen die technischen Teams bei der Behebung, bestätigen im Retest, dass die Schwachstellen geschlossen sind, und stellen die Abschlussbescheinigung aus. Die Häufigkeit der weiteren Prüfungen stimmen wir gemeinsam ab.
Nutzen
Arbeitsergebnisse
Häufige Fragen
Das hängt davon ab, welche Frage beantwortet werden soll. Geht es um ein breites, wiederholbares Bild der Schwachstellen, das regelmäßig aktualisiert wird, genügt die Schwachstellenanalyse. Soll geklärt werden, was ein Angreifer über eine exponierte Anwendung, einen Fernzugang oder das interne Netzwerk wirklich erreichen würde, oder verlangt ein Kunde eine Bescheinigung, ist der Penetrationstest erforderlich. Häufig ist es sinnvoll, mit der Schwachstellenanalyse zu beginnen und bei den wesentlichen Systemen mit einem Penetrationstest in die Tiefe zu gehen.
Das Risiko besteht, und genau deshalb wird es vor dem Beginn gesteuert: Wir stimmen ab, welche Systeme auszunehmen oder besonders vorsichtig zu behandeln sind, legen Zeitfenster fest, verzichten auf destruktive Techniken und halten einen direkten Kanal zur IT des Unternehmens offen, um die Aktivitäten jederzeit stoppen zu können.
Empfohlen werden mindestens eine vollständige jährliche Prüfung und ein gezielter Test nach jeder wesentlichen Änderung: neue Anwendungen, Cloud-Migrationen, Fusionen, neue Standorte. Für internetexponierte Systeme hilft eine häufigere, auch vierteljährliche Schwachstellenanalyse, wie sie der PCI DSS bei der Verarbeitung von Kartendaten verlangt, um neu veröffentlichte Schwachstellen früh zu erfassen. Die Häufigkeit richtet sich nach dem Risiko und wird nicht ein für alle Mal festgelegt.
Keine allgemeine Vorschrift verlangt ihn unter diesem Namen; sektorspezifische Regelungen wie DORA für Finanzintermediäre und vertragliche Standards wie PCI DSS bei der Verarbeitung von Kartendaten tun es. Andere verlangen ihn der Substanz nach: DSGVO (Art. 32), NIS2 und ISO/IEC 27001 fordern, die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig zu überprüfen und dies belegen zu können. Ein unabhängiger Test ist der direkteste Weg dorthin und hinterlässt einen Nachweis.
Ja, aus zwei Gründen. Wer Systeme entwirft und betreibt, sieht deren Schwachstellen selten mit den Augen eines Angreifers; und Kunden, Prüfer und Behörden legen Wert auf die Unabhängigkeit der prüfenden Stelle. Wir ersetzen den Dienstleister des Unternehmens nicht: Wir beziehen ihn ein, teilen die Ergebnisse konstruktiv und unterstützen ihn bei der Behebung. Der unabhängige Test ist auch eine Möglichkeit, die Qualität der bezogenen Leistung zu beurteilen.
Verwandte Leistungen
Anpassung an die EU-Richtlinie 2022/2555 und das italienische Gesetzesdekret 138/2024: Anwendungsbereich, Gap-Analyse, Sicherheitsmaßnahmen, Governance und Meldung von Vorfällen.
Mehr erfahrenUmsetzung der Verordnung (EU) 2016/679 und des italienischen Datenschutzkodex: Assessment, Verarbeitungsverzeichnis, DSFA, Richtlinien und Schulungen.
Mehr erfahrenKonzeption, Einführung und Pflege zertifizierbarer Managementsysteme: ISO 9001, 14001, 45001, 27001, 37001, 50001 sowie die wichtigsten Branchen- und Lieferkettenstandards.
Mehr erfahrenSprechen wir darüber
Erzählen Sie uns von den Prioritäten Ihres Unternehmens: In einem ersten, unverbindlichen Gespräch analysieren wir die Ausgangslage und schlagen Ihnen einen konkreten Weg mit Zeitplan und messbaren Ergebnissen vor.