Sicherheit, die Sie gegenüber Auftraggebern belegen können
Im technischen Zulieferumfeld reicht es nicht, geschützt zu sein. Sie müssen zeigen können, dass Projektdaten getrennt liegen, Zugriffe begrenzt sind und Vereinbarungen zur Geheimhaltung technisch abgebildet werden.
Ottobrunn liegt rund 12 km südöstlich unseres Münchner Standorts. Luft- und Raumfahrt sowie technische Zulieferer prägen den Raum, dazu kommen Ingenieurbüros. Die Besonderheit für die IT-Sicherheit liegt weniger in der Angriffslage als in der Nachweislage: Wer in solchen Lieferketten arbeitet, unterschreibt Geheimhaltungsvereinbarungen, beantwortet Sicherheitsfragebögen und muss belegen, dass Daten aus verschiedenen Projekten nicht vermischt werden. Sicherheit wird damit zur Voraussetzung für den Auftrag selbst. Ob eine konkrete vertragliche oder ausfuhrrechtliche Pflicht besteht, klären Sie mit Ihrer Rechtsberatung — wir sorgen dafür, dass die getroffene Festlegung im System greift.
Projekte laufen getrennt
Eigene Ablagen, eigene Berechtigungsgruppen und bei Bedarf eigene virtuelle Umgebungen je Auftrag statt eines gemeinsamen Projektlaufwerks.
Antworten für Fragebögen
Wir pflegen die technischen Angaben, die Auftraggeber regelmäßig abfragen, so, dass Sie sie ohne Nachrecherche verwenden können.
Kontrollierter Datenaustausch
Übergaben an Partner laufen über definierte Wege mit Verschlüsselung, Ablaufdatum und Empfängernachweis statt über wechselnde Ad-hoc-Lösungen.
Zugriff endet mit dem Projekt
Berechtigungen sind an die Projektlaufzeit gebunden und werden zum Abschluss systematisch entzogen, nicht bei Gelegenheit.
Geheimhaltungspflichten in Systemeinstellungen übersetzen
Eine Geheimhaltungsvereinbarung ist zunächst ein juristischer Text. Damit sie im Alltag wirkt, muss sie in konkrete Einstellungen übersetzt werden: Wer darf die Unterlagen öffnen, dürfen sie das Unternehmensnetz verlassen, ist Weiterleitung per E-Mail zulässig, wie lange müssen sie aufbewahrt und wann müssen sie gelöscht werden.
Wir gehen die Vereinbarungen mit Ihnen durch und leiten eine Umsetzungsliste ab. Punkte, die sich technisch nicht abbilden lassen, benennen wir offen, damit sie organisatorisch geregelt werden.
- ✓Auswertung bestehender Vereinbarungen nach umsetzbaren Anforderungen
- ✓Klassifizierung von Dokumenten mit daran gekoppelten Regeln
- ✓Steuerung von Weiterleitung, Kopie und externem Zugriff
Mandantentrennung in Ablagen und Umgebungen
Der häufigste Befund ist ein gewachsenes gemeinsames Projektlaufwerk, auf das mit der Zeit fast alle Zugriff bekommen haben. Für Auftraggeber, die strikte Trennung erwarten, ist das nicht haltbar.
Wir schneiden die Struktur deshalb neu: eine Ablage je Auftrag, eine Gruppe je Ablage, Mitgliedschaften nur für tatsächlich beteiligte Personen. Wo Auftraggeber weitergehende Trennung verlangen, richten wir gesonderte virtuelle Arbeitsumgebungen ein, deren Daten das jeweilige Segment nicht verlassen. Konstruktions- und Simulationsdaten behandeln wir dabei wie Produktivdaten, nicht wie Arbeitskopien.
- ✓Neuschnitt der Ablagestruktur entlang von Aufträgen
- ✓Gesonderte virtuelle Arbeitsumgebungen bei erhöhter Anforderung
- ✓Kontrolle von Wechselmedien und lokalen Kopien auf Arbeitsplätzen
Externe Beteiligte einbinden, ohne das Netz zu öffnen
Ingenieurprojekte laufen selten ohne externe Konstrukteure, Prüfstellen oder Softwarepartner. Diese Beteiligten brauchen Zugriff, dürfen aber nicht dieselbe Sicht bekommen wie Ihre Belegschaft. Wir richten dafür befristete Konten mit eigenem zweiten Faktor ein, die ausschließlich auf die freigegebene Projektablage wirken.
Fernzugriffe externer Partner laufen über kontrollierte Verbindungen, die im Ruhezustand geschlossen sind und für einen vereinbarten Zeitraum geöffnet werden. Was in dieser Zeit passiert, wird protokolliert. Direkt aus dem Internet erreichbare Verwaltungszugänge schalten wir ausnahmslos ab.
- ✓Befristete Gastkonten mit eigenem zweiten Faktor
- ✓Fernzugänge nur auf Anforderung geöffnet und protokolliert
- ✓Abschaltung direkt erreichbarer Remote- und Verwaltungsdienste
Nachweise führen statt im Auditfall zu suchen
Sicherheitsfragebögen von Auftraggebern fragen fast immer dieselben Punkte ab: Verschlüsselung, Rechteverwaltung, Protokollierung, Aktualisierungsstand, Notfallvorsorge, Umgang mit Vorfällen. Wer diese Angaben jedes Mal neu zusammensucht, verliert Zeit und antwortet uneinheitlich.
Wir führen deshalb eine gepflegte technische Maßnahmenübersicht, die den Ist-Stand Ihrer Umgebung beschreibt und bei Änderungen fortgeschrieben wird. Sie orientiert sich an gängigen Strukturen wie dem BSI-Grundschutz, ohne dass daraus eine Zertifizierungsaussage wird — weder für Ihr Unternehmen noch für uns.
- ✓Fortlaufend gepflegte Übersicht technischer Maßnahmen
- ✓Wiederverwendbare Antwortbausteine für Kundenfragebögen
- ✓Protokollierung mit definierter Aufbewahrung und Auswertbarkeit
- ✓Änderungsdokumentation, aus der Zeitpunkt und Anlass hervorgehen
NIS2 in der Lieferkette technisch vorbereiten
NIS2 wirkt für viele Zulieferer nicht über die eigene Einstufung, sondern über Anforderungen, die größere Auftraggeber vertraglich weitergeben. Praktisch bedeutet das: Risikobetrachtung, Meldeprozesse und Nachweise über Sicherheitsmaßnahmen werden abgefragt, auch wenn keine unmittelbare eigene Pflicht besteht.
Wir bereiten die technische Seite vor — dokumentierte Maßnahmen, auswertbare Protokolle, ein geübter Ablauf für Meldungen und benannte Zuständigkeiten. Ob und in welchem Umfang Sie erfasst sind, ist eine Rechtsfrage und gehört zu Ihrer Rechtsberatung; wir geben dazu keine Einschätzung ab.
- ✓Technische Grundlagen für Risikobetrachtung und Nachweisführung
- ✓Geübter Ablauf zur Meldung sicherheitsrelevanter Ereignisse
- ✓Benannte technische Ansprechpartner mit Vertretungsregelung
- ✓Abstimmung mit Ihren Vertragsanforderungen aus der Lieferkette
Häufige Fragen
In der Regel ja, es lohnt sich aber zu prüfen, was genau gefordert ist. Häufig meint die Anforderung eine logisch strikt getrennte Umgebung ohne gemeinsame Konten, was sich mit virtueller Trennung erreichen lässt. Ist tatsächlich eigene Hardware gefordert, planen wir ein eigenständiges kleines Segment mit eigener Sicherung.
Wir entziehen Konten, Gruppenmitgliedschaften und Gerätezugriff und löschen Unternehmensdaten aus der Ferne. Für lokale Kopien ist Vorbeugung entscheidender als Nachsorge: Sind Wechselmedien gesperrt und Ablagen nicht lokal synchronisiert, entstehen sie gar nicht erst. Den Vorgang halten wir schriftlich fest.
Das entscheidet Ihr Vertrag mit dem Auftraggeber, nicht die Technik. Manche Vereinbarungen schließen die Verarbeitung außerhalb bestimmter Regionen aus, andere verlangen lediglich Verschlüsselung und Zugriffskontrolle. Wir setzen um, was vereinbart ist, und weisen darauf hin, wenn eine bestehende Konfiguration einer Vertragsklausel widerspricht. Die vertragliche Auslegung selbst nehmen wir nicht vor.
Solche Systeme kommen in Ingenieurbüros regelmäßig vor, meist wegen einer Lizenz- oder Treiberbindung. Wir isolieren sie in einem eigenen Segment ohne Internetzugang und regeln den Datentransfer über eine kontrollierte Zwischenablage. Das ersetzt keine Aktualisierung, senkt das Risiko aber erheblich.
Die Anfahrt beträgt rund 12 km und ist je nach Verkehrslage zügig zu bewältigen. Bei Vorfällen beginnen wir sofort remote mit der Eindämmung, während parallel jemand losfährt — Zugänge sperren gelingt ortsunabhängig, Netz- und Hardwarearbeiten nicht. Umbauten planen wir außerhalb Ihrer Projektspitzen.
Lass uns über dein Projekt sprechen
Kostenloses Erstgespräch & IT-Bestandsaufnahme – unverbindlich und ohne versteckte Kosten.