Unternehmensberatung · IT-Sicherheit
Der Schaden kommt selten spektakulär.
In kleinen Betrieben ist der häufigste Vorfall kein Angriff aus dem Film, sondern ein gekapertes Postfach oder eine Sicherung, die seit Monaten nicht mehr läuft. Wir nehmen auf, wo Sie tatsächlich verwundbar sind, und klären, was im Ernstfall passiert.
Warum die üblichen Sicherheitsdebatten am Betrieb vorbeigehen
Sicherheitsberatung fängt oft bei Technik an, die für einen Betrieb mit fünfzehn Leuten nie relevant wird. Was in der Praxis Schaden anrichtet, ist unspektakulär: ein Passwort, das an drei Stellen gleichzeitig gilt, ein Zugang, der nach dem Ausscheiden nie entzogen wurde, eine Sicherung, die zwar läuft, aber nie zurückgespielt wurde.
Die zweite Lücke ist der Ernstfall selbst. Fast jeder Betrieb hat irgendeine Sicherung. Kaum einer kann sagen, wie lange eine Wiederherstellung dauert, wer sie macht, und wie lange der Betrieb ohne die Systeme weiterarbeiten kann. Genau das entscheidet, ob ein Vorfall ein Ärgernis oder eine Existenzfrage wird.
Die dritte Lücke ist organisatorisch: Wer merkt überhaupt, dass etwas passiert ist, und wen ruft diese Person an? Ohne festgelegten Ablauf vergehen im Ernstfall Stunden mit der Frage, wer zuständig ist.
Diese Beratung nimmt deshalb beides auf: den technischen Zustand und den Ernstfallablauf. Am Ende steht eine Liste, die nach Eintrittswahrscheinlichkeit und Schadenshöhe sortiert ist, nicht nach technischer Eleganz.
Für die meisten Betriebe sind die wirksamsten Maßnahmen die unspektakulären: zweiter Faktor auf den wichtigen Zugängen, ein geprüfter Rückspielweg, eine aktuelle Übersicht der Zugänge. Das steht dann auch so im Bericht, auch wenn es weniger beeindruckend klingt.
Was in den Beratungstagen passiert
- Bestandsaufnahme der Systeme und Zugänge
- Welche Systeme sind im Einsatz, wer hat worauf Zugriff, wo hängen Zugänge an Einzelpersonen, welche Konten sind nach einem Ausscheiden aktiv geblieben.
- Sicherungen und Wiederherstellung prüfen
- Nicht nur, ob eine Sicherung läuft, sondern wohin sie geht, wie alt der jüngste Stand ist und ob jemals eine Wiederherstellung getestet wurde. Eine ungeprüfte Sicherung ist eine Vermutung.
- Risiken bewerten statt aufzählen
- Jede Lücke wird nach Eintrittswahrscheinlichkeit und möglichem Schaden eingeordnet, bezogen auf Ihren Betrieb. Ein theoretisches Risiko ohne Bezug zu Ihrer Arbeitsweise gehört nicht auf die Liste.
- Notfallablauf entwerfen
- Wer bemerkt einen Vorfall, wen ruft er an, was wird zuerst abgeschaltet, wie lange dauert die Wiederherstellung, wie arbeitet der Betrieb in der Zwischenzeit weiter.
Wie die Beratung abläuft
- Vorgespräch, kostenfrei, etwa 30 Minuten Wir klären den Umfang und ob es einen konkreten Anlass gibt, etwa eine Kundenanforderung oder einen zurückliegenden Vorfall.
- Tag 1: Aufnahme vor Ort Systeme, Zugänge, Sicherungen, Arbeitsweise. Dazu Gespräche mit den Personen, die im Ernstfall handeln müssten.
- Auswertung zwischen den Terminen Bewertung der Risiken, Entwurf des Notfallablaufs, Priorisierung der Maßnahmen. Diese Zeit wird nicht als Beratungstag abgerechnet.
- Tag 2: Durchsprache Wir gehen Risiken und Maßnahmen gemeinsam durch und legen fest, was Sie selbst umsetzen und wofür externe Hilfe nötig ist.
- Bericht und Übergabe Bestandsaufnahme, bewertete Risikoliste, Notfallablauf und priorisierte Maßnahmen mit Umsetzungsanleitung.
Was Sie am Ende in der Hand halten
- Bewertete Risikoliste
- Sortiert nach Eintrittswahrscheinlichkeit und Schadenshöhe, jeweils mit Ursache und empfohlener Gegenmaßnahme.
- Notfallablauf auf einer Seite
- Wer macht was in welcher Reihenfolge, mit Rufnummern. Bewusst kurz, weil im Ernstfall niemand ein Handbuch liest.
- Bewertung der Sicherungslage
- Was gesichert ist, was nicht, wie alt der jüngste Stand ist und wie lange eine Wiederherstellung realistisch dauert.
- Priorisierte Maßnahmenliste
- Mit Aufwand, Kostenrahmen und der Angabe, was Ihr Team selbst erledigen kann.
Was nicht Teil dieser Beratung ist
- Kein Penetrationstest
- Wir greifen Ihre Systeme nicht aktiv an. Das ist eine eigene Leistung mit eigener Beauftragung und eigener rechtlicher Absicherung.
- Keine Umsetzung
- Einrichten von Mehr-Faktor-Anmeldung, Sicherungen oder Endgeräteschutz sind getrennte Leistungen mit eigenem Angebot.
- Keine Zertifizierung
- Der Bericht ist kein Nachweis nach ISO 27001 oder einem vergleichbaren Standard und ersetzt kein Audit.
- Keine forensische Untersuchung
- Bei einem laufenden oder zurückliegenden Vorfall braucht es eine forensische Analyse. Die ist etwas anderes als diese Bestandsaufnahme.
Aufwand und Preis
Üblicherweise zwei Beratungstage
Ein Betrieb mit einem Standort und überschaubarer Systemlandschaft ist in zwei Tagen aufgenommen und ausgewertet. Mehrere Standorte oder eine gewachsene Serverlandschaft brauchen einen dritten Tag. 1.250 Euro je Beratungstag zu acht Stunden, zzgl. Umsatzsteuer, Anreise und, wenn nötig, Übernachtung.
1.250 Euro je Beratungstag zu 8 Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung.
Was das in Zahlen heißt
| Beratungstage | Honorar, netto |
|---|---|
| 1 | 1.250 Euro |
| 2 | 2.500 Euro |
| 3 | 3.750 Euro |
| 4 | 5.000 Euro |
| 5 | 6.250 Euro |
1.250 Euro je Beratungstag zu 8 Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung.
IT-Sicherheit: Häufige Fragen
Was kostet die Bestandsaufnahme zur IT-Sicherheit?
1.250 Euro je Beratungstag zu acht Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung. Üblich sind zwei Tage, also 2.500 Euro netto.
Ist das ein Penetrationstest?
Nein. Wir greifen nichts an, sondern nehmen den Zustand auf und bewerten Risiken. Ein Penetrationstest ist eine eigene Leistung mit eigener Beauftragung und ergibt erst Sinn, wenn die Grundlagen stimmen.
Wir haben doch eine Sicherung. Reicht das nicht?
Eine Sicherung ohne getesteten Rückspielweg ist eine Vermutung. Wir prüfen, wohin gesichert wird, wie alt der jüngste Stand ist und wie lange eine Wiederherstellung realistisch dauert. Genau daran scheitert es im Ernstfall am häufigsten.
Bekommen wir einen Nachweis für unsere Kunden oder die Versicherung?
Sie bekommen einen strukturierten Bericht mit bewerteten Risiken und Maßnahmen. Das ist kein Zertifikat und kein Audit nach ISO 27001. Für formale Nachweise brauchen Sie eine akkreditierte Stelle.
Was, wenn wir gerade einen Vorfall haben?
Dann ist diese Beratung das falsche Mittel. Ein laufender Vorfall braucht sofortige Eindämmung und gegebenenfalls forensische Analyse. Rufen Sie an, wir sagen Ihnen ehrlich, was jetzt zuerst zu tun ist.
Wie viel kosten die empfohlenen Maßnahmen üblicherweise?
Die wirksamsten sind meist die günstigen: zweiter Faktor auf wichtigen Zugängen, ein Passwort-Manager, ein geprüfter Rückspielweg, eine Zugangsübersicht. Der Bericht enthält je Maßnahme einen Kostenrahmen, damit Sie vor dem Einholen von Angeboten wissen, worüber Sie reden.
Erst reden, dann beauftragen
Ein Gespräch von 30 Minuten klärt, ob eine Beratung das richtige Mittel ist. Wenn nicht, sagen wir das dort.
Zuletzt geprüft: