Von der kompakten Bestandsaufnahme bis zur vertieften Sicherheitsprüfung
Welches IT-Review passt zu Ihrem Betrieb?
Unsere IT-Review-Pakete helfen Ihnen dabei, den Prüfumfang zu wählen, der zu Ihrer aktuellen Situation passt. Alle Reviews liefern eine verständliche Einordnung, klar priorisierte Maßnahmen und eine belastbare Grundlage für die nächsten Entscheidungen – ohne unnötige Produktbindung und auf Wunsch mit anschließender Umsetzung.
Kosten, Lizenzen und Betriebsabläufe
Kosten- und Effizienzreview
ab 390 € netto
zzgl. gesetzlicher Umsatzsteuer
Prüfung von IT-Kosten, Lizenzen, Abonnements und gewachsenen Abläufen. Sie erhalten eine Übersicht vermeidbarer Ausgaben und konkrete Empfehlungen für eine wirtschaftlichere IT.
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Für kleine und überschaubare IT-Umgebungen
IT-Sicherheitsreview Basis
ab 390 € netto
zzgl. gesetzlicher Umsatzsteuer
Grundlegende Sicherheitsprüfung für kleine IT-Umgebungen mit Router, WLAN, NAS, wenigen Arbeitsplätzen, Backups und Fernzugriffen.
Sicherheitsreview Basis ansehen →
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Für komplexere IT-Umgebungen
IT-Sicherheitsreview Plus
ab 790 € netto
zzgl. gesetzlicher Umsatzsteuer
Vertiefte Sicherheitsprüfung für Unternehmen mit mehreren Systemen, Benutzergruppen, Servern, Cloud-Diensten oder erhöhtem Schutzbedarf.
Sicherheitsreview Plus ansehen →
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Datenstandorte und Anbieterabhängigkeiten
Datenhoheitsreview
ab 490 € netto
zzgl. gesetzlicher Umsatzsteuer
Analyse von Datenstandorten, Cloud-Diensten, Dateiablagen, Backups und Anbieterabhängigkeiten – mit konkreten Optionen für mehr Kontrolle und bessere Wechselmöglichkeiten.
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Der Faktor Mensch
IT-Sicherheitsschulung für Mitarbeitende
ab 290 € netto
zzgl. gesetzlicher Umsatzsteuer
Praxisnahe Sensibilisierung zu Phishing, Passwörtern, Mehrfaktor-Authentifizierung, Datenverarbeitung und typischen Sicherheitsrisiken im Arbeitsalltag.
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Kontrollierte technische Prüfung
für kleine IT-Umgebungen
Netzwerk-Pentest Basis
Preis nach vereinbartem Umfang
Kontrollierte technische Prüfung ausgewählter Netzwerkkomponenten, Fernzugänge und öffentlich erreichbarer Dienste – mit klar definiertem Scope und verständlichem Ergebnisbericht.
Das Angebot richtet sich ausschließlich an Gewerbetreibende
Leistungsumfang im Detail
IT-Reviews
Kosten, Lizenzen und Betriebsabläufe
Kosten- und Effizienzreview
Für Betriebe, die laufende IT-Kosten prüfen, unnötige Ausgaben erkennen und Abläufe schlanker gestalten möchten.
Im Kosten- und Effizienzreview prüfe ich, welche IT-Dienste, Lizenzen und Abonnements tatsächlich genutzt werden – und wo vermeidbare Kosten entstehen.
Auf Wunsch betrachte ich zusätzlich einzelne Betriebsabläufe oder Produktionsprozesse. Ziel ist es, praktische Verbesserungen zu erkennen: weniger doppelte Arbeit, weniger manuelle Zwischenschritte, bessere Nutzung vorhandener Technik und sinnvolle Automatisierungsmöglichkeiten.
Unverbindliche Ersteinschätzung · klar definierter Scope · Festpreis vor Beginn
Auf einen Blick
ab 390 € netto
- remote oder vor Ort möglich
- Prüfung von Lizenzen, Abos und Hauptdiensten
- Erkennung unnötiger oder doppelter Kosten
- optionaler Blick auf Betriebsabläufe
- Empfehlungen für schlankere Lösungen
- Übersicht mit Einspar- und Verbesserungspotenzialen
Der genannte Preis richtet sich an Betriebe mit kleinen Umgebungen und wenigen Systemen. Der konkrete Festpreis richtet sich nach Umfang, Betriebsgröße, vorhandener Dokumentation und gewünschter Betrachtung der Abläufe.
Das Kosten- und Effizienzreview eignet sich für kleine und mittelständische Unternehmen, deren Softwarelizenzen, IT-Verträge, Geräte, Cloud-Dienste und Arbeitsabläufe über mehrere Jahre gewachsen sind.
Es ist besonders sinnvoll, wenn:
- Laufende IT-Kosten nur schwer nachvollziehbar sind,
- Verschiedene Dienste ähnliche Aufgaben erfüllen,
- Benutzerkonten oder Lizenzen nicht konsequent bereinigt wurden,
- Unterschiedliche Abteilungen eigenständig Software oder Cloud-Dienste beschafft haben,
- Nicht eindeutig bekannt ist, welche Systeme tatsächlich noch benötigt werden,
- Teure Abonnements bestehen, deren Nutzen nicht mehr überprüft wurde,
- Alte und neue Lösungen parallel betrieben werden,
- Hardware frühzeitig ersetzt werden soll, obwohl eine Weiterverwendung möglich wäre,
- Mitarbeitende regelmäßig Daten zwischen mehreren Systemen übertragen müssen,
- Manuelle Zwischenschritte, doppelte Datenerfassung oder Medienbrüche den Arbeitsalltag verlangsamen,
- Eine Migration, Vertragsverlängerung oder größere IT-Investition vorbereitet wird,
- Die Geschäftsführung eine unabhängige Entscheidungsgrundlage für die weitere IT-Planung benötigt.
Das Review betrachtet nicht nur einzelne Rechnungspositionen. Entscheidend ist, ob die eingesetzten Systeme, Verträge und Abläufe im Verhältnis zu ihrem tatsächlichen Nutzen wirtschaftlich und sinnvoll aufgestellt sind.
Der genaue Prüfumfang wird vor Beginn schriftlich festgelegt.
Je nach Ausgangssituation können insbesondere die folgenden Bereiche betrachtet werden:
Software, Abonnements und Lizenzmodelle
- Laufende Softwareabonnements und Lizenzverträge
- Zugewiesene und tatsächlich genutzte Benutzerlizenzen
- Ungenutzte, doppelte oder überdimensionierte Lizenzpakete
- Kostenlose oder günstigere Funktionsstufen innerhalb bestehender Produkte
- Monatliche und jährliche Vertragsmodelle
- Automatische Verlängerungen und Kündigungsfristen
- Zusatzmodule und Erweiterungen mit unklarem Nutzen
- Lizenzen ehemaliger Mitarbeitender
- Parallele Produkte mit ähnlichem Funktionsumfang
Cloud-, Hosting- und Speicherdienste
- Cloud-Speicher und Dateiablagen
- E-Mail- und Kollaborationsplattformen
- Hosting-, Backup- und Webdienste
- Virtuelle Server und externe Rechenressourcen
- Speicherverbrauch und gebuchte Kapazitäten
- Kostenpflichtige Zusatzfunktionen
- Mehrfach vorhandene oder nicht mehr benötigte Dienste
- Erkennbare Kosten durch Datentransfer, Speicherwachstum oder Zusatzkonten
Benutzer, Konten und Gerätezuordnung
- Vorhandene Benutzerkonten und Lizenzzuordnungen
- Gemeinsam genutzte oder personenbezogene Konten
- Konten ausgeschiedener Mitarbeitender
- Geräte- und Benutzerzuordnungen
- Unnötige Mehrfachausstattung
- Fehlende oder unklare Verantwortlichkeiten
- Nicht zentral verwaltete Beschaffungen einzelner Mitarbeitender oder Abteilungen
Wartungs- und Dienstleistungsverträge
- Laufende Wartungs- und Supportverträge
- Wiederkehrende IT-Dienstleistungen
- Hosting- und Betreuungsverträge
- Überschneidungen zwischen mehreren Dienstleistern
- Leistungen, deren tatsächliche Nutzung oder Zuständigkeit unklar ist
- Vertragsbestandteile, die technisch nicht mehr benötigt werden
- Kritische Abhängigkeiten von einzelnen Dienstleistern
Eine rechtliche oder steuerliche Vertragsprüfung ist nicht Bestandteil des Reviews.
Hardware und Lebenszyklus
- Vorhandene Arbeitsplätze, Server, NAS-Systeme und Netzwerkkomponenten
- Alter, Zustand und tatsächlicher Einsatzzweck
- Systeme, die sinnvoll weiterverwendet werden können
- Überdimensionierte oder kaum ausgelastete Geräte
- Frühzeitig geplante Ersatzbeschaffungen
- Fehlende Standardisierung bei Geräten und Zubehör
- Wirtschaftliche Risiken durch nicht mehr unterstützte Systeme
- Möglichkeiten zur Weiterverwendung, Aufrüstung oder Konsolidierung
Parallel- und Insellösungen
- Mehrere Dateiablagen für dieselben Daten
- Doppelte Kommunikations- oder Projektplattformen
- Unterschiedliche Anwendungen für vergleichbare Aufgaben
- Manuell gepflegte Excel-, Papier- oder Zwischenlösungen
- Schatten-IT und nicht abgestimmte Cloud-Dienste
- Datenbestände ohne klare führende Quelle
- Unnötige Synchronisations- oder Übertragungswege
Arbeitsabläufe und Medienbrüche
Auf Wunsch werden ausgewählte betriebliche Abläufe betrachtet, beispielsweise:
- Wiederholte manuelle Datenerfassung
- Übertragung von Informationen zwischen mehreren Systemen
- Freigaben per E-Mail, Papier oder Messenger
- Manuelle Erstellung wiederkehrender Dokumente
- Unnötige Abstimmungs- und Suchaufwände
- Fehlende Vorlagen oder Standardprozesse
- Erkennbare Möglichkeiten zur Vereinfachung oder Automatisierung
Es handelt sich dabei um eine fokussierte Betrachtung ausgewählter Abläufe und nicht um eine vollständige Unternehmens- oder Prozessberatung.
Anbieterabhängigkeiten und Wechselrisiken
- Abhängigkeit von einzelnen Herstellern oder Dienstleistern
- proprietäre Datenformate und eingeschränkte Exportmöglichkeiten
- fehlende Dokumentation von Zugängen und Verträgen
- zentrale Dienste, die nur durch eine Person verwaltet werden können
- mögliche Kosten und Risiken eines Anbieterwechsels
- fehlende Alternativen oder Rückfallmöglichkeiten
- erkennbare technische und organisatorische Wechselbarrieren
Sie erhalten eine verständliche Zusammenfassung der festgestellten Kosten-, Konsolidierungs- und Effizienzpotenziale.
Enthalten sind:
- Eine Management-Zusammenfassung für Geschäftsführung oder Betriebsverantwortliche
- Eine Übersicht des vereinbarten und tatsächlich betrachteten Umfangs
- Eine Zusammenstellung der wichtigsten Auffälligkeiten
- Eine Einordnung vermeidbarer, unklarer oder nicht nachvollziehbarer Ausgaben
- Hinweise auf ungenutzte oder doppelt vorhandene Lizenzen und Dienste
- Eine Bewertung erkennbarer Parallel- und Insellösungen,
- Hinweise auf Hardware, die weiterverwendet, vereinheitlicht oder gezielt ersetzt werden kann
- Konkrete Vorschläge zur Konsolidierung von Diensten und Verträgen
- Hinweise auf Risiken bei Kündigungen, Ablösungen oder Systemwechseln
- Eine Bewertung kritischer Hersteller- und Dienstleisterabhängigkeiten
- Empfehlungen zur Vereinfachung ausgewählter Arbeitsabläufe
- Eine Priorisierung nach:
- Kurzfristig umsetzbar
- Mittelfristig vorzubereiten
- Strategisch zu entscheiden
- Optional
- ein realistischer 30-, 60- oder 90-Tage-Maßnahmenplan
- eine persönliche Ergebnisbesprechung von bis zu 30 Minuten
Dabei wird zwischen drei Arten von Potenzial unterschieden:
- Direktes Einsparpotenzial
Beispielsweise ungenutzte Lizenzen, doppelte Dienste oder nicht mehr benötigte Verträge. - Vermeidbare Folgekosten
Beispielsweise unnötige Komplexität, fehlende Dokumentation oder kritische Anbieterabhängigkeiten. - Effizienzpotenzial
Beispielsweise vereinfachte Abläufe, weniger manuelle Zwischenschritte oder bessere Nutzung vorhandener Technik.
Nicht jede wirtschaftlich sinnvolle Empfehlung besteht aus einer Kündigung oder Neuanschaffung. Häufig liegt der größte Nutzen in einer besseren Nutzung, Bereinigung oder Standardisierung der vorhandenen Systeme.
Optional separat vereinbar:
- Begleitung bei Vertrags- oder Lizenzbereinigungen
- Technische Konsolidierung
- Migration oder Ablösung bestehender Dienste
- Standardisierung von Geräten und Anwendungen
- Automatisierung ausgewählter Arbeitsabläufe
- Erstellung einer Lizenz- oder Systemdokumentation
- Nachprüfung der umgesetzten Maßnahmen
- Vorgespräch und Zielklärung
Wir klären, welche Kosten, Systeme, Verträge oder Abläufe derzeit besonders unübersichtlich oder belastend sind. - Scope und Festpreis
Die betrachteten Dienste, Verträge, Geräte, Standorte und optionalen Arbeitsabläufe werden schriftlich festgelegt. Anschließend erhalten Sie den verbindlichen Festpreis. - Bereitstellung der Unterlagen
Sie stellen vorhandene Rechnungen, Vertragsinformationen, Lizenzübersichten, Benutzerzahlen und Systeminformationen bereit. - Strukturierte Bestandsaufnahme
Die vorhandenen Dienste, Lizenzen, Verträge, Geräte und ausgewählten Abläufe werden erfasst und sinnvoll gruppiert. - Prüfung und Einordnung
Überschneidungen, ungenutzte Leistungen, Kostenrisiken, Abhängigkeiten und erkennbare Effizienzpotenziale werden bewertet. - Rückfragen und Plausibilisierung
Offene Punkte werden mit der zuständigen Ansprechperson oder dem vorhandenen IT-Dienstleister abgestimmt. - Ergebnisbericht
Sie erhalten eine verständliche Zusammenfassung mit priorisierten Empfehlungen und einem realistischen Maßnahmenplan. - Ergebnisbesprechung
Die wichtigsten Feststellungen, Risiken und nächsten Schritte werden gemeinsam erläutert. - Optionale Umsetzung
Bereinigungen, technische Änderungen, Migrationen oder Prozessverbesserungen können intern, durch Ihren bestehenden Dienstleister oder in einem separaten Auftrag durch Layer 8 umgesetzt werden.
Für eine effiziente Durchführung werden typischerweise benötigt:
- Eine autorisierte geschäftliche Ansprechperson
- Eine Ansprechperson für organisatorische oder kaufmännische Rückfragen
- Bei Bedarf eine technische Ansprechperson oder ein vorhandener IT-Dienstleister
- Eine Übersicht der eingesetzten Software- und Cloud-Dienste
- Relevante Rechnungen, Vertragsinformationen oder Kontoauszüge
- Angaben zu Benutzerzahlen und verwendeten Geräten
- Informationen zu Standorten und zentralen Systemen
- Vorhandene Lizenz-, Geräte- oder Vertragsübersichten
- Angaben zu wiederkehrenden Wartungs- und Supportleistungen
- Eine Beschreibung ausgewählter Arbeitsabläufe, sofern diese betrachtet werden sollen
- Vorhandene IT-Dokumentation, soweit verfügbar
- Eine schriftliche Freigabe des vereinbarten Prüfumfangs
Fehlende Dokumentation verhindert das Review nicht. Gerade in gewachsenen IT-Umgebungen ist eine unvollständige Übersicht häufig Teil der Ausgangssituation.
Eine fehlende oder stark veraltete Dokumentation kann jedoch zusätzlichen Erfassungs- und Abstimmungsaufwand verursachen. Dieser Einfluss wird bei der Scope- und Preiskalkulation vor Beginn berücksichtigt.
Falls Vertragsunterlagen oder Rechnungen personenbezogene oder nicht relevante vertrauliche Informationen enthalten, können diese vor der Bereitstellung geschwärzt werden. Benötigt werden nur die für den vereinbarten Prüfumfang erforderlichen Angaben.
Das Kosten- und Effizienzreview ist eine strukturierte technische und organisatorische Bestandsaufnahme.
Sofern nicht ausdrücklich separat vereinbart, sind folgende Leistungen nicht enthalten:
- Steuerliche Beratung
- Rechtliche Vertragsprüfung
- Prüfung von Allgemeinen Geschäftsbedingungen
- Verbindliche Bewertung von Kündigungsfristen oder Rechtsfolgen
- Vollständige Buchhaltungs- oder Kostenstellenprüfung
- Vollständige Unternehmens- oder Prozessberatung
- Detaillierte Wirtschaftlichkeitsberechnung sämtlicher Geschäftsprozesse
- Automatische Kündigung oder Änderung bestehender Verträge
- Verhandlungen mit Herstellern oder Dienstleistern
- Bestellung, Beschaffung oder Verkauf neuer Hard- und Software
- Technische Migrationen innerhalb des Review-Preises
- Änderung produktiver Systeme oder Benutzerkonten
- Vollständige Inventarisierung sämtlicher Geräte ohne entsprechenden Scope
- Erstellung einer vollständigen Lizenzbilanz für komplexe Herstellerprogramme
- Verbindliche Lizenz-Compliance-Prüfung
- Garantie eines bestimmten Einsparbetrags
- Garantie, dass empfohlene Änderungen ohne technische oder organisatorische Nebenwirkungen umgesetzt werden können
- Dauerhafte Kostenüberwachung oder laufendes Lizenzmanagement
Vor Kündigungen, Vertragsänderungen oder größeren Migrationen sollten technische, organisatorische und gegebenenfalls rechtliche Auswirkungen gesondert geprüft werden.
Möchten Sie Klarheit über Ihre laufenden IT-Kosten und gewachsenen Strukturen?
Das Kosten- und Effizienzreview startet bei 390 € netto.
Der konkrete Prüfumfang und Festpreis richten sich nach der Anzahl der Dienste, Verträge, Benutzer, Geräte, Standorte und optional betrachteten Arbeitsabläufe.
Unverbindliche Ersteinschätzung · herstellerunabhängige Bewertung · Festpreis vor Beginn
Sicherheit & Infrastruktur Basic
IT-Sicherheitsreview Basis
Für Betriebe, die wissen möchten, ob ihre grundlegenden Schutzmaßnahmen sauber eingerichtet sind und wo konkreter Handlungsbedarf besteht.
Im IT-Sicherheitsreview Basis prüfe ich die zentralen Komponenten Ihrer IT-Umgebung – darunter Router oder Firewall, WLAN, Arbeitsplätze, NAS oder Server, Backups, Benutzerkonten und Fernzugriffe.
Sie erhalten keine ungewichtete Liste technischer Auffälligkeiten, sondern eine verständliche Bewertung und klar priorisierte Maßnahmen für mehr Sicherheit und Ausfallschutz.
Unverbindliche Ersteinschätzung · klar definierter Scope · Festpreis vor Beginn
Auf einen Blick
ab 390 € netto
- Remote oder vor Ort möglich
- Für einen Standort und eine überschaubare IT-Umgebung
- Prüfung zentraler Systeme und Schutzmaßnahmen
- Verständliche Sicherheitsbewertung
- Priorisierte Handlungsempfehlungen
- Schriftliche Ergebniszusammenfassung
- Persönliche Ergebnisbesprechung bis 30 Minuten Umsetzung auf Wunsch separat möglich
Der Startpreis richtet sich typischerweise an kleine Umgebungen mit einem Standort, einer zentralen Netzwerkkomponente, wenigen Server- oder NAS-Systemen und bis zu etwa zehn Arbeitsplätzen. Der konkrete Festpreis wird vor Beginn anhand des vereinbarten Prüfumfangs festgelegt.
Das IT-Sicherheitsreview Basis eignet sich für kleine und mittelständische Betriebe mit einer überschaubaren, häufig über mehrere Jahre gewachsenen IT-Umgebung.
Es ist besonders sinnvoll, wenn:
- Bisher keine unabhängige Sicherheitsprüfung durchgeführt wurde
- Unklar ist, ob Router, Firewall, WLAN und Fernzugriffe sicher eingerichtet sind
- Backups vorhanden sind, aber deren Zustand oder Wiederherstellbarkeit nicht eindeutig dokumentiert ist
- Administratorrechte und Benutzerzugänge historisch gewachsen sind
- Mehrere Mitarbeitende, Geräte oder externe Dienstleister Zugriff auf zentrale Systeme besitzen
- Eine verständliche Zweitmeinung vor einer Investition oder technischen Umstellung benötigt wird
- Die Geschäftsführung wissen möchte, welche Risiken zuerst behandelt werden sollten
Das Review ist als strukturierte Bestandsaufnahme gedacht. Es eignet sich nicht als Ersatz für einen Penetrationstest oder eine vollständige Prüfung komplexer Unternehmensumgebungen.
Der genaue Prüfumfang wird vor Beginn schriftlich festgelegt.
Typischerweise werden die folgenden Bereiche betrachtet:
Netzwerk und Internetzugang
- Router- beziehungsweise Firewall-Grundkonfiguration
- Firmware- und Aktualisierungsstand öffentlich erreichbare Verwaltungsoberflächen
- Portfreigaben und Weiterleitungen
- Grundlegende Trennung interner Netze und Gastzugänge
- Unnötige oder riskante Dienste wie unkontrolliertes UPnP
WLAN und Netzwerksegmentierung
- Verwendete Verschlüsselung
- Umgang mit WLAN-Schlüsseln
- Trennung von Gäste-, Büro- und gegebenenfalls Produktions- oder IoT-Netzen
- Zugriffsmöglichkeiten zwischen den Netzwerkbereichen
Benutzerkonten und Berechtigungen
- Vorhandene Administrator- und Standardkonten
- Lokale Administratorrechte
- Mehrfaktor-Authentifizierung bei kritischen Diensten
- Gemeinsam genutzte oder nicht mehr benötigte Konten
- Grundlegende Rollen- und Rechteverteilung
Fernzugriffe
- VPN-Zugänge
- Remote-Desktop- und Fernwartungslösungen
- Zugriffsmöglichkeiten externer Dienstleister
- Absicherung und Nachvollziehbarkeit von Fernzugriffen
Arbeitsplätze, Server und NAS-Systeme
- Aktualisierungs- und Patchstand eingesetzter Endgeräteschutz
- Veraltete oder nicht mehr unterstützte Systeme
- Zentrale Freigaben und grundlegende Zugriffskontrollen
- Auffällige oder unnötige Dienste
Backup und Wiederherstellung
- Sicherungsumfang und Sicherungsintervalle
- Speicherziele und Trennung vom Produktivsystem
- Schutz vor Überschreiben oder Verschlüsselung
- Status der letzten erfolgreichen Sicherungen
- Vorhandene Nachweise über Wiederherstellungstests
- Zuständigkeiten bei einem Ausfall
Dokumentation und Notfallorganisation
- Vorhandene System- und Zugangsdokumentation
- Benennung technischer Verantwortlichkeiten
- Notfallkontakte Abhängigkeit von einzelnen Personen oder Dienstleistern
- Grundlegende Wiederanlaufreihenfolge kritischer Systeme
Die Prüfung erfolgt stichprobenartig und entsprechend dem vereinbarten Scope.
Änderungen an produktiven Systemen werden niemals ohne ausdrückliche Freigabe vorgenommen.
Sie erhalten eine verständliche schriftliche Auswertung der geprüften Bereiche.
Enthalten sind:
- Eine Management-Zusammenfassung für Geschäftsführung oder Betriebsverantwortliche
- Eine Übersicht des vereinbarten und tatsächlich geprüften Umfangs
- Eine Bewertung der wichtigsten Feststellungen
- Eine Priorisierung nach:
- Sofortigem Handlungsbedarf
- Kurzfristig sinnvollen Maßnahmen,
- Späteren oder optionalen Verbesserungen
- Eine Erläuterung der möglichen geschäftlichen Auswirkungen
- Konkrete technische und organisatorische Handlungsempfehlungen
- Hinweise auf kritische Abhängigkeiten und fehlende Dokumentation
- Eine persönliche Ergebnisbesprechung von bis zu 30 Minuten.
Die Auswertung ist so aufgebaut, dass die empfohlenen Maßnahmen durch Ihre interne IT, Ihren bestehenden IT-Dienstleister oder auf Wunsch durch Layer 8 umgesetzt werden können.
- Kurzes Vorgespräch
Wir klären Ihre aktuelle Situation, bekannte Probleme und das gewünschte Ergebnis. - Scope und Festpreis
Systeme, Standorte, Zugriffe, Prüftiefe und Ausschlüsse werden schriftlich festgelegt. Anschließend erhalten Sie den verbindlichen Preis. - Vorbereitung
Sie stellen vorhandene Dokumentation, Systeminformationen und die vereinbarten Zugriffsmöglichkeiten bereit. - Durchführung
Die Prüfung erfolgt remote, per gemeinsamer Bildschirmfreigabe oder vor Ort – abhängig vom vereinbarten Scope. - Auswertung
Feststellungen werden nicht nur technisch dokumentiert, sondern nach Risiko und betrieblicher Relevanz eingeordnet. - Ergebnisbesprechung
Die wichtigsten Erkenntnisse und nächsten Maßnahmen werden gemeinsam besprochen. - Optionale Umsetzung
Maßnahmen können intern, durch Ihren vorhandenen IT-Dienstleister oder in einem separaten Auftrag durch Layer 8 umgesetzt werden.
Für eine effiziente Durchführung werden typischerweise benötigt:
- Eine autorisierte Ansprechperson
- Eine Übersicht der eingesetzten Geräte und zentralen Systeme
- Angaben zu Standorten, Benutzern und Fernzugriffen
- Vorhandene Netzwerk- und Systemdokumentation
- Informationen zu Backups und zuständigen Dienstleistern
- Zeitlich begrenzte geeignete Zugriffe oder eine gemeinsame Bildschirmfreigabe
- Eine schriftliche Freigabe des vereinbarten Prüfumfangs
- Ein Ansprechpartner für technische Rückfragen
Eine Fehlende Dokumentation verhindert das Review nicht. Ich weiß, das genau dies die Ausgangslage vieler gewachsener Unternehmen ist. Beachten Sie jedoch, dass eine fehlende Dokumentation den erforderlichen Aufwand und damit den endgültigen Preis beeinflussen kann. Außerdem wir eine fehlende Dokumentation selbst als höheres Risiko bewertet.
Dauerhafte Passwörter sollten nicht unverschlüsselt per E-Mail übermittelt werden.
Der konkrete Zugangs- und Übertragungsweg wird vor Beginn abgestimmt.
Das IT-Sicherheitsreview Basis ist eine strukturierte Sicherheitsbestandsaufnahme.
Nicht enthalten sind:
- Penetrationstests oder aktive Ausnutzung von Schwachstellen
- Angriffssimulationen gegen Mitarbeitende oder Systeme
- Vollständige Schwachstellenscans sämtlicher Geräte
- Umfassende Prüfung mehrerer Standorte oder komplexer Netzwerkstrukturen
- Vollständige Microsoft-365-, Cloud- oder Active-Directory-Audits
- Vollständige Wiederherstellung produktiver Systeme
- Technische Änderungen und Fehlerbehebungen innerhalb des Review-Preises
- Migrationen, Neuinstallationen oder Beschaffung von Hard- und Software
- Permanente Überwachung oder laufender Managed Service
- Rechtliche Prüfung oder verbindliche DSGVO-Bewertung
- Garantie, dass keine weiteren oder bislang unbekannten Schwachstellen bestehen
Ein vollständiger Wiederherstellungstest, ein tiefergehendes Cloud Audit oder ein Penetrationstest kann bei Bedarf separat vereinbart werden.
Passt das IT-Sicherheitsreview Basis zu Ihrer Umgebung?
Für kleine und überschaubare IT-Umgebungen startet das Review bei 390 € netto. Der konkrete Prüfumfang und Festpreis werden vor Beginn schriftlich vereinbart.
Für komplexere IT-Umgebungen
IT-Sicherheitsreview Plus
Für Unternehmen mit mehreren Arbeitsplätzen, Server- oder NAS-Systemen, Microsoft 365, zentralen Benutzerstrukturen, komplexeren Fernzugriffen oder erhöhtem Schutzbedarf.
Das IT-Sicherheitsreview Plus geht über die grundlegende Bestandsaufnahme hinaus. Neben Netzwerk, Zugängen, Backups und zentralen Systemen werden ausgewählte sicherheitsrelevante Konfigurationen vertieft und stichprobenartig geprüft.
Sie erhalten eine belastbare Sicherheitsbewertung mit klaren Prioritäten, konkreten Maßnahmen und einem realistischen 30-, 60- oder 90-Tage-Plan für die weitere Absicherung.
Auf einen Blick
ab 790 € netto
- Remote oder vor Ort möglich
- Vor-Ort-Termin bei komplexeren Umgebungen empfohlen
- Vertiefte Prüfung ausgewählter Zugänge Rechte und Konfigurationen
- Betrachtung zentraler Server-, NAS- und Cloud-Strukturen
- Erweiterte Bewertung von Backups, Fernzugriffen und Netzwerksicherheit
- Stichprobenartige Prüfung technischer Schutzmaßnahmen
- Sichtprüfung physischer IT-Schutzmaßnahmen bei Vor-Ort-Terminen
- Schriftlicher Ergebnisbericht priorisierter 30-, 60- oder 90-Tage-Maßnahmenplan
- Persönliche Ergebnisbesprechung bis 60 Minuten
Der Startpreis gilt typischerweise für einen Standort mit klar begrenztem Prüfumfang, einer zentralen Firewall, einer überschaubaren Benutzerstruktur und einer begrenzten Zahl zentraler Server-, NAS- oder Cloud-Systeme.
Mehrere Standorte, umfangreiche Domänenstrukturen, Produktionsnetze oder tiefgehende Microsoft-365- beziehungsweise Active-Directory-Prüfungen werden individuell kalkuliert. Der konkrete Scope und Festpreis werden vor Beginn schriftlich vereinbart.
Das IT-Sicherheitsreview Plus eignet sich für kleine und mittelständische Unternehmen, deren IT-Umgebung über eine einfache Router-, NAS- und Arbeitsplatzstruktur hinausgeht.
Es ist besonders sinnvoll, wenn:
- Mehrere Server-, NAS- oder Cloud-Systeme eingesetzt werden
- Zentrale Benutzer- oder Domänenstrukturen vorhanden sind
- Microsoft 365 oder vergleichbare Cloud-Dienste geschäftskritisch genutzt werden
- Mehrere Benutzergruppen oder Administratoren unterschiedliche Berechtigungen besitzen
- Externe Dienstleister oder Mitarbeitende regelmäßig per Fernzugriff auf Systeme zugreifen
- Mehrere Netzwerkbereiche, VLANs, Gäste-, IoT- oder Produktionsnetze vorhanden sind
- Backups über mehrere Systeme oder Speicherorte verteilt sind
- Ein erhöhter Schutzbedarf aufgrund sensibler Daten oder kritischer Betriebsabläufe besteht
- Eine größere technische Veränderung, Migration oder Investition vorbereitet wird
- Die Geschäftsführung eine belastbarere Zweitmeinung zur bestehenden Sicherheitsarchitektur benötigt
Das Plus-Review eignet sich auch als Grundlage für anschließende Härtungsmaßnahmen, eine technische Modernisierung oder die Vorbereitung eines separat beauftragten Penetrationstests.
Der genaue Prüfumfang wird vor Beginn schriftlich festgelegt.
Die Prüfung erfolgt risikoorientiert und stichprobenartig.
Je nach vereinbartem Scope können insbesondere folgende Bereiche betrachtet werden:
Netzwerkarchitektur und Segmentierung
- Router- und Firewall-Grundkonfiguration
- Vorhandene Netzwerkzonen und VLANs Trennung von Büro-, Gäste-, IoT- und gegebenenfalls Produktionsnetzen
- Freigegebene Kommunikationswege zwischen Netzwerkbereichen
- Öffentlich erreichbare Dienste und Portweiterleitungen
- Administrative Zugänge zu Netzwerkkomponenten
- Firmware- und Aktualisierungsstand zentraler Komponenten
- Unnötige oder historisch gewachsene Freigaben
Benutzerkonten, Rollen und privilegierte Zugänge
- Administrative und privilegierte Konten
- Lokale und zentrale Administratorrechte
- Gemeinsam genutzte oder nicht mehr benötigte Konten Rollen- und Gruppenstrukturen
- Mehrfaktor-Authentifizierung bei kritischen Diensten und Benutzerkonten
- Umgang mit Notfall- und Dienstkonten
- Berechtigungen externer IT-Dienstleister
- Grundlegende Prozesse bei Eintritt, Rollenwechsel und Austritt von Mitarbeitenden
Server-, NAS- und zentrale Systemstrukturen
- Aktualisierungs- und Patchstand ausgewählter Systeme
- Unterstützte beziehungsweise nicht mehr unterstützte Betriebssysteme
- Zentrale Freigaben und Berechtigungsstrukturen
- Administrative Schnittstellen
- Unnötige oder riskante Dienste
- Grundsätzliche Härtung ausgewählter Systeme
- Abhängigkeiten zwischen zentralen Diensten
- Dokumentation und Verantwortlichkeiten
Microsoft 365 und vergleichbare Cloud-Dienste
Je nach vereinbartem Scope:
- grundlegende Mandanten- und Administrationsstruktur
- Privilegierte Rollen
- Mehrfaktor-Authentifizierung
- Externe Freigaben und Gastzugänge
- Grundlegende Richtlinien für Anmeldung und Zugriff
- Auffällige oder veraltete Benutzerkonten
- Grundlegende E-Mail-Schutzmaßnahmen
- Kritische Abhängigkeiten und Wiederherstellungswege
Fernzugriffe und externe Dienstleister
- VPN- und Fernwartungslösungen
- Remote-Desktop-Zugänge
- Administrative Zugänge aus externen Netzen
- Mehrfaktor-Authentifizierung
- Zeitliche oder organisatorische Begrenzung externer Zugänge
- Nachvollziehbarkeit und Verantwortlichkeiten
- Nicht mehr benötigte Zugänge
- Notfallzugänge und alternative Zugriffswege
Backup und Wiederherstellung
- Sicherungsumfang und Sicherungsintervalle
- Auswahl geschäftskritischer Systeme und Daten
- Speicherorte und Trennung vom Produktivsystem
- Offline-, ausgelagerte oder gegen Veränderung geschützte Sicherungen
- Schutz der Backup-Infrastruktur
- Status und Nachvollziehbarkeit der letzten Sicherungen
- Vorhandene Wiederherstellungstests
- Abhängigkeiten von einzelnen Personen oder Dienstleistern
- Grundsätzliche Wiederanlaufreihenfolge
Protokollierung, Überwachung und Reaktionsfähigkeit
- vorhandene Protokollierungs- und Warnmechanismen
- Zuständigkeit für Sicherheitsmeldungen
- Überwachung kritischer Dienste
- Grundlegende Aufbewahrung relevanter Protokolle
- Vorhandene Alarmierungs- und Eskalationswege
- Umgang mit verdächtigen Anmeldungen oder Systemverhalten
Physische IT-Schutzmaßnahmen
Bei einem Vor-Ort-Termin stichprobenartig:
- Zugang zu Server-, Netzwerk- und Backup-Systemen
- Schutz zentraler Netzwerkverteiler
- Offen zugängliche Netzwerkanschlüsse
- Unterbringung und Trennung von Backup-Medien
- Stromversorgung und grundlegende Ausfallvorsorge
- Sichtbare Risiken durch frei zugängliche Geräte oder Datenträger
Dokumentation und Notfallorganisation
- Netzwerk- und Systemübersichten
- Zugangsdokumentation
- Verantwortlichkeiten und Notfallkontakte
- Abhängigkeit von Schlüsselpersonen
- Vorhandene Wiederanlauf- oder Notfallpläne
- Sichere Aufbewahrung kritischer Informationen
- Grundsätzliche Handlungsfähigkeit bei Ausfall eines Dienstleisters oder Administrators
Technische Prüfungen erfolgen nur innerhalb des schriftlich freigegebenen Scopes. Produktive Systeme werden nicht ohne ausdrückliche Freigabe verändert. Schwachstellen werden im Rahmen dieses Reviews nicht aktiv ausgenutzt.
Sie erhalten einen strukturierten Ergebnisbericht, der technische Feststellungen in verständliche betriebliche Risiken und priorisierte Maßnahmen übersetzt.
Enthalten sind:
- eine Management-Zusammenfassung für Geschäftsführung und Betriebsverantwortliche
- Eine Beschreibung des vereinbarten und tatsächlich geprüften Scopes
- Eine Übersicht der betrachteten Systeme und Bereiche
- Eine Risikobewertung der wichtigsten Feststellungen
- Eine Einordnung nach:
- kritisch beziehungsweise sofort zu behandeln
- kurzfristig erforderlich
- optional oder strategisch
- eine Beschreibung möglicher geschäftlicher Auswirkungen
- konkrete technische und organisatorische Empfehlungen
- Hinweise auf fehlende Dokumentation und kritische Abhängigkeiten
- Ein realistischer 30-, 60- oder 90-Tage-Maßnahmenplan
- Eine Zuordnung möglicher Verantwortlichkeiten
- Eine persönliche Ergebnisbesprechung von bis zu 60 Minuten
Der Bericht ist so aufgebaut, dass Ihre interne IT, Ihr bestehender IT-Dienstleister oder Layer 8 die empfohlenen Maßnahmen nachvollziehbar weiterbearbeiten kann.
Optional separat vereinbar:
- Begleitung der Maßnahmenumsetzung
- Technische Härtung
- Erstellung oder Überarbeitung der Dokumentation
- Nachprüfung umgesetzter Maßnahmen
- Vertiefte Cloud-, Microsoft-365- oder Active-Directory-Prüfung
- Penetrationstest nach definiertem Scope
- Vorgespräch und Zielklärung
Wir klären die aktuelle IT-Situation, bekannte Risiken, geschäftskritische Systeme und das gewünschte Ergebnis. - Scope und Festpreis
Standorte, Systeme, Cloud-Dienste, Benutzerstrukturen, Prüftiefe und Ausschlüsse werden schriftlich festgelegt. - Vorbereitung
Vorhandene Dokumentation, Systemübersichten, Ansprechpartner und geeignete Zugriffsmöglichkeiten werden abgestimmt. - Technische und organisatorische Prüfung
Die Durchführung erfolgt remote, per gemeinsamer Bildschirmfreigabe, vor Ort oder kombiniert. - Zwischenmeldung bei kritischen Feststellungen
Bei unmittelbar erkennbarem erheblichem Handlungsbedarf wird die benannte Ansprechperson zeitnah informiert. - Auswertung und Priorisierung
Die Feststellungen werden nach technischer Schwere, geschäftlicher Auswirkung und erforderlichem Zeitrahmen bewertet. - Berichtserstellung
Sie erhalten einen verständlichen Ergebnisbericht und einen priorisierten Maßnahmenplan. - Ergebnisbesprechung
Die wichtigsten Feststellungen und nächsten Schritte werden in einem Termin von bis zu 60 Minuten erläutert. - Optionale Umsetzung oder Nachprüfung
Maßnahmen können intern, durch Ihren vorhandenen Dienstleister oder separat durch Layer 8 umgesetzt und anschließend überprüft werden.
Für eine effiziente und belastbare Durchführung werden typischerweise benötigt:
- eine autorisierte geschäftliche Ansprechperson
- Eine technische Ansprechperson oder ein verfügbarer IT-Dienstleister
- Eine aktuelle oder zumindest grundlegende Systemübersicht
- Angaben zu Standorten, Benutzern und geschäftskritischen Diensten
- Vorhandene Netzwerk-, Server- und Cloud-Dokumentation
- Informationen zu Administratoren und externen Zugängen
- Angaben zu Backups und Wiederherstellungsprozessen
- Geeignete zeitlich begrenzte Zugriffe oder gemeinsame Bildschirmfreigaben
- Ein festgelegtes Prüfzeitfenster
- Eine schriftliche Freigabe des vereinbarten Scopes
- Ein erreichbarer Notfallkontakt während technischer Prüfungen
Fehlende Dokumentation verhindert das Review nicht. Sie kann jedoch den Prüfaufwand erhöhen und wird gegebenenfalls selbst als organisatorisches Risiko dokumentiert.
Dauerhafte Passwörter oder sensible Zugangsdaten sollten nicht unverschlüsselt per E-Mail übermittelt werden. Geeignete Übertragungs- und Zugangswege werden vor Beginn abgestimmt.
Das IT-Sicherheitsreview Plus ist eine vertiefte, risikoorientierte Sicherheitsbestandsaufnahme.
Sofern nicht ausdrücklich separat vereinbart, sind folgende Leistungen nicht enthalten:
- aktive Ausnutzung von Schwachstellen
- Penetrationstest oder Red-Team-Angriffssimulation
- Social Engineering oder Phishing-Simulationen
- Vollständiger Schwachstellenscan aller Systeme
- Vollständige Prüfung sämtlicher Benutzer, Gruppen und Berechtigungen
- Vollständiges Active-Directory-, Entra-ID- oder Microsoft-365-Audit
- Quellcodeprüfung oder Anwendungssicherheitstest
- Vollständige Prüfung von Produktions-, Maschinen- oder OT-Netzen
- Unangekündigte technische Tests
- Produktive Änderungen oder Fehlerbehebungen
- Innerhalb des Review-Preises
- Vollständige Wiederherstellung produktiver Systeme
- Migrationen oder Neuinstallationen
- Beschaffung von Hard- oder Software
- Dauerhafte Überwachung oder Managed Security Service
- Verbindliche Zertifizierung oder Compliance-Bestätigung
- Rechtliche Prüfung oder verbindliche Datenschutzbewertung
- Garantie, dass keine weiteren oder bislang unbekannten Schwachstellen bestehen
Vertiefte technische Prüfungen können auf Basis der Ergebnisse separat beauftragt werden.
Benötigt Ihre IT eine vertiefte Sicherheitsbewertung?
Das IT-Sicherheitsreview Plus startet bei 790 € netto. Der konkrete Prüfumfang und Festpreis richten sich nach Standorten, Benutzerzahlen, zentralen Systemen, Cloud-Diensten, vorhandener Dokumentation und gewünschter Prüftiefe.
Unverbindliche Ersteinschätzung · schriftlich definierter Scope · Festpreis vor Beginn
Datenstandorte und Anbieterabhängigkeiten
Datenhoheitsreview
Für Unternehmen, die nachvollziehen möchten, wo ihre geschäftskritischen Daten liegen, wer darauf zugreifen kann und wie abhängig der Betrieb von einzelnen Cloud-, Software- oder IT-Anbietern ist.
Im Datenhoheitsreview erfasse ich zentrale Datenablagen, Cloud-Dienste, E-Mail-Systeme, Backups und relevante Anbieterbeziehungen. Dabei betrachte ich unter anderem Datenstandorte, Exportmöglichkeiten, Wiederherstellungswege und technische Wechselbarrieren.
Sie erhalten keine pauschale Empfehlung gegen Cloud-Dienste und keine ideologische Produktliste, sondern eine verständliche Bewertung Ihrer Abhängigkeiten und realistische Optionen für mehr Kontrolle, Resilienz und Wechselmöglichkeit.
Auf einen Blick
ab 490 € netto
- remote oder vor Ort möglich
- Übersicht zentraler Datenablagen und Cloud-Dienste
- Betrachtung von Datenstandorten und Zugriffswegen
- Bewertung kritischer Anbieterabhängigkeiten
- Prüfung grundlegender Export- und Wechselmöglichkeiten
- Betrachtung von Backup und Wiederherstellbarkeit
- Priorisierte Empfehlungen für mehr Datenhoheit
- Schriftliche Ergebniszusammenfassung
- Persönliche Ergebnisbesprechung bis 30 Minuten
- Umsetzung oder Migration auf Wunsch separat möglich
- Bevorzugt deutsche und europäische Produkte
Der Startpreis gilt typischerweise für einen Standort mit einer überschaubaren Anzahl zentraler E-Mail-, Dateiablage-, Backup- und Cloud-Dienste.
Mehrere Gesellschaften, Standorte, umfangreiche Microsoft-365-Umgebungen, komplexe Datenflüsse oder eine detaillierte Migrationsplanung werden individuell kalkuliert. Der konkrete Scope und Festpreis werden vor Beginn schriftlich vereinbart.
Das Datenhoheitsreview eignet sich für kleine und mittelständische Unternehmen, die ihre Datenablagen, Cloud-Dienste und Anbieterabhängigkeiten transparenter und kontrollierbarer gestalten möchten.
Es ist besonders sinnvoll, wenn:
- Unklar ist, wo geschäftskritische Daten tatsächlich gespeichert werden
- Mehrere Cloud-, Dateiablage- oder Kollaborationsdienste parallel eingesetzt werden
- Mitarbeitende Daten auf persönlichen oder nicht zentral verwalteten Konten speichern
- Ein Anbieterwechsel technisch oder organisatorisch kaum möglich erscheint
- Nicht bekannt ist, in welchen Formaten Daten exportiert werden können
- Backups ausschließlich innerhalb desselben Cloud- oder Anbieterökosystems liegen
- Zentrale Zugänge und Vertragsbeziehungen nur einzelnen Personen bekannt sind
- Kosten und Funktionsüberschneidungen verschiedener Dienste schwer nachvollziehbar sind
- Europäische, regionale oder selbst kontrollierbare Alternativen geprüft werden sollen
- Eine Cloud-Migration, Konsolidierung oder Ablösung vorbereitet wird
- Die Geschäftsführung eine unabhängige Entscheidungsgrundlage benötigt
Das Review verfolgt keinen pauschalen „Cloud versus On-Premises“-Ansatz. Entscheidend sind der betriebliche Nutzen, die Risiken, die Gesamtkosten und die langfristige Handlungsfähigkeit.
Der genaue Prüfumfang wird vor Beginn schriftlich festgelegt.
Typischerweise werden die folgenden Bereiche betrachtet:
Datenablagen und geschäftskritische Informationen
- Zentrale Dateiablagen und Freigaben
- Cloud-Speicher und Kollaborationsplattformen
- Lokale Server- und NAS-Systeme
- Daten in Fachanwendungen
- Dezentrale Ablagen auf Arbeitsplätzen oder mobilen Geräten
- Persönliche beziehungsweise nicht zentral verwaltete Konten
- Erkennbare Doppelablagen und Schatten-IT
- Grundsätzliche Verantwortlichkeiten für wichtige Datenbestände
E-Mail und Zusammenarbeit
- Eingesetzte E-Mail-Plattformen Kalender-, Kontakt- und Kollaborationsdienste Chat-, Videokonferenz- und Projektplattformen
- Externe Freigaben und Gastzugänge
- Gemeinsam genutzte Postfächer und Funktionskonten
- Export- und Archivierungsmöglichkeiten
- Abhängigkeiten von einzelnen Mandanten, Konten oder Administratoren
Datenstandorte und Anbieterstruktur
- bekannte Speicher- und Verarbeitungsstandorte
- Eingesetzte Cloud-, Hosting- und Softwareanbieter
- Unmittelbare und erkennbare Unterauftragnehmer
- Zentrale Vertrags- und Kontoinhaber
- Technische und organisatorische Zugriffsmöglichkeiten
- Abhängigkeiten von einzelnen Dienstleistern
- Vorhandene Alternativen und Ausweichmöglichkeiten
Die rechtliche Bewertung von Verträgen, Auftragsverarbeitungsvereinbarungen oder internationalen Datentransfers ist nicht Bestandteil des technischen Reviews.
Exportierbarkeit und Wechselmöglichkeiten
- Verfügbare Exportfunktionen nutzbare Datenformate
- Vollständigkeit und praktische Verwendbarkeit von Exporten
- Export von Metadaten, Berechtigungen und Versionsständen
- Abhängigkeit von proprietären Dateiformaten oder Schnittstellen
- Möglichkeiten zur automatisierten Datenübernahme
- Aufwand einer späteren Migration
- Erkennbare Kündigungs-, Übergangs- und Rückfallrisiken
Benutzerkonten und administrative Kontrolle
- Eigentümerschaft zentraler Mandanten und Konten
- Administrative Rollen
- Vorhandene Notfallzugänge
- Mehrfaktor-Authentifizierung bei kritischen Diensten
- Abhängigkeit von privaten E-Mail-Adressen oder Einzelpersonen
- Umgang mit ausgeschiedenen Mitarbeitenden
- Zugriffsmöglichkeiten externer Dienstleister
- Grundlegende Dokumentation administrativer Zugänge
Backup und Wiederherstellung
- Vorhandene Sicherungen zentraler Datenbestände
- Unabhängigkeit der Backups vom primären Anbieter
- Speicherorte und Aufbewahrungszeiten
- Schutz vor Löschen, Überschreiben und Verschlüsselung
- Export- oder Wiederherstellungsmöglichkeiten
- Vorhandene Wiederherstellungstests
- Verantwortlichkeiten im Ausfallfall
- Abhängigkeit von einzelnen Zugangsdaten oder Dienstleistern
Kosten und Doppelstrukturen
- Parallel eingesetzte Dienste mit ähnlichem Funktionsumfang
- Ungenutzte oder schwer nachvollziehbare Konten und Lizenzen
- Datenablagen, die unnötig mehrfach vorgehalten werden
- Kosten für Speicher, Zusatzfunktionen und Datenausleitung
- Mögliche Folgekosten eines Anbieterwechsels
- Erkennbare Wechsel- oder Kündigungshürden
Datenschutzorientierte technische Gestaltung
- Möglichkeiten zur Datenminimierung
- Trennung unterschiedlicher Datenarten und Benutzergruppen
- Technische Zugriffsbeschränkungen
- Verschlüsselung und Schlüsselkontrolle
- Protokollierung administrativer Zugriffe
- Aufbewahrungs- und Löschmöglichkeiten
- Technisch verfügbare europäische oder selbst kontrollierbare Alternativen
Betrachtet werden technische und organisatorische Abhängigkeiten im vereinbarten Scope. Es erfolgt keine Rechtsberatung und keine verbindliche Feststellung der Datenschutzkonformität.
Sie erhalten eine verständliche Übersicht darüber, wo Ihre zentralen Daten liegen, welche Abhängigkeiten bestehen und welche Maßnahmen Ihre Handlungsfähigkeit verbessern können.
Enthalten sind:
- Eine Management-Zusammenfassung für Geschäftsführung und Betriebsverantwortliche
- Eine Übersicht der betrachteten Datenablagen und Dienste
- Eine Darstellung zentraler Anbieter- und Zugriffsabhängigkeiten
- Eine Bewertung kritischer Datenbestände
- Hinweise auf unklare Eigentümerschaft oder administrative Einzelabhängigkeiten
- Eine Einordnung der Export- und Wechselmöglichkeiten
- Eine Bewertung grundlegender Backup- und Wiederherstellungswege
- Eine Übersicht erkennbarer Doppelstrukturen und Kostenrisiken
- Priorisierte technische und organisatorische Handlungsempfehlungen
- eine Einteilung in:
- Sofort zu klären
- Kurzfristig sinnvoll
- Strategisch vorzubereiten
- Optional
- realistische Optionen zur Konsolidierung oder schrittweisen Migration
- eine persänliche Ergebnisbesprechung von bis zu 30 Minuten
Die Empfehlungen können ausdrücklich auch darin bestehen, eine vorhandene Lösung beizubehalten. Ein Austausch wird nur empfohlen, wenn der erwartbare Nutzen, die Risiken und der notwendige Aufwand in einem sinnvollen Verhältnis stehen.
Optional separat vereinbar:
- Detaillierte Migrationsplanung
- Auswahl und Bewertung geeigneter Alternativen
- Pilotmigration
- Technische Umsetzung
- Datenübernahme und Konsolidierung
- Unabhängige Backup-Lösung
- Dokumentation von Datenflüssen und Verantwortlichkeiten
- Nachprüfung umgesetzter Maßnahmen
- Zielklärung
Wir klären, welche Daten, Systeme und Anbieter für Ihren Betrieb besonders relevant sind und welches Ergebnis Sie benötigen. - Scope und Festpreis
Betrachtete Dienste, Datenablagen, Konten, Standorte und Ausschlüsse werden schriftlich festgelegt. - Bestandsaufnahme
Vorhandene Cloud-Dienste, lokale Systeme, Datenablagen, Backups und Verantwortlichkeiten werden strukturiert erfasst. - Technische und organisatorische Betrachtung
Exportmöglichkeiten, Zugriffe, Datenstandorte, Abhängigkeiten und Wiederherstellungswege werden innerhalb des vereinbarten Scopes geprüft. - Bewertung
Feststellungen werden nach geschäftlicher Bedeutung, Wechselrisiko, Wiederherstellbarkeit und erforderlichem Aufwand eingeordnet. - Ergebnisbericht
Sie erhalten eine verständliche Übersicht mit priorisierten Maßnahmen und realistischen Handlungsoptionen. - Ergebnisbesprechung
Die wichtigsten Erkenntnisse und sinnvollen nächsten Schritte werden gemeinsam besprochen. - Optionale Umsetzung
Konsolidierung, Migration, Backup-Aufbau oder Dokumentation können separat geplant und umgesetzt werden.
Für eine effiziente Durchführung werden typischerweise benötigt:
- Eine autorisierte geschäftliche Ansprechperson
- Eine technische Ansprechperson oder ein verfügbarer IT-Dienstleister
- Eine Übersicht der eingesetzten Cloud-, E-Mail- und Softwaredienste
- Angaben zu zentralen Dateiablagen und Fachanwendungen
- Informationen zu Kontoinhabern und administrativen Rollen
- Vorhandene Vertrags-, Lizenz- oder Anbieterübersichten
- Informationen zu Backups und Wiederherstellungswegen
- Angaben zu besonders kritischen Datenbeständen
- Vorhandene Dokumentation zu Datenflüssen und Verantwortlichkeiten
- Geeignete Leserechte, Exporte oder gemeinsame Bildschirmfreigaben
- Eine schriftliche Freigabe des vereinbarten Prüfumfangs
Fehlende Dokumentation verhindert das Review nicht. Sie kann jedoch den Aufwand erhöhen und wird gegebenenfalls selbst als organisatorische Abhängigkeit dokumentiert.
Dauerhafte Passwörter oder sensible Zugangsdaten sollten nicht unverschlüsselt per E-Mail übermittelt werden. Der konkrete Zugangs- und Übertragungsweg wird vor Beginn abgestimmt.
Das Datenhoheitsreview ist eine technische und organisatorische Bestandsaufnahme.
Sofern nicht ausdrücklich separat vereinbart, sind folgende Leistungen nicht enthalten:
- Rechtliche Prüfung von Datenschutzbestimmungen oder Verträgen
- Verbindliche DSGVO-, Compliance- oder Zertifizierungsbewertung
- Rechtsberatung zu internationalen Datentransfers
- Vollständige Datenschutz-Folgenabschätzung
- Erstellung oder Prüfung von Auftragsverarbeitungsverträgen
- Vollständige kaufmännische Vertragsprüfung
- Automatische Kündigung oder Änderung bestehender Verträge
- Vollständige Migration von Daten und Diensten
- Einrichtung neuer Plattformen
- Änderung produktiver Systeme innerhalb des Review-Preises
- Vollständige technische Prüfung sämtlicher Cloud-Konfigurationen
- Prüfung des Quellcodes oder der internen Systeme eines Anbieters
- Garantie, dass ein Anbieterwechsel ohne Funktions- oder Datenverlust möglich ist
- Garantie vollständiger Datenlöschung beim bisherigen Anbieter
- Beschaffung neuer Hard- oder Software
- Dauerhafte Betreuung oder fortlaufendes Provider-Management
Rechtliche, steuerliche und datenschutzrechtliche Fragestellungen sollten bei Bedarf durch entsprechend qualifizierte Fachpersonen geprüft werden.
Möchten Sie wissen, wie unabhängig Ihre IT tatsächlich ist?
Das Datenhoheitsreview startet bei 490 € netto. Der konkrete Prüfumfang und Festpreis richten sich nach der Anzahl der Dienste, Datenablagen, Anbieter, Benutzerstrukturen und gewünschten Prüftiefe.
Unverbindliche Ersteinschätzung · herstellerunabhängige Bewertung · Festpreis vor Beginn
Ergänzende Sicherheitsleistungen
Der Faktor Mensch
IT-Sicherheitsschulung für Mitarbeitende
Für Unternehmen, die ihre Mitarbeitenden praxisnah für Phishing, unsichere Anfragen, den Umgang mit Zugangsdaten und typische Risiken im Arbeitsalltag sensibilisieren möchten.
Die Schulung vermittelt verständlich, woran verdächtige E-Mails, manipulierte Webseiten und ungewöhnliche Anfragen erkannt werden können und wie Mitarbeitende im Zweifel richtig reagieren.
Im Mittelpunkt stehen keine technischen Fachbegriffe und keine Schuldzuweisungen, sondern konkrete Situationen aus dem betrieblichen Alltag, klare Meldewege und ein sicherer Umgang mit Unsicherheit.
Auf einen Blick
ab 290 € netto
- Live und persönlich durchgeführt
- Remote oder vor Ort möglich
- Kompakte Schulung für kleine Teilnehmergruppen
- Praxisnahe Beispiele aus dem Arbeitsalltag
- Phishing, Passwörter und Mehrfaktor-Authentifizierung
- Umgang mit verdächtigen Anfragen und Sicherheitsvorfällen
- Zeit für Fragen aus dem Unternehmen
- Kurze Zusammenfassung für die Teilnehmenden
- Auf Wunsch an Branche und vorhandene Systeme angepasst
Der Startpreis gilt typischerweise für eine kompakte Remote-Schulung von etwa 60 Minuten mit bis zu zehn Teilnehmenden und einem vorab abgestimmten Themenschwerpunkt.
Größere Gruppen, Fahrtkosten bzw. Fahrzeit, individuell erstellte Richtlinien oder Unterlagen, Vor-Ort-Termine, mehrere Schulungseinheiten, branchenspezifische Fallbeispiele oder individuell erstellte Unterlagen werden separat kalkuliert. Der konkrete Umfang und Festpreis werden vor Beginn schriftlich vereinbart.
Die IT-Sicherheitsschulung eignet sich für kleine und mittelständische Unternehmen, die ihre Mitarbeitenden für typische digitale Risiken sensibilisieren und klare Verhaltensweisen für den Ernstfall vermitteln möchten.
Sie ist besonders sinnvoll, wenn:
- Bisher noch keine strukturierte Sicherheitsschulung durchgeführt wurde
- Mitarbeitende regelmäßig E-Mails, Anhänge oder externe Links bearbeiten
- Rechnungen, Zahlungsinformationen oder sensible Kundendaten verarbeitet werden
- Microsoft 365, Cloud-Dienste oder mobile Arbeitsplätze eingesetzt werden
- Unsicherheit beim Umgang mit Phishing-Mails und ungewöhnlichen Anfragen besteht
- Mitarbeitende nicht wissen, an wen verdächtige Vorfälle gemeldet werden sollen
- Mehrfaktor-Authentifizierung zwar eingesetzt wird, die Funktionsweise aber nicht vollständig verstanden wird
- Neue Mitarbeitende einheitlich in grundlegende Sicherheitsregeln eingewiesen werden sollen
- Die Geschäftsführung Sicherheitsbewusstsein aufbauen möchte, ohne Mitarbeitende durch Angst oder übermäßig technische Inhalte zu überfordern
Die Schulung richtet sich ausdrücklich auch an nichttechnische Mitarbeitende.
Vorkenntnisse sind nicht erforderlich.
Die konkreten Inhalte werden vorab an Zielgruppe, Branche und vorhandene Arbeitsweise angepasst. Eine typische Basisschulung umfasst folgende Themen:
Phishing und manipulierte Nachrichten
- Typische Merkmale verdächtiger E-Mails
- Gefälschte Absender und ähnlich aussehende Domains
- Unerwartete Anhänge und Links
- Künstlicher Zeitdruck und Drohungen
- Vermeintliche Nachrichten von Geschäftsführung
- Banken oder Dienstleistern
- QR-Code-Phishing und Nachrichten auf mobilen Geräten
- Sichere Prüfung ungewöhnlicher Zahlungs- oder Kontenänderungen
- AI Stimmen-Imitation und Betrugsanrufe
Passwörter und Zugangsdaten
- Verwendung einzigartiger Passwörter
- Risiken mehrfach verwendeter Zugangsdaten
- Passwortmanager als praktische Unterstützung
- Sichere Weitergabe und Aufbewahrung von Zugangsdaten
- Umgang mit bekannt gewordenen oder vermuteten Passwort-Leaks
- Verhalten bei verdächtigen Anmeldungen
Mehrfaktor-Authentifizierung
- Warum MFA einen zusätzlichen Schutz bietet
- Unterschiede zwischen SMS, Authenticator-App, Push-Freigabe und Sicherheitsschlüssel
- Phishing resistentes MFA
- Risiken durch unüberlegte Push-Bestätigungen
- Verhalten bei unerwarteten MFA-Anfragen
- Sichere Wiederherstellungs- und Notfallverfahren
Sicherer Umgang mit Daten
- Erkennen geschäftskritischer und personenbezogener
- Informationen sichere Dateiablage und Freigabe
- Vermeidung privater oder nicht freigegebener Cloud-Dienste
- Umgang mit mobilen Datenträgern
- Vorsicht bei öffentlichen WLAN-Netzen
- Schutz vor unbeabsichtigter Weitergabe
Social Engineering und ungewöhnliche Anfragen
- Manipulation über Telefon, E-Mail, Messenger oder persönliche Ansprache
- angebliche dringende Anweisungen von Vorgesetzten
- Anfragen nach Zugangsdaten oder vertraulichen Informationen
- Identitätsprüfung über einen zweiten Kommunikationsweg
- sichere Rückfragen ohne Angst vor Fehlern
Verhalten bei einem möglichen Sicherheitsvorfall
- Verbindung beziehungsweise Aktivität nicht vorschnell verschleiern
- Verdächtige Nachricht nicht weiterleiten oder unkontrolliert verbreiten
- Interne Ansprechperson schnell informieren
- Relevante Informationen und Zeitpunkte dokumentieren
- Keine eigenständigen Lösch- oder Reparaturversuche ohne Abstimmung
- Bekannte Melde- und Eskalationswege nutzen
Sicheres Arbeiten im Alltag
- Sperren unbeaufsichtigter Geräte
- Updates und Neustarts nicht dauerhaft aufschieben
- Sichere Nutzung mobiler Geräte
- Vorsicht bei Fernwartungsanfragen
- Umgang mit unbekannten USB-Geräten
- Klare Trennung privater und geschäftlicher Nutzung
Der Schwerpunkt liegt auf verständlichen Entscheidungen im Arbeitsalltag. Es wird nicht erwartet, dass Mitarbeitende technische Angriffe selbst analysieren oder bewerten können.
Sie erhalten eine live durchgeführte, verständliche Schulung mit praxisnahen Beispielen und ausreichend Raum für Rückfragen.
Enthalten sind typischerweise:
- Ein kurzes Vorgespräch zur Zielgruppe und aktuellen Situation,
- Eine abgestimmte Schulungsagenda,
- Eine Live-Schulung remote oder vor Ort,
- Anschauliche Beispiele typischer Angriffs- und Betrugsmethoden,
- Klare Handlungsempfehlungen für den Arbeitsalltag,
- Hinweise zu internen Meldewegen,
- Zeit für Fragen der Teilnehmenden,
- Eine kompakte Zusammenfassung der wichtigsten Regeln,
- Auf Wunsch eine kurze Verständniskontrolle oder gemeinsame Abschlussrunde,
- Eine kurze Rückmeldung an die beauftragende Ansprechperson zu erkennbaren Schwerpunkten und weiterem Schulungsbedarf.
Optional separat vereinbar:
- Branchenspezifische Schulungsunterlagen,
- Mehrere Schulungstermine für unterschiedliche Teams,
- Schulung neuer Mitarbeitender in regelmäßigen Abständen,
- Vertiefte Schulung für Geschäftsführung oder Administration,
- Erstellung eines internen Merkblatts mit Ansprechpartnern und Meldewegen,
- Phishing-Simulation nach gesonderter Planung und Freigabe,
- Jährliche Auffrischungsschulung.
Individuelle Fragen einzelner Mitarbeitender werden vertraulich und ohne Bloßstellung behandelt. Ziel ist eine konstruktive Sicherheitskultur, nicht die Bewertung einzelner Personen.
- Kurzes Vorgespräch
Wir klären Zielgruppe, Teilnehmerzahl, Branche, vorhandene Systeme und bekannte Unsicherheiten. - Themenschwerpunkte festlegen
Gemeinsam bestimmen wir, welche Inhalte für den Betrieb besonders relevant sind. - Termin und Durchführung abstimmen
Die Schulung erfolgt remote per Videokonferenz oder nach Vereinbarung vor Ort. - Live-Schulung
Die Inhalte werden verständlich und anhand konkreter Alltagssituationen vermittelt. - Fragen und Fallbeispiele
Die Teilnehmenden können eigene Fragen und typische Situationen aus ihrem Arbeitsalltag einbringen. - Zusammenfassung
Die wichtigsten Verhaltensregeln und Meldewege werden zum Abschluss wiederholt. - Kurze Rückmeldung
Die beauftragende Ansprechperson erhält auf Wunsch eine kurze Einschätzung zu erkennbaren Themenschwerpunkten und sinnvollen nächsten Schritten. - Optionale Vertiefung
Weitere Module, Wiederholungsschulungen oder eine gesonderte Phishing-Simulation können separat vereinbart werden.
Für eine zielgerichtete Durchführung werden typischerweise benötigt:
- Eine geschäftliche Ansprechperson,
- Die voraussichtliche Zahl der Teilnehmenden,
- Angaben zu Funktionen oder Abteilungen der Teilnehmenden,
- Informationen zu den eingesetzten Kommunikations- und Cloud-Diensten,
- Vorhandene interne Regeln oder Meldewege, sofern vorhanden,
- Bekannte Themenschwerpunkte oder wiederkehrende Unsicherheiten,
- Ein geeigneter Besprechungsraum oder Zugang zur vereinbarten Videokonferenz,
- Bei Remote-Terminen ein Bildschirm und eine stabile Audioverbindung,
- Bei Vor-Ort-Terminen ein geeigneter Präsentationsbildschirm oder Beamer.
Personenbezogene Leistungsbewertungen oder individuelle Testergebnisse einzelner Mitarbeitender sind für die Basisschulung nicht erforderlich.
Falls interne Sicherheitsvorfälle oder Beispiele in die Schulung einbezogen werden sollen, müssen diese vorab abgestimmt und angemessen anonymisiert werden.
Die IT-Sicherheitsschulung ist eine praxisnahe Sensibilisierungsmaßnahme. Sofern nicht ausdrücklich separat vereinbart, sind folgende Leistungen nicht enthalten:
- Unangekündigte Phishing-Simulationen
- Versand fingierter Nachrichten an Mitarbeitende
- Social-Engineering-Tests per Telefon oder vor Ort
- Individuelle Bewertung oder Überwachung einzelner Mitarbeitender
- Arbeitsrechtliche Beurteilung von Fehlverhalten
- Technische Prüfung von Geräten, Konten oder Systemen
- Penetrationstest oder aktive Angriffssimulation
- Vollständige Erstellung interner Sicherheitsrichtlinien
- Verbindliche Compliance- oder Zertifizierungsnachweise
- Rechtliche oder datenschutzrechtliche Beratung
- Garantie, dass nach der Schulung keine Sicherheitsvorfälle mehr auftreten
- Unbegrenzte Nachbetreuung oder dauerhafte Awareness-Kampagne
- Erstellung umfangreicher individueller Lernplattformen oder E-Learning-Kurse
- Aufzeichnung der Schulung, sofern dies nicht ausdrücklich vereinbart wurde
Eine Phishing-Simulation oder weiterführende Awareness-Kampagne muss gesondert geplant, schriftlich freigegeben und organisatorisch sorgfältig abgestimmt werden.
Möchten Sie Ihre Mitarbeitenden sicherer im digitalen Arbeitsalltag machen?
Die kompakte IT-Sicherheitsschulung startet bei 290 € netto.
Der konkrete Festpreis richtet sich nach Teilnehmerzahl, Dauer, Durchführungsform, gewünschter Individualisierung und Anzahl der Termine.
Praxisnah · verständlich · ohne Bloßstellung · Festpreis vor Beginn
Kontrollierte technische Prüfung für
kleine IT-Umgebungen
Netzwerk-Pentest Basis
Für kleine und mittelständische Unternehmen, die ausgewählte Netzwerkkomponenten, Fernzugänge und öffentlich erreichbare Dienste technisch überprüfen lassen möchten.
Der Netzwerk-Pentest Basis konzentriert sich auf typische Schwachstellen und Fehlkonfigurationen in überschaubaren Netzwerk- und Infrastrukturumgebungen. Der Prüfumfang wird vor Beginn klar definiert und schriftlich freigegeben.
Sie erhalten eine praxisnahe technische Bewertung, nachvollziehbar dokumentierte Feststellungen und konkrete Empfehlungen zur Absicherung – ohne den Umfang und die Kosten eines großen spezialisierten Penetrationstests.
Auf einen Blick
Preis nach Umfang
- Fokus auf Netzwerk und Infrastruktur für kleine und überschaubare Umgebungen
- Klar definierte Zielsysteme
- Schriftliche Freigabe vor Beginn
- Externe oder interne Prüfung möglich
- Automatisierte Erkennung mit manueller Einordnung
- Begrenzte Validierung ausgewählter Schwachstellen
- Keine Veränderungen ohne ausdrückliche Freigabe
- Verständlicher Ergebnisbericht
- Priorisierte Maßnahmenempfehlungen
- Persönliche Ergebnisbesprechung
- Nachprüfung optional möglich
Der konkrete Preis richtet sich nach Anzahl und Art der Zielsysteme, interner oder externer Testperspektive, gewünschter Prüftiefe und Berichtsumfang.
Vor Beginn erhalten Sie einen klar definierten Scope und ein verbindliches Angebot. Getestet werden ausschließlich ausdrücklich freigegebene Systeme.
Der Netzwerk-Pentest Basis eignet sich für kleine und mittelständische Unternehmen mit einer überschaubaren Netzwerk- und Infrastrukturumgebung.
Die Prüfung ist besonders sinnvoll, wenn:
- Öffentlich erreichbare Netzwerkdienste oder Fernzugänge betrieben werden
- Eine Firewall, ein VPN oder eine Fernwartungslösung technisch überprüft werden soll
- Unklar ist, welche Dienste von außen erreichbar sind
- Router, Netzwerkkomponenten oder NAS-Systeme über mehrere Jahre gewachsen sind
- Netzwerkbereiche und Gäste-WLAN voneinander getrennt sein sollen
- Nach einem IT-Sicherheitsreview einzelne technische Auffälligkeiten genauer untersucht werden sollen
- Bekannte Schwachstellen oder Scannergebnisse fachlich eingeordnet werden müssen
- Vor einer größeren Änderung eine unabhängige technische Einschätzung gewünscht ist
- Ein erschwinglicher Einstieg in eine kontrollierte Sicherheitsprüfung gesucht wird
Die Leistung richtet sich ausdrücklich an überschaubare IT-Umgebungen. Für komplexe Active-Directory-Strukturen, umfangreiche Webanwendungen, APIs, Quellcode oder Red-Team-Szenarien werden spezialisierte Partner benötigt.
Der genaue Prüfumfang wird vor Beginn gemeinsam festgelegt.
Je nach Auftrag können insbesondere folgende Bereiche betrachtet werden:
Öffentlich erreichbare Dienste
- freigegebene öffentliche IP-Adressen und Hostnamen
- offene Ports und erreichbare Netzwerkdienste
- VPN- und Fernzugangssysteme
- öffentlich erreichbare Administrationsoberflächen
- veraltete oder auffällige Dienstversionen
- unsichere Protokolle
- grundlegende TLS- und Zertifikatskonfiguration
- erkennbare Fehlkonfigurationen
- unnötig erreichbare Dienste
Firewall und Netzwerkzugänge
- Ausgewählte Firewallfreigaben
- Portweiterleitungen
- Öffentlich erreichbare Verwaltungszugänge
- Grundlegende VPN-Konfiguration
- Absicherung administrativer Zugänge
- Unnötige oder historisch gewachsene Freigaben
- Grundlegende Trennung interner und externer Zugriffswege
Internes Netzwerk
Bei ausdrücklich freigegebener interner Prüfung:
- Erreichbare Systeme und Dienste
- Grundlegende Netzwerksegmentierung
- Trennung von Büro-, Gäste- und IoT-Netzen
- Administrative Netzwerkdienste
- Unsichere oder veraltete Protokolle
- Offen zugängliche Freigaben
- Auffällige Gerätekonfigurationen
- Grundlegende Zugriffsmöglichkeiten zwischen Netzwerkbereichen
Netzwerkkomponenten und Infrastruktursysteme
Je nach Scope:
- Router
- Firewalls
- Switches
- Access Points
- NAS-Systeme
- Ausgewählte Serverdienste
- Fernwartungs- und Managementzugänge
- Administrative Oberflächen
Bekannte Schwachstellen
- Automatisierte Erkennung bekannter Schwachstellen
- Manuelle Plausibilisierung relevanter Ergebnisse
- Einordnung möglicher Fehlalarme
- Begrenzte technische Validierung ausgewählter Feststellungen
- Bewertung der möglichen Auswirkungen
- Priorisierung notwendiger Maßnahmen
Begrenzte Validierung
Wird eine mögliche Schwachstelle festgestellt, kann sie innerhalb des schriftlich vereinbarten Rahmens kontrolliert überprüft werden. Die Validierung wird auf den notwendigen Nachweis begrenzt und beendet, sobald die technische Relevanz ausreichend belegt ist.
Sie erhalten einen verständlichen technischen Bericht über den vereinbarten und tatsächlich geprüften Umfang.
Enthalten sind:
- Eine kurze Management-Zusammenfassung
- Eine Beschreibung des vereinbarten Scopes
- Eine Übersicht der geprüften Zielsysteme
- Eine Zusammenfassung der eingesetzten Prüfmethoden
- Nachvollziehbar dokumentierte Feststellungen
- Eine Bewertung der technischen Relevanz
- Eine verständliche Beschreibung möglicher Auswirkungen
- Eine Priorisierung nach Dringlichkeit
- Konkrete Empfehlungen zur Behebung oder Risikoreduzierung
- Hinweise auf grundlegende strukturelle Ursachen
- Eine persönliche Ergebnisbesprechung
Die Feststellungen können beispielsweise eingeordnet werden als:
- Kritisch: unmittelbarer erheblicher Handlungsbedarf
- Hoch: kurzfristige Behebung erforderlich
- Mittel: relevante Schwachstelle mit begrenzenden Voraussetzungen
- Niedrig: geringeres Risiko oder Härtungsempfehlung
- Informativ: technische Beobachtung ohne direkt nachgewiesene Schwachstelle
Der Bericht enthält nur die Informationen, die für Nachweis, Bewertung und Behebung erforderlich sind. Sensible Daten und Zugangsinformationen werden nicht unnötig dokumentiert.
Optional separat vereinbar:
- Nachprüfung behobener Feststellungen
- Unterstützung bei der technischen Absicherung
- Härtung ausgewählter Netzwerkkomponenten
- Anpassung von Firewall- und Netzwerkregeln
- Überarbeitung der Netzwerksegmentierung
- Erstellung oder Aktualisierung technischer Dokumentation
- Zielklärung
Wir besprechen, welche Systeme, Netzwerkbereiche oder technischen Fragestellungen untersucht werden sollen. - Scope-Definition
Schriftlich festgelegt werden:- Zielsysteme, IP-Adressen und Hostnamen
- Interne oder externe Testperspektive
- Ausdrücklich ausgeschlossene Systeme
- Erlaubte Prüfmethoden
- Grenzen einer technischen Validierung
- Prüfzeitfenster
- Stop-Kriterien
- Ansprechpartner und Eskalationsweg
- Gewünschter Berichtsumfang
- Schriftliche Freigabe
Die Prüfung beginnt erst nach eindeutiger schriftlicher Autorisierung des vereinbarten Scopes. - Technische Bestandsaufnahme
Die freigegebenen Systeme und Dienste werden strukturiert erfasst und auf typische Schwachstellen, Fehlkonfigurationen und unnötige Angriffsflächen untersucht. - Automatisierte und manuelle Prüfung
Technische Werkzeuge unterstützen die Erkennung möglicher Schwachstellen. Relevante Ergebnisse werden anschließend manuell eingeordnet und, soweit vereinbart und verantwortbar, kontrolliert validiert. - Sofortmeldung kritischer Feststellungen
Bei unmittelbar erkennbarem erheblichem Risiko wird die benannte Ansprechperson über den vereinbarten Kommunikationsweg informiert. - Auswertung und Bericht
Die Ergebnisse werden geprüft, priorisiert und in einem verständlichen technischen Bericht zusammengefasst. - Ergebnisbesprechung
Die wichtigsten Feststellungen, Auswirkungen und nächsten Maßnahmen werden gemeinsam erläutert. - Optionale Nachprüfung
Nach erfolgter Behebung kann separat geprüft werden, ob die festgestellten Schwachstellen wirksam geschlossen wurden.
Für eine kontrollierte und aussagekräftige Prüfung werden typischerweise benötigt:
- Eine autorisierte geschäftliche Ansprechperson
- Eine technische Ansprechperson
- Ein erreichbarer Notfallkontakt
- Eine schriftliche Beauftragung
- Eindeutig benannte Zielsysteme
- Öffentliche IP-Adressen oder Hostnamen
- Bei internen Prüfungen ein abgestimmter Zugang zum Zielnetz
- Ausdrücklich benannte Ausschlüsse
- Ein vereinbartes Prüfzeitfenster
- Ein abgestimmter Eskalationsweg
- Hinweise auf besonders empfindliche oder geschäftskritische Systeme
- Gegebenenfalls geeignete Testzugänge
- Ein sicherer Übertragungsweg für technische Informationen und Berichte
Systeme externer Anbieter
Bei Hosting-, Cloud- oder Provider-Infrastrukturen muss vorab geklärt werden, ob und unter welchen Bedingungen technische Sicherheitstests erlaubt sind.
Produktive Systeme
Bei Prüfungen produktiver Systeme müssen bekannte betriebliche Abhängigkeiten und mögliche Auswirkungen vorab benannt werden. Riskante Verfahren können ausgeschlossen oder auf eine Testumgebung begrenzt werden.
Der Netzwerk-Pentest Basis ist eine klar begrenzte technische Sicherheitsprüfung.
Sofern nicht ausdrücklich separat vereinbart und durch entsprechend spezialisierte Fachpersonen durchgeführt, sind folgende Leistungen nicht enthalten:
- Umfassende Webanwendungs-Penetrationstests
- API-Sicherheitstests
- Quellcodeanalyse oder Secure-Code-Review
- Entwicklung eigener Exploits
- Umfangreiche Active-Directory-Angriffssimulationen
- Vollständige Rechteausweitung innerhalb komplexer Domänen
- Red-Team- oder Adversary-Simulationen
- Denial-of-Service- oder Lasttests
- Malware- oder Ransomware-Simulationen
- Verdeckte Persistenz auf Zielsystemen
- Vollständiger Abzug produktiver Daten
- Prüfung nicht freigegebener Systeme
- Tests gegen Infrastruktur Dritter ohne Erlaubnis
- Prüfungen komplexer Produktions- oder OT-Umgebungen
- Zertifizierung oder verbindlicher Compliance-Nachweis
- Rechtliche oder datenschutzrechtliche Beratung
- Garantie, dass keine weiteren Schwachstellen bestehen
Grenzen der Aussage
Die Prüfung ist eine zeitlich begrenzte Bewertung des schriftlich vereinbarten Scopes. Sie stellt weder eine vollständige Prüfung der gesamten Unternehmens-IT noch eine dauerhafte Sicherheitsgarantie dar.
Spezialisierte Anforderungen
Zeigt sich im Vorgespräch, dass für den gewünschten Prüfumfang spezialisierte Kenntnisse in Webentwicklung, APIs, Quellcode, vertiefte Active Directory Angriffe oder Red Teaming erforderlich sind, wird der Auftrag entsprechend eingegrenzt oder die Einbindung eines geeigneten Spezialisten empfohlen.
Möchten Sie ausgewählte Netzwerk- und Infrastrukturbereiche technisch überprüfen lassen?
Der Preis richtet sich nach Anzahl und Art der Zielsysteme, interner oder externer Testperspektive, gewünschter Prüftiefe und Berichtsumfang. Nach einem kurzen Vorgespräch erhalten Sie einen klar definierten Scope und ein verbindliches Angebot.
Schriftlich autorisiert · klar begrenzter Scope · praxisorientierte Prüfung · verständliche Ergebnisse