Sicherheit jenseits von Compliance
Audits bestätigen Kontrollen. Wir testen, ob sie im Ernstfall standhalten – mit Pen Testing und simulierten Angriffen für deine IT- und OT-Systeme.
Kostenloses 30-Min-Erstgespräch sichern
Blinde Flecken verursachen die meisten Sicherheitslücken
Die Ursache liegt selten in der Technik allein, sondern darin, wie Verantwortlichkeiten zwischen Teams verteilt sind. Häufiger ist es nicht die ausgeklügelte Attacke, sondern ein blinder Fleck: ein OT-System, das aus dem IT-Audit herausfällt, oder ein Compliance-Zertifikat, das nur die Dokumentation prüft und die eigentlichen Kontrollen ungeprüft lässt. Auch ein Schwachstellenscanner gehört dazu, wenn er ein Risiko als gering einstuft, obwohl er die Folgen für das angeschlossene System gar nicht kennt. Solche Lücken kündigen sich nicht an. Sie summieren sich, bis daraus ein Betriebsausfall wird. Wir setzen genau in dieser Lücke an, zwischen dem, was ein Audit bestätigt, und dem, was ein Angreifer tatsächlich ausnutzt.
Wir arbeiten zertifiziert nach ISO 27001. Es ist der Standard, nach dem jedes Projekt bei uns läuft. Wir steuern deinen Auftrag mit demselben Informationssicherheits-Managementsystem, gegen das wir extern auditiert werden. Sicherheit steckt darum von Anfang an in der Bereitstellung – inklusive Infrastruktur und Governance – und wird nicht erst nachträglich aufgesetzt.
Compliance-Frameworks bestätigen, dass es Kontrollen gibt. Erst der Angriff zeigt, ob diese Kontrollen im Ernstfall halten. Wir kombinieren deshalb vier Bausteine: Red-Team-Übungen, die reale Angriffsszenarien nachstellen, Blue-Team-Monitoring und Blue-Team-Härtung in Live-Umgebungen, gemeinsame IT- und OT-Bewertungen, die blinde Flecken zwischen den Abteilungen aufdecken, und eine laufende Schwachstellenanalyse, die sich an der geschäftlichen Auswirkung ausrichtet, nicht an einem abstrakten Score. Governance-Dokumente allein sagen darüber nichts. Das ist operative Sicherheit unter Druck.
So schützen wir die Verfügbarkeit, sichern die Datenintegrität und halten den Betrieb am Laufen. So kommen wir einem Ausfall zuvor. Offensive Tests und defensive Härtung ergeben, zusammen mit ISO-gesteuerten Prozessen, Systeme, die eine Prüfung bestehen und im Ernstfall standhalten. Diese Arbeit deckt vier Bereiche ab: Cloud-Sicherheit, industrielle Cybersicherheit, Infrastruktur-Härtung und Blue Teaming sowie Penetration Testing und Red Teaming.
Drei Anlässe
Eine Zusammenarbeit zahlt sich zu ganz bestimmten Zeitpunkten im Projekt aus. Wir schließen vor einem Audit – etwa nach ISO 27001 oder NIS2 – Lücken, bevor die formelle Prüfung sie findet. Ist ein Sicherheitsvorfall oder Beinahe-Vorfall passiert, übernehmen wir die vollständige Nachbereitung, inklusive Incident Response. Nach einer organisatorischen Veränderung – einer Fusion von IT- und OT-Abteilungen, einer Cloud-Migration oder einer neuen Lieferantenintegration – ist oft unklar, wer für welche Sicherheitskontrolle zuständig ist; das klären wir mit gemeinsamen IT- und OT-Bewertungen, so wie zuletzt bei einem B2B-Marktplatz aus Solingen.
So sah das in einzelnen Projekten aus:
- Globaler Frachtführer: Umfassender Penetrationstest deckte kritische Schwachstellen auf und verhinderte gefälschte Auftragseingaben und Ransomware-Einstiegspunkte, außerdem die Umleitung von Lieferungen.
- Britischer Hersteller von Gartenmöbeln und Industriearbeitsplatten: Incident Response und Penetrationstest liefen parallel nach einem Sicherheitsvorfall, bei dem keine Daten verloren gingen; bis Projektende waren zudem alle Schwachstellen behoben und gehärtet.
- Industrieproduktion mit Werken in Thailand und Vietnam sowie einem weiteren Standort in Deutschland: OT-Bewertungen in drei Produktionsstätten, in denen eine falsch konfigurierte IT-OT-Verbindung zum Produktionsstillstand führt, nicht zu einem Helpdesk-Ticket.
- B2B-Marktplatz aus Solingen: Sicherheitshärtung und Infrastruktur-Audit mit AWS WAF und bereinigten Zugriffsrechten für eine robuste, klar zugeordnete Cloud-Sicherheitslage.
Genauso sprechen wir mit jedem, der einen Security-Partner sucht, der die Technik versteht – mit Pen Tests, Infrastruktur-Härtung und sicherem Design. Nenn uns dein Threat Model. Wir kennen dann deine größten Risiken schon vor Projektstart.
Beschreib uns deine Umgebung samt Risiken und wo du Gewissheit brauchst
Wir definieren den Umfang und sagen dir im kostenlosen Erstgespräch, was enthalten ist und was es kostet.