Question 1

Können Sie garantieren, dass wir nicht gehackt werden?

Accepted Answer

Nein, und niemand sonst kann das — wer es zusagt, verkauft Ihnen etwas. Sicherheit ist Risikoreduktion: die Kosten eines Angriffs erhöhen, die einfachen Einstiege schließen und sicherstellen, dass Sie einen Vorfall bemerken und sich davon erholen. Zusagen können wir, dass die bekannten Wege in ein System wie Ihres geschlossen, dokumentiert und nach jeder Änderung erneut geprüft sind.

Question 2

Sind Sie nach ISO 27001 oder SOC 2 zertifiziert?

Accepted Answer

Nein. Wir halten kein solches Zertifikat, wir sind keine Zertifizierungsstelle, und wir beschreiben unsere Abläufe auch nicht als zertifiziert oder konform in einer Weise, die das nahelegt. Was wir leisten, ist die Vorbereitung: Gap-Analyse gegen das jeweilige Rahmenwerk, Umsetzung der technischen Maßnahmen und Erstellung der Nachweise, die eine Prüfstelle sehen will. Audit und Zertifikat kommen von einer akkreditierten dritten Partei.

Question 3

Was deckt ein Penetrationstest bei Ihnen ab?

Accepted Answer

Wir testen auf Anwendungsebene: Webanwendungen, APIs und mobile Clients, unauthentifiziert und über alle Rollen hinweg, mit Blick auf Injection, fehlerhafte Zugriffskontrolle zwischen Konten, Schwächen in Session und Authentifizierung, unsichere Dateiverarbeitung und fehlkonfigurierte Cloud-Speicher. Red-Team-Übungen, physische Zutrittstests, Social-Engineering-Kampagnen oder Prüfungen industrieller Steuerungen bieten wir nicht an. Für regulierte Prüfungen wie PCI DSS gehört die Arbeit zu einem akkreditierten Anbieter, und wir helfen Ihnen beim Zuschnitt und der Beauftragung.

Question 4

Wir haben ein SSL-Zertifikat. Genügt das nicht?

Accepted Answer

Ein gültiges Zertifikat verschlüsselt die Übertragung zwischen Browser und Server. Das ist notwendig, aber längst kein Unterscheidungsmerkmal und sagt nichts darüber aus, ob ein angemeldeter Kunde die Bestellungen eines anderen einsehen kann. Die meisten Vorfälle, die wir sehen, laufen über einwandfreies HTTPS: schwache Administratorpasswörter, ein veraltetes Plugin, ein Endpunkt ohne Berechtigungsprüfung. Das Zertifikat ist die Untergrenze, nicht die Sicherheitslage.

Question 5

Bleiben unsere Daten in der EU, und wie steht es um Auftragsverarbeitung?

Accepted Answer

Datenresidenz behandeln wir als Architekturvorgabe: EU-Regionen für Anwendung, Datenbank und Backups, dokumentierte Datenflüsse und eine nachvollziehbare Liste eingesetzter Dienste. Zu den technischen und organisatorischen Maßnahmen nach DSGVO Art. 32 liefern wir Beschreibung und Nachweise, die Sie Ihren Auftragsverarbeitungsverträgen beilegen können. Die rechtliche Bewertung der Verträge selbst trifft Ihre Rechtsberatung, nicht wir.

Question 6

Betrifft uns NIS2?

Accepted Answer

Das kann sein, und die Einordnung nimmt Ihre Rechtsberatung vor — abhängig von Sektor, Größe und Ihrer Rolle in der Lieferkette Ihrer Kunden. Für uns ist NIS2 Kontext, keine zugesicherte Leistung: Wir setzen technische Maßnahmen um, die in solchen Anforderungskatalogen üblicherweise verlangt werden, etwa Zugriffskontrolle, Protokollierung, Patch-Prozesse, Backup und Wiederherstellung, und dokumentieren sie prüffähig. Eine Konformitätszusage geben wir nicht.

Question 7

Was erhalten wir am Ende?

Accepted Answer

Einen Befundbericht mit reproduzierbaren Nachweisen und ehrlicher Einstufung, einen priorisierten Maßnahmenplan in Form von Entwicklungstickets, eine kurze Zusammenfassung für nicht-technische Beteiligte und einen Nachtest, der die Schließung belegt. Ist Compliance im Umfang, kommen die Maßnahmendokumentation und ein Register der offenen Lücken mit benannten Verantwortlichen hinzu.

Question 8

Wie oft sollten wir prüfen lassen?

Accepted Answer

Einmal jährlich ist für eine stabile Anwendung eine vertretbare Grundlinie, der bessere Auslöser ist jedoch Veränderung: ein größeres Release, eine neue Zahlungs- oder Anmeldestrecke, eine Plattformmigration oder eine neue Integration mit Zugriff auf Kundendaten. Laufende Prüfungen wiegen schwerer als der jährliche Termin, denn Scanning in der CI fängt einen großen Teil dessen ab, was sonst erst Monate später auffällt.

Question 9

Wie realistisch ist die Bedrohung für einen Onlineshop unserer Größe?

Accepted Answer

Gezielte Angreifer sind die Ausnahme, automatisierte Angriffe die Regel: Credential Stuffing mit anderswo geleakten Passwörtern, Bots auf der Suche nach bekannten Lücken in veralteten Plugins und Paketen, Kartentests im Checkout und Phishing gegen die Person mit dem Administratorzugang. Daraus folgen die Prioritäten — MFA für Administratoren, Rate Limiting, Patch-Disziplin und Protokollierung wirken hier deutlich stärker als exotische Abwehrmechanismen.

Question 10

Wo liegen die spezialisierten Themen?

Accepted Answer

Diese Seite gibt den Überblick, die Tiefe steht in den Unterseiten. Sicherheitsaudits & Compliance behandelt rahmenwerksgetriebene Prüfungen und Nachweise, Cybersecurity-Auditierung den technischen Audit von Systemen und Konfiguration, Penetrationstests die praktische Prüfung der Anwendung, Identitäts- und Zugriffsmanagement Single Sign-on, Rollen und MFA, GDPR-Konformität & Datenschutz die datenschutzrechtliche Umsetzung. Die meisten Projekte beginnen mit einem Audit.

Wie können wir helfen?

Cybersicherheit
FAQ

Hilfreiche
Informationen

Erste Schritte

Zeitplan

Preisgestaltung

Support

Noch Fragen?

CybersicherheitFAQ

HilfreicheInformationen