Technische IT-Sicherheit:
einmal richtig, überall erfüllt
Acht technische Bereiche entscheiden über fast jede Prüfung — von der Zwei-Faktor-Anmeldung bis zum getesteten Backup. Sie sind in NIS-2, ISO 27001, DSGVO, DORA, TISAX und PCI DSS praktisch deckungsgleich. Wer sie einmal sauber aufsetzt, erfüllt alle gleichzeitig — statt jedes Regelwerk einzeln abzuarbeiten.
Wie gut ist Ihre Technik
wirklich abgesichert?
Sieben kurze Fragen, rund zwei Minuten — danach wissen Sie, wo Sie stehen und was zuerst dran ist.
„Wir haben eh eine Firewall“
reicht nicht mehr
Technische Sicherheit wird nicht mehr danach beurteilt, ob etwas installiert ist, sondern ob es nachweisbar wirkt. Genau daran scheitern die meisten Prüfungen.
Hier lohnt es sich sofort
- Ihre Systeme sind von außen erreichbar — Fernwartung, Kundenportal, Webshop oder Cloud
- Ein Kunde oder ein Regelwerk verlangt technische Nachweise von Ihnen
- Ein IT-Ausfall wäre nach wenigen Stunden geschäftskritisch
- Sie stehen vor einem Audit und wissen nicht, welche Belege verlangt werden
Hier reicht meist weniger
- Alle Systeme liegen bei einem Anbieter, der die Nachweise selbst liefert — dann prüfen wir dessen Belege statt Ihrer Technik
- Sehr kleine Umgebungen ohne Zugriff von außen und ohne besondere Datenarten
- Kein Regelwerk und kein Kunde verlangt bisher einen Nachweis — die vier Grundlagen sollten trotzdem sitzen
Der Punkt, an dem es kippt: Fast alle Angriffe, die wir in der Praxis sehen, nutzen dieselben drei Türen — ein Zugang ohne zweiten Faktor, ein System mit bekannter, ungepatchter Schwachstelle und ein Backup, das noch nie zurückgespielt wurde. Wer diese drei schließt, ist gegen den Großteil realer Vorfälle geschützt und erfüllt gleichzeitig die Kernforderung jedes Regelwerks.
Was technisch verlangt wird —
und von welchem Regelwerk
Die Formulierungen unterscheiden sich, die Substanz kaum. Unter jedem Bereich steht, welche Regelwerke ihn fordern.
Wer darf was, und wie wird das geprüft? Zwei-Faktor für jeden Zugang von außen, getrennte Administratorkonten, regelmäßige Rechteüberprüfung und ein Austrittsprozess, der Zugänge tatsächlich schließt.
NIS-2 · ISO 27001 A.5.15–A.5.18 · DSGVO Art. 32 · PCI DSS 7–8
Daten auf dem Transportweg und im Ruhezustand verschlüsseln — und die Schlüssel so verwalten, dass sie nicht neben dem Tresor liegen. Inklusive Verschlüsselung von Notebooks und mobilen Datenträgern.
NIS-2 · ISO 27001 A.8.24 · DSGVO Art. 32 · PCI DSS 3–4
Backups nach der Drei-Zwei-Eins-Regel, mindestens eine Kopie außerhalb der Reichweite eines Angreifers — und mindestens ein dokumentierter Wiederherstellungstest pro Jahr.
NIS-2 · ISO 27001 A.8.13 · DORA · TISAX
Protokolle zentral sammeln, ausreichend lange aufbewahren und definieren, was einen Alarm auslöst. Ohne Protokolle lässt sich nach einem Vorfall nicht sagen, was passiert ist.
NIS-2 · ISO 27001 A.8.15–A.8.16 · DORA · PCI DSS 10
Regelmäßig prüfen, welche Schwachstellen offen sind, und je Kritikalität eine Frist zur Behebung festlegen. Bei eigenen Produkten dazu die Software-Stückliste.
NIS-2 · ISO 27001 A.8.8 · CRA · PCI DSS 6, 11
Kritische Systeme vom übrigen Netz trennen, Fernzugriffe absichern und die Trennung testen — nicht nur zeichnen. Jedes System weniger im Prüfumfang spart bei jeder Prüfung.
NIS-2 · ISO 27001 A.8.20–A.8.22 · PCI DSS 1
Notebooks und Telefone gehärtet, verschlüsselt, mit Schutz vor Schadsoftware und der Möglichkeit, ein verlorenes Gerät aus der Ferne zu sperren.
NIS-2 · ISO 27001 A.8.1, A.8.7 · DSGVO Art. 32 · TISAX
Konfiguration der Cloud-Dienste prüfen, Zugriffe der Anbieter begrenzen und deren Nachweise einsammeln. Die meisten Datenabflüsse aus der Cloud entstehen durch Fehlkonfiguration, nicht durch Angriffe.
NIS-2 · ISO 27001 A.5.19–A.5.23 · DORA · DSGVO Art. 28
Von der Bestandsaufnahme
zur belegten Umsetzung
Wir arbeiten nach Wirkung, nicht nach Reihenfolge im Normtext. Was das Risiko am stärksten senkt, kommt zuerst.
Wir sehen uns an, was tatsächlich läuft: Zugänge, Systeme, Cloud-Dienste, Backups. Erfahrungsgemäß taucht dabei mindestens ein System auf, das niemand mehr auf dem Schirm hatte.
Jeder der acht Bereiche wird gegen die Regelwerke geprüft, die Sie tatsächlich betreffen. Ergebnis ist eine Liste mit Lücke, Aufwand und Wirkung.
Zwei-Faktor, Patchstand und getestetes Backup werden zuerst geschlossen. Das senkt das Risiko am schnellsten und ist in jedem Audit der erste Blick.
Protokollierung, Segmentierung, Endgeräte und Cloud folgen nach Priorität — mit Ihren bestehenden Werkzeugen, wo es geht.
Zu jeder Maßnahme entsteht der Beleg, den ein Prüfer sehen will. Danach läuft die Wiederholung im festen Rhythmus, auf Wunsch bei uns.
Das liegt am Ende
auf Ihrem Tisch
Technische Maßnahmen allein reichen nicht — geprüft wird der Beleg. Diese Unterlagen entstehen im Projekt.
- Zwei-Faktor-Anmeldung auf allen Zugängen von außen ausgerollt, inklusive Fernwartung
- Backups nach der Drei-Zwei-Eins-Regel aufgesetzt und die Wiederherstellung protokolliert getestet
- Protokolle zentral zusammengeführt und Alarmschwellen definiert, die niemanden zuspammen
- Netze segmentiert und die Trennung nachweislich geprüft — statt nur gezeichnet
- Schwachstellenprozesse mit Fristen je Kritikalität etabliert und in den Betrieb übergeben