Cyber-Sicherheit ist zur Vertragsfrage geworden, nicht mehr zur reinen IT-Frage. Wir nehmen den Ist-Zustand Ihrer Websites, Onlineshops und Server auf, sortieren die Befunde nach Risiko und setzen die Maßnahmen um.
Drei Schritte, die aufeinander aufbauen. Den ersten können Sie einzeln buchen, und dort fangen die meisten Unternehmen an. Diese Seite geht weiter als die Kurzfassung auf der Startseite.
Wir erfassen, was tatsächlich da ist, auch die Systeme, die auf keiner Liste mehr stehen.
Wir schließen die Lücken in der Reihenfolge, die das Audit vorgibt, zu einem Zeitpunkt, den Sie festlegen.
Wir prüfen, ob die Maßnahmen halten, und bleiben erreichbar, wenn ein Kunde von Ihnen Nachweise verlangt.
Keine davon nennt Ihre Website. Alle erreichen sie über die Unternehmen, die bei Ihnen kaufen.
Klassifikationsgesellschaften verlangen Cyber-Resilienz für Schiffe, deren Bau ab dem 1. Juli 2024 beauftragt wurde. E26 deckt das Schiff ab, E27 die Systeme und Ausrüstung an Bord und deren Zulieferer.
Seit dem 6. Dezember 2025 in Kraft, stellt das deutsche Umsetzungsgesetz rund 29.500 Unternehmen aus 18 Sektoren unter die Aufsicht des BSI. Die Absicherung der Lieferkette ist eine ausdrückliche Pflicht, deshalb erreichen die Regeln kleinere Zulieferer als Sicherheitsfragebogen ihres größten Kunden.
Einkäufer verlangen von ihren Zulieferern ein Zertifikat. Ausgestellt wird es von einer akkreditierten Stelle. Wir liefern die Gap-Analyse, die technischen Maßnahmen und die Dokumentation davor.
Beide waren Sicherheitsmandate, keine Web-Projekte.
Melitta: drei Jahre Sicherheitsarbeit im Konzern. Hunderte Websites und tausende Dienste auditiert, Cloudflare Enterprise auf allen Markendomains ausgerollt, Server nach den CIS-Benchmarks gehärtet. Dazu kamen abgesicherte Build-Pipelines, eine Content Security Policy über alle Web-Auftritte hinweg und regelmäßige Penetrationstests.
Oldenburgische Landesbank: eine Gap-Analyse gegen ISO 27001 und BSI IT-Grundschutz während einer Bankübernahme. Mehrere tausend Prüfpunkte Zeile für Zeile bewertet, belegt und für das Audit aufbereitet, dazu die technische Dokumentation, das Monitoring und der Incident-Response-Plan. Auch die tägliche Arbeit im Security Operations Center gehörte zum Mandat. Datenexporte wurden einzeln geprüft und freigegeben, Mitarbeiter zu Phishing-Mails geschult und mit eigenen Phishing-Simulationen getestet.
Ein Audit endet in Dokumenten, die Sie weitergeben können, nicht in einer mündlichen Zusammenfassung.
Jeder Befund mit dem, was er ist, was jemand damit anfangen könnte und wie wahrscheinlich das ist. Die Reihenfolge ist das Risiko, deshalb steht auf der ersten Seite das, was zuerst zählt.
Jede Maßnahme mit dem Aufwand und den Kosten, aufgeteilt in das, was wir übernehmen, und das, was Ihre eigenen Leute machen. Sie entscheiden, was umgesetzt wird und in welcher Reihenfolge.
Was geprüft wurde, was geändert wurde und wann es nachgewiesen wurde, so geschrieben, dass es direkt in den nächsten Sicherheitsfragebogen geht.
Direkt sehr wahrscheinlich nicht. Rund 29.500 Unternehmen fallen unter das deutsche Gesetz, in der Regel ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz. Indirekt reicht es deutlich weiter, denn ein Kunde, der darunter fällt, muss seine eigene Lieferkette absichern und gibt die Anforderungen vertraglich weiter. In der Praxis kommt das als Sicherheitsfragebogen Ihres größten Kunden an.
Nein. Wir lesen mit, scannen von außen und sehen uns Konfigurationen an. Während der Ist-Aufnahme wird nichts abgeschaltet und nichts geändert. Änderungen gehören in die Härtung, zu einem Zeitpunkt, den Sie festlegen, und für jede gibt es einen Weg zurück.
Ein erstes Audit von Website, Onlineshop und dem Server dahinter dauert wenige Tage. Größere Landschaften dauern länger, vor allem wegen der Systeme, von denen niemand eine Liste hat. Den Aufwand bekommen Sie schriftlich, bevor irgendetwas beginnt.
Nein. Das meiste, was ein Audit findet, ist Arbeit für die Leute, die Ihre Systeme täglich betreiben, und der Bericht ist so geschrieben, dass sie ihn direkt übernehmen können. Wo Sie einen Teil bei uns sehen wollen, setzen wir ihn um und geben die Dokumentation zurück.
Nein, und das sollte auch niemand versprechen. Ein Zertifikat stellt eine akkreditierte Stelle oder eine Klassifikationsgesellschaft aus. Wir machen die Arbeit davor: die Gap-Analyse, die technischen Maßnahmen und die Nachweiskette, die erfahrungsgemäß am längsten dauert.
Sie bekommen eine schriftliche Schätzung, bevor Sie beauftragen, auf Basis der Zahl der Systeme im Umfang. Ein Retainer hängt nicht daran, und ein Audit verpflichtet Sie nicht, die Maßnahmen bei uns umsetzen zu lassen.
Sagen Sie uns, was dazugehört, und Sie bekommen eine schriftliche Schätzung für das Audit. Wenn Sie lieber zuerst sprechen möchten, buchen Sie einen Termin.