Der Sicherheitskompass
Kein Kurs ohne Karte.
Die Ausgangslage
Wer nicht weiß, wo er steht, kann keinen Kurs setzen.
Nicht das Schiff muss wissen, ob es seetauglich ist. Das muss die Person wissen, die es steuert.
Hat sie das Handwerkszeug, diese Frage ehrlich zu beantworten — oder nur eine Einschätzung, auf die sie sich verlässt, weil sie nie hinterfragt wurde? Genau das klärt die Seetauglichkeitsprüfung: ein kurzes, persönliches Gespräch zwischen uns, bevor irgendetwas anderes beginnt. Es zeigt, wo Dein Unternehmen wirklich steht.
Darauf folgt die Bestandsaufnahme: Was ist von außen sichtbar, was ist bereits exponiert, wie ist das Unternehmen technisch und organisatorisch aufgestellt, was bleibt im Ernstfall übrig? Erst wenn dieses Bild vollständig ist, wird eingeordnet — rechtlich und im Hinblick auf digitale Souveränität.
Das Ergebnis ist immer dasselbe: ein klares, vollständiges Bild Deiner Lage. Der Weg dorthin hängt davon ab, wer die Fragen stellt — und welche Antworten gebraucht werden.
Willst Du verstehen, oder willst Du bewerten?
Die Navigation
Erst die Lage verstehen, dann den Weg wählen, dann steuern.
Die Karte
Orientierung beginnt mit der Seetauglichkeitsprüfung: einem Gespräch, das klärt, worauf es bei Dir ankommt — bevor irgendetwas gemessen wird. Erst danach folgt der Blick auf das, was technisch sichtbar ist: offene Systeme, exponierte Daten, der Zustand von Identitäten und Backup.
Das Ergebnis ist mehr als eine Momentaufnahme. Es ist die Grundlage, an der sich jede spätere Maßnahme messen lässt — der Punkt, von dem aus Verbesserung erst sichtbar wird. Ohne ihn bleibt jede Aussage über Fortschritt eine Vermutung.
Grundlage ist das CERT+-Rahmenwerk — eine strukturierte Bestandsaufnahme, die technische und organisatorische Faktoren gleichwertig erfasst. Netzwerk, Endpunkte, Identitäten, E-Mail, Backup, Awareness, gesetzliche Relevanz.
Das Ergebnis ist ein priorisierter Maßnahmenbericht mit Risikoklassifizierung — und zugleich die Baseline, gegen die jede spätere Messung läuft. Ohne sie lässt sich Wirksamkeit nicht belegen, nur behaupten.
Der Kurs
Aus der Bestandsaufnahme wird ein Plan — aber kein einmaliger. Nicht jedes Risiko ist gleich dringend, nicht jede Maßnahme gleich wichtig. Wir ordnen ein, was zuerst angegangen werden sollte, und legen fest, woran wir später erkennen, ob es gewirkt hat.
So entsteht kein Projekt mit Enddatum, sondern ein Prozess: Verbesserung, die sich an der Orientierung von vorhin messen lässt — nicht an einem Gefühl.
Aus der Risikoklassifizierung wird eine Entscheidungsvorlage. Wir bewerten, welche Dienste für dieses Unternehmen kritisch sind und welche Abhängigkeiten bestehen. Auf dieser Grundlage priorisieren wir Maßnahmen nach Schutzwirkung und Aufwand — methodisch abgestützt auf CERT+, NIS2 und IT-Grundschutz.
Jede Maßnahme erhält einen Referenzwert aus der Baseline, gegen den ihre Wirkung später überprüfbar ist.
Das Steuer
Entscheidungen helfen, konkretes Vorgehen festzulegen. Sie zeigen auch, ob man auf dem richtigen Weg ist — aber nur, wenn man weiß, wogegen man das prüft. Durch Orientierung und Strategie entsteht dieser Maßstab.
Wir bereiten gemeinsam diese Entscheidungen verständlich vor — und legen fest, wann und woran wir gemeinsam prüfen, ob sie gewirkt haben.
Die Ergebnisse sind dokumentiert, nachvollziehbar und faktenbasiert — direkt verwendbar als Entscheidungsvorlage für Geschäftsführung oder Auftraggeber. Risikoklassifizierung nach einheitlichem Scoring, Auswirkungsanalyse je Dienst, Handlungsempfehlungen mit klarer Priorisierung.
Jede Empfehlung ist gegen die Baseline rückverfolgbar — Fortschritt wird messbar, nicht nur erklärt.
Die Instrumente
Was im Nebel liegt, wird erst mit dem richtigen Werkzeug sichtbar.
Wer nur auf Sicht fährt, bleibt oft nur ein enges Zeitfenster, um auf eine Gefahr noch reagieren zu können. Die eigene Wahrnehmung ist begrenzt — das heißt aber nicht, dass es keine Gefahrenquellen gibt. Erst das richtige Werkzeug macht sichtbar, was längst vorhanden war — und verschafft den Vorlauf, um rechtzeitig zu agieren.
Orientierung, Strategie, Entscheidung — das ist das Prinzip. Was folgt, sind die Bausteine, mit denen es konkret wird: vier Werkzeuge für die Bestandsaufnahme, zwei für die Einordnung. Jedes liefert ein Stück des Bildes — gemeinsam ergeben sie die Grundlage, von der aus alles Weitere entschieden wird.
Bestandsaufnahme
Lywand Einmal-Scan
Ein automatisierter Scan zeigt, was von außen sichtbar ist — so, wie es ein Angreifer sehen würde. Offene Zugänge, veraltete Software, bekannte Schwachstellen. Kein Verdacht, sondern ein Faktencheck: Was ist tatsächlich exponiert?
Externe Schwachstellenanalyse mittels Lywand-Scanning-Technologie. Erfasst öffentlich erreichbare Systeme, identifiziert bekannte CVEs und Fehlkonfigurationen, liefert eine priorisierte Befundliste als Teil der CERT+-Bestandsaufnahme.
Darkweb-Scan
Manche Daten sind längst nicht mehr nur bei Dir — sie kursieren bereits. Der Darkweb-Scan prüft, ob Zugangsdaten Deines Unternehmens in bekannten Datenlecks auftauchen. Was bereits exponiert ist, lässt sich nicht mehr verhindern — aber benennen, bevor es ausgenutzt wird.
Abgleich von Unternehmens-E-Mail-Adressen und Zugangsdaten gegen bekannte Leak-Datenbanken im Darkweb. Ergebnis ist eine Liste kompromittierter Credentials mit Handlungsempfehlung — Passwortwechsel, Multi-Faktor-Pflicht, gezielte Nachverfolgung.
CERT+ Audit
Nicht jede Schwachstelle ist technisch — viele liegen in Abläufen, die niemand hinterfragt hat. Das CERT+ Audit schaut auf das Gesamtbild: Technik, Organisation, Verhalten. Was funktioniert gut, was wurde nie geprüft, wo verlässt sich das Unternehmen auf Gewohnheit statt auf Wissen?
Strukturiertes Audit nach CERT+-Rahmenwerk über sieben Kategorien: Netzwerk, Endpunkte, Identitäten, E-Mail, Backup, Awareness, gesetzliche Relevanz. Ergebnis ist eine vollständige Risikomatrix mit Reifegrad je Kategorie.
Datensicherung
Eine Sicherung, die im Ernstfall nicht funktioniert, ist keine Sicherung — nur eine Annahme. Wir prüfen, ob Backups tatsächlich vorhanden, aktuell und wiederherstellbar sind. Nicht, ob ein Haken gesetzt wurde, sondern ob im Zweifel wirklich etwas zurückkommt.
Prüfung von Backup-Strategie, Wiederherstellungsfähigkeit (Restore-Test) und Einhaltung der 3-2-1-Regel. Ergebnis ist eine Bewertung der Recovery-Fähigkeit inklusive realistischer Wiederherstellungszeit (RTO/RPO).
Einordnung
Digitale Souveränität
Aus derselben Bestandsaufnahme stellt sich eine zweite Frage: Wer hat eigentlich die Kontrolle über Deine Daten und Systeme? Welche Abhängigkeiten von einzelnen Anbietern bestehen, wo liegen Daten außerhalb Deines Einflussbereichs, was passiert, wenn ein Anbieter ausfällt oder sich die Bedingungen ändern? Die gleiche Analyse, ein anderer Blickwinkel.
Auswertung derselben Bestandsaufnahme unter dem Aspekt Kontrolle und Abhängigkeit: Anbieterbindung, Datenstandort, Exit-Optionen, Betriebskontinuität bei Anbieterausfall. Ergebnis ist eine Souveränitätsbewertung mit konkreten Diversifizierungsoptionen.
Rechtliche Anforderungen
Dieselben Befunde, eine weitere Frage: Was ist für Dein Unternehmen aufgrund von Branche, Größe oder Tätigkeit gesetzlich verpflichtend — und was nicht? Aus NIS2, DSGVO oder branchenspezifischen Vorgaben wird oft mehr herausgelesen, als tatsächlich zutrifft. Wir klären, was wirklich für Dich gilt.
Einordnung der Bestandsaufnahme gegen den für Dein Unternehmen tatsächlich geltenden regulatorischen Rahmen — NIS2, DSGVO, branchenspezifische Vorgaben. Ergebnis ist eine klare Pflichtenliste: was verbindlich ist, was empfohlen, was nicht zutrifft.
Häufige Fragen
Häufige Fragen zum Sicherheitskompass
Warum brauche ich eine Bestandsaufnahme — bei uns ist doch nie etwas passiert?
Dass nichts passiert ist, heißt nicht, dass nichts da ist. Die meisten Schwachstellen fallen erst auf, wenn jemand gezielt hinschaut — oder wenn es zu spät ist. Die Bestandsaufnahme ersetzt die Einschätzung („bei uns läuft das schon") durch Wissen: Was ist von außen sichtbar, was ist bereits exponiert, was bleibt im Ernstfall übrig? Erst mit diesem Bild lässt sich entscheiden, ob überhaupt etwas zu tun ist — und was zuerst.
Was ist die Seetauglichkeitsprüfung?
Ein persönliches Gespräch zwischen uns, bevor irgendetwas anderes beginnt. Keine Technik, keine Messung — sondern die Klärung, worauf es bei Deinem Unternehmen wirklich ankommt: Was muss laufen, damit Dein Geschäft läuft? Erst danach folgt die technische Bestandsaufnahme. So messen wir nicht alles, sondern das Richtige.
Was unterscheidet den Sicherheitskompass von einem Penetrationstest?
Ein Penetrationstest simuliert einen gezielten Angriff auf ein System — punktuell und technisch. Der Sicherheitskompass zeichnet das Gesamtbild: Technik, Organisation, Verhalten und rechtliche Einordnung. Er beantwortet nicht die Frage „Kommt jemand rein?", sondern „Wo stehst Du — und was ist als Nächstes dran?". Ein Pen-Test kann später ein sinnvoller Baustein sein; die Orientierung kommt zuerst.
Was wird bei der Bestandsaufnahme konkret geprüft?
Vier Werkzeuge liefern je ein Stück des Bildes: Ein externer Schwachstellen-Scan zeigt, was ein Angreifer von außen sieht. Der Darkweb-Scan prüft, ob Zugangsdaten Deines Unternehmens bereits in Datenlecks kursieren. Das Audit nach Cert+ von Securepoint erfasst Technik und Organisation über sieben Kategorien — von Netzwerk über Identitäten bis Awareness. Und die Backup-Prüfung klärt, ob Deine Datensicherung im Ernstfall tatsächlich wiederherstellt, was sie verspricht.
Woher weiß ich später, ob Maßnahmen gewirkt haben?
Weil die Bestandsaufnahme eine Baseline schafft: einen dokumentierten Ausgangspunkt, gegen den jede spätere Messung läuft. Ohne diesen Referenzpunkt bleibt jede Aussage über Fortschritt eine Vermutung. Mit ihm wird Verbesserung messbar — nicht nur behauptet.
Muss ich danach alles umsetzen, was im Bericht steht?
Nein. Das Ergebnis ist kein Pflichtenkatalog, sondern eine Entscheidungsgrundlage. Wir priorisieren gemeinsam nach Schutzwirkung und Aufwand — und trennen klar, was gesetzlich verbindlich ist, was empfohlen und was für Dein Unternehmen schlicht nicht zutrifft. Du entscheidest, was wann angegangen wird. Wir sorgen dafür, dass Du es auf Grundlage von Fakten tust.
Gilt NIS2 überhaupt für mein Unternehmen?
Das hängt von Branche, Größe und Tätigkeit ab — und aus NIS2, DSGVO oder branchenspezifischen Vorgaben wird oft mehr herausgelesen, als tatsächlich zutrifft. Genau das klärt die rechtliche Einordnung im Sicherheitskompass: eine klare Pflichtenliste, was für Dich verbindlich ist, was empfohlen — und was nicht gilt. Damit Du weder zu wenig tust noch Geld für Anforderungen ausgibst, die Dich nicht betreffen.
Was hat digitale Souveränität mit IT-Sicherheit zu tun?
Beides beruht auf derselben Frage: Wer hat die Kontrolle? Die Bestandsaufnahme zeigt nicht nur Schwachstellen, sondern auch Abhängigkeiten — von einzelnen Anbietern, von Datenstandorten, von Diensten, deren Ausfall Dein Geschäft trifft. Die Souveränitätsbewertung macht daraus einen Blick auf die Handlungsfähigkeit Deines Unternehmens: Was passiert, wenn ein Anbieter ausfällt oder die Bedingungen ändert — und welche Alternativen hast Du?
Überzeugt?
Lass uns sprechen.
Wir schauen uns gemeinsam an, wo Du stehst.