Zuerst das, was die größte Lücke schließt
In gewachsenen Umgebungen liegt das Risiko selten dort, wo das Budget hinfließt. Wir bewerten den Bestand nüchtern und beginnen mit den Maßnahmen, die pro eingesetztem Euro den größten Unterschied machen.
Unterhaching liegt rund 10 km südlich unseres Standorts in München. Das dortige Gewerbegebiet beherbergt Dienstleister, Handel und kleinere Produktionsbetriebe — Unternehmen, deren IT über Jahre mitgewachsen ist, ohne dass je ein Sicherheitskonzept dahinterstand. Typisch ist eine gemischte Landschaft: ein Server aus einer Beschaffungswelle, ein zweiter aus einer späteren, Arbeitsplätze verschiedener Generationen, dazu Anwendungen, die niemand ohne Not anfasst. Gleichzeitig ist der Kostendruck real. Sicherheitsarbeit muss hier priorisieren statt aufrüsten. Wir arbeiten mit einer Rangfolge nach Wirkung und Aufwand und legen offen, welches Restrisiko eine verschobene Maßnahme bedeutet.
Rangfolge statt Wunschliste
Jede empfohlene Maßnahme bekommt eine Einschätzung zu Wirkung, Aufwand und laufenden Kosten. Sie entscheiden, was wann kommt.
Altsysteme kontrolliert weiterbetreiben
Wo Ablösung nicht sofort möglich ist, kapseln wir das System ab, statt die Lücke unbeachtet zu lassen.
Bestehende Hardware nutzen
Wir prüfen, welche vorhandenen Geräte und Lizenzen die Anforderung schon erfüllen, bevor wir Neubeschaffung vorschlagen.
Verständliche Begründung
Jede Empfehlung enthält den Grund und die Folge des Nichtstuns — ohne Dramatisierung und ohne Fachjargon.
Was in gewachsenen Netzen typischerweise offen liegt
Wenn eine Umgebung über zehn oder fünfzehn Jahre gewachsen ist, entstehen Rückstände an vorhersehbaren Stellen. Firewall-Regeln längst abgeschlossener Projekte laufen weiter. Ein einmal angelegtes Dienstkonto hat weitreichende Rechte behalten. Ein Gerät ist von außen erreichbar, weil vor Jahren jemand von zu Hause arbeiten musste.
Wir erfassen diesen Bestand systematisch: welche Systeme laufen, welche Dienste sie anbieten, was von außen erreichbar ist, welche Konten existieren und welchen Aktualisierungsstand die Software hat. Das Ergebnis ist keine Bewertung Ihrer bisherigen Arbeit, sondern eine Arbeitsgrundlage.
- ✓Erfassung aller aktiven Systeme, Dienste und Netzübergänge
- ✓Prüfung, welche Zugänge aus dem Internet erreichbar sind
- ✓Auswertung vorhandener Konten samt Rechten und letzter Nutzung
Maßnahmen ordnen: was sofort wirkt, was Planung braucht
Nicht alles muss gleichzeitig geschehen. Manche Maßnahmen kosten wenig und wirken sofort — offene Fernzugänge schließen, ungenutzte Konten deaktivieren, Mehr-Faktor-Anmeldung für Verwaltungszugänge einschalten, Sicherungen vom Produktivnetz lösen. Diese Punkte setzen wir zuerst um.
Andere Vorhaben, etwa die Ablösung eines Servers oder eine saubere Netztrennung, brauchen Vorlauf und ein Zeitfenster. Sie bekommen einen konkreten Zielmonat statt eines unbestimmten Vermerks, damit sie sichtbar bleiben.
- ✓Sofortmaßnahmen ohne nennenswerte Kosten zuerst
- ✓Mittelfristige Vorhaben mit Zielmonat und Aufwandsschätzung
- ✓Quartalsweise Durchsicht der offenen Punkte
Server- und Anwendungsablösung ohne Sicherheitslücke im Übergang
Die Ablösung eines in die Jahre gekommenen Servers ist oft die wirksamste Sicherheitsmaßnahme, weil ein ganzes Bündel nicht mehr behebbarer Schwachstellen verschwindet. Riskant ist die Übergangsphase, in der alt und neu parallel laufen.
Wir planen den Wechsel mit klaren Schnitten: definierter Umstellungszeitpunkt, vorab getestete Rücksicherung, und das Altsystem wird danach vom Netz genommen und archiviert. Ein System, das nur noch als Datenarchiv dient, gehört nicht ins produktive Netz.
- ✓Umstellungsplan mit festem Zeitpunkt statt schleichendem Parallelbetrieb
- ✓Getestete Rücksicherung vor jedem Migrationsschritt
- ✓Konsequente Netztrennung abgelöster Systeme
- ✓Ablage abgelöster Bestände in einem gesicherten Offline-Archiv
Was sich nicht ersetzen lässt, wird eingekapselt
In Handel und kleiner Fertigung finden sich regelmäßig Systeme, die weiterlaufen müssen, obwohl der Hersteller sie nicht mehr aktualisiert — eine Maschinensteuerung, eine Kassenlösung, eine Branchenanwendung mit alter Datenbank. Sie abzuschalten ist keine Option, sie ungeschützt zu betreiben aber auch nicht.
Die praktikable Antwort ist Einkapselung: eigenes Netzsegment, kein Internetzugang, nur die tatsächlich benötigten Verbindungen erlaubt, Zugriff ausschließlich von definierten Arbeitsplätzen. Das beseitigt die Schwachstelle nicht, aber es macht sie von außen unerreichbar und begrenzt, was ein Angreifer von dort aus tun könnte.
- ✓Eigenes Segment für nicht mehr aktualisierbare Systeme
- ✓Zugriff nur von benannten, verwalteten Arbeitsplätzen
- ✓Schriftlicher Vermerk über bekanntes und akzeptiertes Restrisiko
Sicherung als letzte Verteidigungslinie
Wenn das Budget knapp ist und nur eine Sache gut gemacht werden kann, dann die Datensicherung. Sie ist die einzige Maßnahme, die auch dann noch hilft, wenn alle vorgelagerten Schutzschichten versagt haben — vorausgesetzt, sie ist vom Produktivsystem getrennt und wurde tatsächlich schon einmal zurückgespielt.
Wir richten Sicherungen so ein, dass Produktivkonten sie nicht löschen können und mindestens ein Stand außerhalb des Betriebsgeländes liegt. Anschließend testen wir die Rückspielung und halten die Dauer fest. Diese Zahl ist wichtiger als jede Datenblattangabe.
- ✓Sicherungsstände außerhalb des Zugriffs von Produktivkonten
- ✓Testrückspielung mit gemessener Dauer und schriftlichem Ergebnis
- ✓Regelmäßige Kontrolle, dass wirklich alle relevanten Systeme erfasst sind
Häufige Fragen
In der Regel mit vier Punkten, die zusammen wenig kosten: erreichbare Fernzugänge schließen, Mehr-Faktor-Anmeldung für Verwaltungs- und Postfachzugänge, ungenutzte Konten entfernen und die Datensicherung vom Produktivnetz lösen. Das beseitigt die Wege, über die die meisten automatisierten Angriffe hereinkommen — und ist überwiegend Konfigurationsarbeit.
Eine teure nicht zwangsläufig, eine geeignete schon. Für Betriebe dieser Größe reicht meist eine Kombination aus Firewall mit gepflegtem Regelwerk, verhaltensbasiertem Endgeräteschutz, Mehr-Faktor-Anmeldung und getesteter Sicherung. Entscheidend ist weniger der Funktionsumfang als die Frage, ob jemand die Meldungen ansieht.
Ja, meistens. Uneinheitliche Produkte bedeuten uneinheitliche Erkennung, mehrere Verwaltungsoberflächen und die Gefahr, dass ein Gerät durchs Raster fällt. Zudem behindern sich parallel laufende Schutzprodukte auf demselben Rechner. Wir vereinheitlichen auf eine zentral verwaltete Lösung mit Statusübersicht.
Ohne zentrale Auswertung meist gar nicht, oder erst wenn etwas nicht mehr funktioniert. Deshalb gehört zu jeder Einrichtung ein Punkt, an dem sicherheitsrelevante Meldungen zusammenlaufen und tatsächlich jemand hinsieht. Bei laufender Betreuung übernehmen wir das und melden uns aktiv, statt darauf zu warten, dass Sie ein Symptom bemerken.
Ja, das ist ein häufiger Fall. Manche Betriebe behalten den vertrauten Ansprechpartner für den Alltagsbetrieb und vergeben Sicherheitsthemen gesondert. Wir grenzen dann schriftlich ab, wer wofür zuständig ist — gerade bei Änderungen an Firewall und Berechtigungen ist das wichtig.
Lass uns über dein Projekt sprechen
Kostenloses Erstgespräch & IT-Bestandsaufnahme – unverbindlich und ohne versteckte Kosten.