Die Menschen hinter Spirity

Spirity Enterprise ist ein unabhängiges, in ungarischem Eigentum stehendes Beratungshaus für IT-Transformation und Cybersicherheit. Gegründet wurde es von IT- und Sicherheitsverantwortlichen aus Kundenkarrieren in Telekommunikation, Versorgungswirtschaft und Bankwesen, die jeweils mehr als 25 Jahre dieser Erfahrung mitbrachten — das Unternehmen selbst ist jünger als diese Zahl, und wir sagen das lieber, als beides ineinanderlaufen zu lassen.

Wir sind bewusst klein. Wer Ihre Arbeit zuschneidet, erbringt sie auch — eine strukturelle Entscheidung und kein Zustand, aus dem wir herauswachsen wollen. Es ist zugleich das, worauf wir setzen: Ein Haus dieser Größe kann kein schwaches Team hinter einer Marke verstecken.

Drei eingetragene Gesellschaften: Spirity Enterprise cPlc. in Budapest als Hauptsitz, Spirity GmbH in Wien und Spirity Enterprise Middle East FZCO in Dubai. Jede ist eine echte Gesellschaft in ihrem Register, mit eigenen Kennnummern und eigener Anschrift — die Angaben stehen in unserem Impressum und werden nicht bloß angedeutet.

Die Arbeit kann aus jeder der drei erbracht werden. Welche Gesellschaft mit Ihnen kontrahiert, hängt meist davon ab, wo Sie sitzen und was Ihrem Einkauf entgegenkommt — nicht davon, wer die Arbeit macht.

Wir arbeiten auf Ungarisch, Englisch und Deutsch. Zu den Daten: Die Antwort hängt an der Leistung, nicht an unserer Adresse — die Überwachungsleistungen halten Ihre Logs in Ihrem eigenen Cloud-Tenant, und das sagen wir auf den Seiten, wo es zählt. Fragen Sie je Leistung, und Sie bekommen eine klare Antwort; fragen Sie das Unternehmen als Ganzes, rät jede Beratung, die selbstbewusst antwortet.

Beides, nach Ebenen getrennt — und wir zeigen die Linie lieber, als sie zu verwischen.

Wo wir eine Partnerplattform weiterverkaufen — Managed Detection and Response, Lieferkettenüberwachung, Digital Risk Protection —, sind wir der autorisierte Reseller und Ihr Vertragspartner. Das ist keine Formalie: Erfolgt der Bezug über einen autorisierten Reseller, gelten die zwischen Reseller und Kunde vereinbarten Bedingungen. Ein Vertrag, eine verantwortliche Partei und eine Eskalation, die bei uns landet und nicht in einer Hersteller-Hotline in einer anderen Zeitzone.

Wo die Arbeit Beratung, Untersuchung, Architektur, Härtung, Regelwerk, Programmleitung oder ein Plattformaufbau ist, machen sie unsere eigenen Leute. Der Beleg dafür ist das Unglamouröseste, was wir besitzen: an Benchmarks gemessene Härtungsberichte, Vorschläge zu Firewall-Regelwerken und Netzwerkzonierung, SIEM-Einführungen. Keine Foliensätze.

Drei Dinge, und das steht seit Jahren so in unserer eigenen Vorstellung: M&A-Beratung auf der IT-Seite, IT-Transformation und Cybersicherheit — letzteres zunehmend im Sinne regulatorisch getriebener Programme und virtueller CISO-Arbeit.

Was wir nicht tun, nach Häufigkeit. Wir betreiben kein eigenes 24/7-Security-Operations-Center; das gehört unserem Partner, unter unserem Vertrag, und etwas anderes zu behaupten fiele bei der ersten Rückfrage auf. Wir zertifizieren niemanden nach ISO 27001 oder CMMC — die Akkreditierungsregeln verbieten es, ein Managementsystem zu zertifizieren, an dessen Aufbau man mitgewirkt hat; wir halten unser eigenes Zertifikat und stellen keines aus. In Beratungsmandaten fassen wir Ihre Produktivsysteme nicht an: Wir spezifizieren, prüfen nach und schreiben den Nachweis — die Änderung nimmt jemand mit Zugriff vor.

Und wir sind keine SAP-Anwendungssicherheitspraxis, keine Pentest-Boutique und nicht die richtige Antwort für ein Unternehmen, das als Generalunternehmer ein globales Follow-the-Sun-SOC möchte.

Dieselben, weil wir gar nicht genug sind, als dass es anders funktionieren könnte.

Mandate werden mit benannten Rollen besetzt, nicht aus einem Pool. In einem Compliance-Programm sind das ein leitender Berater, dem die Beziehung und die Berichterstattung an Ihre Führung gehören, ein qualifizierter Sicherheitsbeauftragter dort, wo die Rolle gesetzlich verlangt ist, ein Consultant für Richtlinien und Nachweise sowie ein technischer Experte für Zugriffs-, Endpunkt-, Protokollierungs- und Backup-Maßnahmen. In einem Transformationsprogramm ein Programmmanager sowie leitende Business- und IT-Architekten.

Ein bewusster struktureller Punkt: Die Leistung ist so gebaut, dass sie nicht an der Erreichbarkeit einer einzelnen Person hängt. Das ist der typische Fehlerfall eines Teilzeit-Senior-Mandats, und die Antwort darauf ist ein benanntes Team mit definierten Rollen — kein einzelner heldenhafter Berater mit einer Mobilnummer.

Telekommunikation, Energie und Versorgung sowie Banken und Finanzdienstleistungen. Diese drei sind keine Marktsegmentliste: Dort haben die Gründer ihre Laufbahn verbracht, bevor es dieses Unternehmen gab — das ist eine andere Art von Wissen als ein Projekt in der Branche.

Die Referenzen dahinter: eine der größten ungarischen Banken mit internationalen Tochtergesellschaften, wo ein Programm aus Lieferketten-, Marken- und Führungskräfteschutz anschließend auf elf Länder ausgerollt wurde; das Greenfield-Security-Operations-Center eines ungarischen Telekommunikationsunternehmens, samt Vorbereitung darauf, diese Fähigkeit selbst weiterzuverkaufen; das Telko-M&A-Programm einer IKT-Gruppe, in dem wir die Verhandlung des IT-Übergangsleistungsvertrags geführt haben; und eine Fusion im Energiesektor, in der dieselbe Methodik die Governance von der Due Diligence bis zum Projektabschluss getragen hat.

Wir arbeiten auch in der Automobilindustrie und im öffentlichen Sektor, mit geringerer Tiefe — und wir sagen Ihnen, was wovon ist.

Eine berechtigte Frage, die die meisten Häuser ungenau beantworten.

Spirity hält ISO/IEC 27001, erlangt Anfang 2025 über eine UKAS-akkreditierte Zertifizierungsstelle, im Geltungsbereich unseres eigenen Betriebs als Managed Security Service Provider. Das zertifiziert, wie wir mit Informationen umgehen — auch mit Ihren, solange wir sie halten. Es ist kein Zertifikat für Ihre Organisation, und das Zertifikat eines Lieferanten ist das nie.

Unser Lieferteam hält Microsoft-Azure-Security-Zertifizierungen, und auf der Compliance-Seite bringen unsere Consultants die einschlägigen persönlichen Qualifikationen mit. Hinzu kommt eine Bonitätsbewertung im oberen Band, die einem Sicherheitsprüfer weniger sagt und einer Einkaufsabteilung mehr.

Wenn ein Zertifikat für Ihre Entscheidung tragend ist, lassen Sie sich statt des Logos die Geltungsbereichserklärung geben. Dieses Dokument sagt, was tatsächlich geprüft wurde.

Ein Big-Four-Mandat liefert meist einen Bericht. Ein großer MSSP liefert meist eine Plattform. Die Mitte gehört keinem von beiden — und genau dort bleiben die meisten Sicherheitsprogramme stecken: dort, wo aus Feststellungen die tatsächliche Aufgabe von jemandem wird.

Was wir dagegensetzen: Wer die Arbeit zugeschnitten hat, erbringt sie auch; Beratung und technische Fähigkeit sitzen im selben Team, sodass eine Roadmap von Leuten geschrieben wird, die später dagegen bauen müssen; und Plattformen auf Partnerniveau kommen über einen Vertrag mit uns statt über eine eigene Beziehung je Anbieter.

Wo wir die falsche Antwort sind: wenn Sie einen zertifizierenden Auditor brauchen, als Generalunternehmer ein globales Follow-the-Sun-SOC wollen, oder die institutionelle Deckung eines Markennamens vor einem Gremium benötigen, das ein kleineres Haus nicht akzeptiert. Das sind echte Gründe, und wir sagen sie lieber hier als in einer Ausschreibungsrunde.