Ihr Partner für Cybersicherheit und Resilienz

Nein. Das ist der normale Ausgangspunkt — und ein selbstbewusst beschriebenes Problem ist ohnehin oft das falsche.

Das erste Gespräch ist kurz und enthält drei Fragen: Worauf könnten Sie keinen Tag verzichten, was ist bereits vorhanden, und was treibt den Zeitpunkt — ein Kunde, ein Prüfer, ein Versicherer oder etwas, das bereits passiert ist. Das genügt meist, um zu sagen, ob Sie eine Untersuchung brauchen, einen Menschen, oder eine Telefonnummer für zwei Uhr nachts.

Wenn Sie lieber mit etwas in der Hand kommen: Unsere Selbsteinschätzung umfasst zwölf Fragen über acht Bereiche, dauert rund fünf Minuten und liefert einen priorisierten Bericht, dem man widersprechen kann.

Niemand im Besonderen — und genau darum geht es. Die meisten Angriffe sind nicht gezielt, sondern automatisiert: Sie finden einen exponierten Dienst oder ein wiederverwendetes Passwort, kein Unternehmen, das jemand ausgewählt hätte.

Die veröffentlichten Messungen sind hier unfreundlich. Unabhängige Untersuchungen von 2025 unter kleinen und mittleren Unternehmen fanden rund vier von fünf in den beiden untersten Resilienzstufen, die meisten ohne automatisierte Sicherung und nur wenige mit einer Cyberversicherung.

Die Frage ist also nicht, ob Sie einen Angriff wert sind. Sie ist, ob Sie ihn verkraften — und in Ihrer Größenordnung ist der Spielraum für zwei schlechte Wochen meist kleiner als bei den Großen, die in die Nachrichten kommen.

Indem man es messbar macht — was bei jeder Aussage über Sicherheitsmaßnahmen eine faire Erwartung ist.

Eine strukturierte Untersuchung an einem anerkannten Rahmenwerk beantwortet das in Wochen: Was existiert, was ist dokumentiert, was läuft tatsächlich, und was würde das Schließen jeder Lücke kosten. Dazu gehören Fragebögen mit Ihren eigenen Leuten, ein externer Scan dessen, was das Internet von Ihnen sieht, und eine Prüfung von Identitäts-, Endpunkt- und Cloud-Konfiguration.

Zurück kommt ein bewertetes Bild mit priorisierten Lücken. Ihr IT-Leiter hat dann eine Liste, der er Punkt für Punkt widersprechen kann, statt einer Frage, die er verteidigen muss — das ist für beide Seiten das bessere Gespräch, und in den meisten Punkten hat er ohnehin recht.

Das ist der häufigste Grund, aus dem Unternehmen uns anrufen — und es ist zuerst ein Dokumentationsproblem, dann ein Sicherheitsproblem.

Wir ordnen den Fragebogen einem Rahmenwerk zu, finden, was Sie bereits haben — meist mehr als gedacht —, schreiben die tatsächlich fehlenden Richtlinien und Aufzeichnungen und übergeben Ihnen das Nachweispaket.

Das Nützliche daran: Es ist wiederverwendbar. Großkunden und Versicherer fragen immer wieder dasselbe ab, der zweite Fragebogen kostet einen Bruchteil der Zeit, und der dritte ist überwiegend Heraussuchen. Was Sie für einen Kunden tun, tun Sie für die nächsten zwanzig.

Weil ein Werkzeug allein nichts verändert. Jemand muss es verantworten, auf Ihre Umgebung abstimmen und mit dem arbeiten, was es ausgibt — und wenn diese Aufgabe niemandem gegeben wurde, hätte das Produkt nie funktioniert, was immer es gekostet hat.

Wir beginnen mit Ihrem Risiko, Ihrer Aufsicht und Ihrer Geschäftsleitung, nicht mit einem Produktkatalog. Technik wird ausgewählt, um der Roadmap zu dienen, nicht umgekehrt.

Wo wir Technik einbringen, kommt sie als Leistung: benannte Verantwortliche und Termine hinter jeder Aufgabe und ein Monatsbericht darüber, was sich bewegt hat. Wenn sich nichts bewegt hat, ist auch das sichtbar — und genau dieser Teil fehlte den meisten Produktkäufen.

Löschen oder rebuilden Sie vorerst nichts. Wie viel von der Antwort Sie je bekommen, hängt davon ab, was die erste Stunde überlebt.

Trennen Sie betroffene Rechner vom Netz, lassen Sie sie aber eingeschaltet. Erzwingen Sie ein Passwort-Reset für privilegierte Konten. Und schreiben Sie Zeiten und Handlungen mit, während Sie sie vornehmen — dieses Protokoll wird zum Rückgrat von allem Weiteren, auch gegenüber Versicherung und Aufsicht.

Dann rufen Sie jemanden an. Wir halten Retainer für digitale Forensik und Incident Response mit einem 24/7-Partner-SOC, und ein Einsatz unter einem bestehenden Retainer startet deutlich schneller als ein Kaltstart. Sind Sie kein Kunde, rufen Sie trotzdem an — wir sagen Ihnen ehrlich, ob wir der schnellste Weg sind oder jemand anderes.

Drei Größenordnungen — und jede wird als fester Umfang zu festem Honorar angeboten, bevor Sie sich binden.

Eine einmalige Untersuchung: benannter Umfang, Bericht, priorisierter Plan. So beginnen die meisten Engagements, und danach verpflichtet Sie nichts.

Eine laufende Beratung oder Sicherheitsführung: eine monatliche Pauschale, üblicherweise über zwölf Monate, weil Arbeit an der Sicherheitslage, die nach einem Quartal endet, nicht trägt.

Ein Projekt: Einführung und Abstimmung einer Plattform oder eine technische Arbeit, zum Projektpreis, abgeschlossen mit dem Go-live.

Zur Einordnung: Eine Vollzeit-Sicherheitsleitung kostet mit Gehalt und Nebenkosten im Jahr nahe einer Viertelmillion Euro — genau deshalb gibt es das Teilzeitmodell.

Jemand muss es — und in vielen Häusern lautet die ehrliche Antwort derzeit: niemand. Dieselbe Untersuchung von 2025 fand bei rund zwei Dritteln keine benannte Verantwortung für Netzwerksicherheit.

Die Antwort ist selten, einen Chief Information Security Officer einzustellen. Sie besteht darin, die Verantwortung intern an einer realen Stelle zu verankern — meist bei einer vorhandenen Führungskraft, die entscheiden kann — und die Fachlichkeit in Teilzeit dazuzukaufen. Ein virtueller CISO liefert Strategie, Risikoentscheidungen und Berichterstattung an die Leitung, ohne eine Vollzeitkraft auf der Gehaltsliste.

In Ungarn kommt hinzu: Das Cybersicherheitsgesetz verlangt einen benannten, formal qualifizierten Sicherheitsbeauftragten, und diese Rolle lässt sich extern besetzen und registrieren. Ihre Verantwortung bleibt intern; die Qualifikation muss es nicht.