Belege

Was wirklich passiert ist, nicht was wir behaupten.

Zwei Blickwinkel auf dieselbe Arbeit: anonyme Fallbeispiele, die den Ablauf zeigen, und freigegebene Kundenstimmen, die für sich sprechen.

Kundenstimmen

Was Kunden sagen, ungekürzt.

Freigegeben, namentlich, im Originalwortlaut. Aus Diskretion sind nur wenige Rezensionen öffentlich. Viele unserer Kunden stehen für ein persönliches Telefonat zur Verfügung.

Alfred HenglerProjektleitung | Project Manager, Alfred Bolz Apparatebau GmbH

Maximilian SchmidtGeschäftsführer, CPI Technologies GmbH

Maximilian WagenbrennerFachbereich Steuerung IT, Carl-Korth-Institut Arbeits- und Gesundheitsschutz GmbH

Ilona Schirmer-ZinßerGeschäftsführung, Dr. Haubitz GmbH & Co. KG

Steffen MändleIT Security Officer, EMAG Systems GmbH

Andre CrämerIT-Verantwortlicher, Gebr. Zobel & Co. Speditions GmbH

Simon BärKaufmännischer Bereichsleiter, IPR GmbH

Michael WalouchIT-Leiter, Klinikum Schloß Winnenden

Daniel KleberSachbearbeitung und Projektmanagement IT, LaminatDEPOT

Jens BindernagelLeiter Informationstechnik, Leibniz-Institut für Katalyse e.V

Jan HellLeitung IT und Materialeinkauf, SIRL INTERAKTIVE LOGISTIK GMBH

Jona OstheimerDigitalisierungsbeauftragter, Stadt Dieburg

Marcus BerghausKaufmännischer Leiter und IT-Verantwortlicher, Stadtwerke Velbert

Dennis HeidelbachLeiter IT-Systeme, Unitechnik Systems GmbH

Elke Kunz-WerthweinInformationssicherheitsbeauftragte, phi CAE GmbH

Fallbeispiele

Was bei Kunden passiert ist.

Alle Fallbeispiele beruhen auf tatsächlichen Projekten. Namen, Branchendetails und Kennzahlen sind verändert, wo sie Rückschlüsse auf einzelne Kunden zulassen würden.

Öffentliche Organisation · rund 3.000 Mitarbeitende

In zwei Tagen zum Domänen-Administrator

Ausgangslage: Die IT-Leitung wollte wissen, wie weit ein Angreifer im internen Netz tatsächlich käme. Die Erwartung war, dass ein vollständiger Zugriff auf die Domäne erheblichen Aufwand erfordern würde.
Was wir gefunden haben: Zugangsdaten, die im Netzwerk zwischengespeichert waren, ein Dienstkonto mit lokalen Administratorrechten und darauf aufbauend eine Berechtigungskette im Active Directory. Jede Stufe war für sich genommen unauffällig und über Jahre so gewachsen. Eine unbekannte Sicherheitslücke war an keiner Stelle nötig.
Was wir gemacht haben: Wir haben den vollständigen Pfad dokumentiert und die Stellen markiert, an denen er sich mit dem geringsten Aufwand unterbrechen lässt. Diese Punkte haben wir gemeinsam mit der IT geschlossen, beginnend bei denen mit der größten Wirkung.
Ergebnis: Der Pfad ist geschlossen, ohne dass neue Software beschafft werden musste. Nicht alle Fundstellen mussten behoben werden, sondern die richtigen. Der Aufwand lag dadurch unter dem, was die IT erwartet hatte.

ablauf2 tage

Tag 1 · Standard-Benutzerkein Adminrecht
Zugangsdaten im Netzaus Cache
Rechteketten im ADeskaliert
Tag 2 · Domänen-Adminerreicht
Pfade geschlossengemeinsam

2 Tage

bis Domänen-Admin

3.000

Mitarbeitende

Zero-Days nötig

Simulierte Angriffe

Produzierendes Unternehmen · Mittelstand

Zwei Drittel war vorhanden, nur nicht nachweisbar

Ausgangslage: Die Geschäftsführung wusste, dass NIS2 kommt, aber nicht, ob das Unternehmen betroffen ist und was daraus folgt. Gewünscht war keine umfangreiche Beratung, sondern eine Einschätzung: Was ist vorhanden, was fehlt, was können wir selbst machen.
Was wir gefunden haben: Ein großer Teil der geforderten Maßnahmen war technisch bereits umgesetzt, aber nirgends dokumentiert. Verantwortlichkeiten waren im Alltag klar, formal aber nicht festgelegt. Für Backup, Patches und die Reaktion auf Vorfälle gab es eine eingespielte Praxis, aber keine nachweisbaren Abläufe.
Was wir gemacht haben: Wir haben die vorhandenen Maßnahmen gegen die Anforderungen abgeglichen und die Lücken nach Priorität sortiert. Dabei haben wir getrennt, was die interne IT selbst erledigen kann, also Dokumentation, Zuständigkeiten und Nachweise, und wo technische Unterstützung nötig war.
Ergebnis: Der größere Teil der offenen Punkte blieb im Haus. Extern begleitet wurden nur die technischen Themen. Statt einer Compliance-Liste entstand ein Plan mit Reihenfolge und Zuständigkeiten, der ins vorhandene Budget passte.

NIS2

Mehrere Kunden · Maschinenbau bis öffentliche Verwaltung

Warum Härtung kein Projekt mit Enddatum ist

Ausgangslage: Diese Kunden hatten einen Penetrationstest oder eine Analyse hinter sich und wollten es nicht bei der einmaligen Bestandsaufnahme belassen. Die Frage war, wie ein Sicherheitsniveau erhalten bleibt, wenn sich Systeme, Software und Personal laufend ändern.
Was wir gefunden haben: In fast allen Umgebungen dasselbe Bild: Die IT funktionierte, war aber nie konsequent gehärtet. Dienste liefen, die niemand mehr brauchte. Berechtigungen waren über Jahre gewachsen. Sicherheitsfunktionen, die Windows und Microsoft 365 bereits mitbringen, waren vorhanden, aber nicht eingeschaltet.
Was wir gemacht haben: Wir setzen die Härtungsmodule gemeinsam mit der IT um, im geteilten Bildschirm, in Terminen von zwei Stunden. Die Auswahl richtet sich nach der jeweiligen Umgebung, nicht nach einer Standardliste. In vereinbarten Abständen prüfen wir nach, ob die Einstellungen noch stehen und ob neue Systeme dazugekommen sind.
Ergebnis: Die Angriffsfläche sinkt deutlich, ohne dass neue Software beschafft wird und ohne dass Mitarbeitende im Alltag etwas merken. Eine Garantie gibt es nicht. Bislang wurde aber keiner dieser Kunden während der laufenden Betreuung erfolgreich kompromittiert.

Härtung

Mittelständisches Unternehmen

Sichtbarkeit ohne Jahresvertrag

Ausgangslage: Der IT-Leitung fehlte der Überblick über sicherheitsrelevante Ereignisse. Ein klassisches SOC-Angebot mit Mindestlaufzeit und monatlicher Pauschale kam nicht infrage, weil sich der Nutzen vorher nicht abschätzen ließ.
Was wir gefunden haben: Protokolle entstanden auf vielen Systemen, wurden aber nirgends zusammengeführt. Auffälligkeiten waren einzeln sichtbar, in ihrer Kombination nicht. Für die entscheidende Frage, ob mehrere kleine Ereignisse zusammen gehören, gab es keine Stelle, die sie beantwortet hätte.
Was wir gemacht haben: Wir haben die Ereignisse aus den vorhandenen Systemen zentral zusammengeführt, vollständig auf Open Source und ohne Lizenzkosten. Die Alarmbearbeitung wird nach tatsächlichem Aufwand abgerechnet, ohne Mindestlaufzeit. Welche Maßnahmen wir im Ernstfall selbst ergreifen dürfen und wo Rücksprache nötig ist, wurde vorher festgelegt.
Ergebnis: Der Kunde sieht im Dashboard, was passiert, und zahlt für die Alarme, die tatsächlich bearbeitet wurden. Die Entscheidung über Eingriffe blieb im Haus. Der Einstieg war dadurch keine Budgetfrage mehr, sondern eine technische.

Managed SOC

Mittelständisches Unternehmen · hohe IT-Abhängigkeit

Die Arbeit, die vor dem Ernstfall passiert

Ausgangslage: Das Unternehmen wollte auf einen Sicherheitsvorfall vorbereitet sein, ohne ein Handbuch zu produzieren, das im Ernstfall niemand aufschlägt. Die Frage war, was tatsächlich vorher geklärt sein muss, damit später nicht improvisiert wird.
Was wir gefunden haben: Die Informationen waren vorhanden, aber verteilt. Welche Systeme zuerst zurückmüssen, wusste die IT, es stand nirgends. Freigaben für forensische Analysen hätten im Ernstfall erst eingeholt werden müssen. Und es war unklar, welche Protokolle überhaupt existieren und wie lange sie aufbewahrt werden.
Was wir gemacht haben: Wir haben festgelegt, wer im Ernstfall entscheidet und wen wir erreichen. Die technischen Zugänge und Freigaben wurden vorab geklärt, die kritischen Systeme in eine Reihenfolge gebracht. Außerdem haben wir forensische Werkzeuge vorbereitet, mit denen sich die nötigen Daten aus der Ferne erheben lassen.
Ergebnis: Im Ernstfall beginnt die Arbeit sofort, statt mit Klärung. Die vier Stunden Reaktionszeit, die wir zusichern, werden dadurch zu vier Stunden Arbeit statt zu vier Stunden Organisation.

Incident Response und IT-Forensik

Ausgewählte Kunden und Nachweise

Wer uns vertraut.

Ein Teil unserer Kunden erlaubt die namentliche Nennung. Viele weitere unserer Kunden sprechen auf Anfrage auch gerne persönlich mit Interessenten.

Nächster Schritt

Was bei Euch herauskäme, wissen wir erst, wenn wir hinsehen.

Kein Verkaufsgespräch, keine Verpflichtung. Wir hören zu, ordnen ein und sagen offen, was aus unserer Sicht sinnvoll ist.

Gespräch vereinbaren So arbeiten wir