Alle sind Administrator
Jeder Mitarbeiter darf auf seinem Rechner Programme installieren. Der Anhang in der Mail auch.
WISSEN, WO SIEANGREIFBAR SIND
Ein Audit nach Cert+ Standard zeigt, wo Ihre IT offen ist, bevor es jemand anderes tut. Danach schließen wir die Lücken, in der Reihenfolge, in der sie wehtun würden.
IT-Sicherheit
Sicherheit ist kein Produkt. Sie ist ein Zustand, den man prüft.
IT-Sicherheit für KMU beginnt bei uns nicht mit einem Angebot für eine Firewall, sondern mit einer Prüfung. Wir sehen uns nach Cert+ Standard an, wie Ihre Systeme heute stehen: Auf welchem Stand ist Ihre Technik, wie und wann wird gepatcht, was passiert, wenn morgen früh alle Dateien verschlüsselt sind.
Bei fast jedem Audit finden wir Dinge, von denen der Geschäftsführer nichts wusste. Einen Fernzugang, den ein früherer Dienstleister eingerichtet hat. Ein Adminkonto ohne Zwei-Faktor-Anmeldung. Ein Backup, das auf demselben Server liegt wie die Daten. Nichts davon ist unangenehm, solange es nachhaltig adressiert wird.
Kennen Sie das?
Fünf Befunde, die in unseren Audits immer wieder auftauchen. Ohne Kundennamen, die Muster reichen.
Die Firewall ist der Router vom Provider
Das Gerät vom Internetanbieter steht seit der Installation unverändert im Serverraum. Regeln hat nie jemand angelegt, Updates auch nicht.
Ein Passwort für alles
Das WLAN-Passwort steht auf einem Zettel im Flur. Es ist dasselbe wie für die Firewall. Und für den Server.
Der Notfallplan ist ein Gedanke
Wenn morgen alles verschlüsselt ist: Wer ruft wen an? Wo liegt das Backup? Wie lange dauert es, bis die Buchhaltung wieder arbeiten kann?
Der Ex-Mitarbeiter hat noch Zugang
Das Konto des Kollegen, der vor acht Monaten gegangen ist, ist noch aktiv. Sein VPN-Zugang auch.
Der Ablauf 
So läuft es, Schritt für Schritt.
- 1 bis 2 Wochen
Audit nach Cert+ Standard
Wir prüfen Netzwerk, Server, Arbeitsplätze, Berechtigungen, Backup und Zugänge von außen. Dazu ein Gespräch mit Ihnen über Abläufe: Wer darf was, was passiert bei Ausfall.
- 1 Woche
Bericht und Priorisierung
Sie bekommen den Bericht in zwei Teilen: einen für die Geschäftsführung ohne Fachbegriffe, einen technischen für die Umsetzung. Jeder Befund hat eine Einstufung: sofort, in drei Monaten, bei Gelegenheit.
- 1 bis 2 Wochen
Sofortmaßnahmen
Offene Fernzugänge schließen, alte Konten löschen, Adminrechte entziehen, Zwei-Faktor-Anmeldung aktivieren. Das ist oft mehr Aufräumen als neue Technik und bringt am meisten.
- 4 bis 12 Wochen
Umsetzung
Firewall, Virenschutz, Berechtigungskonzept, Backup-Trennung und Notfallplan nach dem Plan aus Phase 2. Wir arbeiten die Liste ab und haken sie mit Ihnen ab.
- wiederkehrend
Wiederholung
Ein Audit ist eine Momentaufnahme. Gerne pflegen wir bei größeren Änderungen an Ihrer IT laufend Ihr Audit.
Lösungen für Ihre IT-Sicherheit
Ein Auszug aus Themen, mit denen wir uns beschäftigen.
Audit nach Cert+ Standard
Die Bestandsaufnahme nach einem festen Prüfkatalog, mit Bericht für Geschäftsführung und Technik. Der Ausgangspunkt für alles Weitere.
Firewall
Ein Gerät, das Regeln hat und Updates bekommt. Wer darf von außen hinein, was darf von innen hinaus, und wer sieht es, wenn jemand klopft.
Virenschutz
Zentral verwaltet auf allen Rechnern und Servern, mit Meldung an uns, wenn etwas gefunden wird. Nicht die Gratisversion, die jeder Mitarbeiter selbst pflegt.
Berechtigungen
Jeder sieht, was er für seine Arbeit braucht, und nichts darüber hinaus. Adminrechte nur dort, wo sie nötig sind. Konten, die niemand mehr nutzt, werden gelöscht.
Zwei-Faktor-Anmeldung
Für Mail, Fernzugang und Adminkonten. Ein gestohlenes Passwort allein reicht dann nicht mehr.
Backup-Trennung
Die Sicherung liegt so, dass ein Angreifer, der Ihre Server verschlüsselt, das Backup nicht mit verschlüsselt. Geprüft nach Cert+ Standard.
Notfallplan
Aufgeschrieben: Wer ruft wen an, wo liegt was, in welcher Reihenfolge fahren wir wieder hoch. Ein Dokument, das im Ernstfall auf Papier vorliegt, weil der Server dann nicht läuft.
Mitarbeiter-Sensibilisierung
Eine kurze Schulung: Wie erkennt man eine gefälschte Rechnung, was tut man, wenn man doch geklickt hat. Die meisten Angriffe kommen per Mail und brauchen einen Klick.
Häufig gefragt
Fragen, die vor jedem Auftrag stehen.
Was prüft ein IT-Sicherheitsaudit nach Cert+ Standard?
Netzwerk und Firewall, Server und Arbeitsplätze, Benutzerkonten und Berechtigungen, Backup und Wiederherstellung, Zugänge von außen sowie Ihre Abläufe im Notfall. Das Ergebnis ist ein Bericht mit Einstufung jedes Befunds nach Dringlichkeit. Der Standard ist praxisnahe und für KMU erstellt wurden. Keine absurden Anforderungen für Ihren Betrieb mit 20 Mitarbeitern.
Was passiert nach dem Audit?
Sie bekommen den Bericht und einen Plan mit Reihenfolge und Terminen. Was Sie davon mit uns umsetzen, entscheiden Sie. Die Sofortmaßnahmen empfehlen wir dringend, der Rest lässt sich über Monate verteilen. Viele Kunden lassen uns die Umsetzung machen, einige nehmen den Bericht und setzen selbst um. Beides ist in Ordnung.
Wie lange dauert ein Audit?
Bei einem Unternehmen mit 20 bis 50 Arbeitsplätzen in der Regel ein bis zwei Wochen von Beginn bis Bericht, mit einem bis zwei Tagen vor Ort. Ihre Mitarbeiter arbeiten in dieser Zeit normal weiter.
Wofür hafte ich als Geschäftsführer?
Als Geschäftsführer sind Sie für angemessene Vorkehrungen gegen Risiken im Unternehmen verantwortlich, und IT-Ausfälle zählen dazu. Was „angemessen" heißt, hängt von Größe und Branche ab. Ein dokumentiertes Audit mit umgesetzten Maßnahmen ist der Nachweis, dass Sie sich gekümmert haben. Für die rechtliche Einordnung Ihres Einzelfalls verweisen wir an Ihren Anwalt. Durch die NIS-2 Richtlinie wurden die Anforderungen an die IT-Sicherheit und auch die Haftungsregelungen neu gesetzt.
Reicht ein guter Virenschutz nicht aus?
Nein. Virenschutz erkennt bekannte Schadprogramme. Die meisten erfolgreichen Angriffe auf Unternehmen laufen über gestohlene Passwörter, offene Fernzugänge oder einen Mitarbeiter, der einen Anhang öffnet. Dagegen helfen Zwei-Faktor-Anmeldung, saubere Berechtigungen und ein getrenntes Backup mehr als jedes Schutzprogramm.
Was kostet ein IT-Sicherheitsaudit?
Der Preis hängt ganz von der Anzahl Ihrer Server, Arbeitsplätze und Standorte ab. Den nennen wir Ihnen nach einem kurzen Telefonat, in dem wir diese Zahlen abfragen. Die Umsetzung danach ist ein eigenes Angebot, weil sie davon abhängt, was wir finden.
Wir sind zu klein, um angegriffen zu werden. Oder?
Angriffe laufen heute automatisiert. Ein Programm sucht im Internet nach offenen Zugängen und probiert Passwörter durch, ohne zu wissen, wer dahinter steht. Ob 15 oder 500 Mitarbeiter ist dem Programm egal. Kleinere Unternehmen sind oft leichter zu treffen, weil niemand hinsieht.
Was ist, wenn beim Audit etwas Peinliches herauskommt?
Dann geht es niemanden außer Sie etwas an. Der Bericht gehört Ihnen. Und wir haben noch kein Unternehmen geprüft, bei dem alles in Ordnung war, unsere eigenen Systeme eingeschlossen.
Audit anfragen
Lieber Sie finden die Lücke als jemand anderes.
Nennen Sie uns Server, Arbeitsplätze und Standorte. Sie bekommen einen festen Preis für das Audit, bevor wir anfangen.
