IT-Sicherheit, die einem Ernstfall standhält

Angreifer beginnen jeden Angriff mit einer Bestandsaufnahme Ihres Netzwerks. Wer sie ihnen nicht voraus hat, verteidigt im Blindflug. Wir erfassen, was Sie betreiben, was davon aus dem Internet erreichbar ist — und prüfen es regelmäßig aus der Perspektive eines Angreifers.

Warum das wichtig ist: Eine vollständige Übersicht ist die Voraussetzung, um Einfallstore überhaupt zu erkennen — inklusive Schatten-IT und vergessener Cloud-Dienste.

• IT-Inventarisierung: Vollständige Erfassung aller Systeme, Anwendungen und Datenbestände — stets aktuell gepflegt.

• Dienstleister-Inventarisierung: Welche externen Partner hängen an Ihrem Betrieb — mit Vertragsnummern, Ansprechpartnern und Notfallnummern.

• Schwachstellen- und Portscans: Regelmäßige Prüfung Ihrer extern erreichbaren Systeme — wir finden die offene Tür, bevor es ein Angreifer tut.

• Angriffssimulation: Gezielte simulierte Angriffe testen die reale Abwehrfähigkeit.

Dass irgendwann ein Passwort aus Ihrem Unternehmen in falsche Hände gerät, ist keine Frage des Ob, sondern des Wann — durch Phishing, Datenlecks oder schlichtes Ausprobieren. Der zweite Faktor entwertet das gestohlene Passwort: Der Angreifer steht vor der Tür, aber der Schlüssel allein dreht das Schloss nicht mehr.

Wir führen die Mehrfaktor-Anmeldung dort ein, wo Angreifer zuerst ansetzen — und empfehlen sie für alle, nicht nur für die IT-Abteilung. Wollen Sie das für Teile Ihrer Belegschaft nicht, sagen wir offen, welches Risiko bleibt, und richten es so ein, wie Sie es entscheiden.

Warum das wichtig ist: Angriffe mit entwendeten Zugangsdaten gehören zu den häufigsten Cyberangriffen überhaupt. Ein einziges kompromittiertes Postfach kann erheblichen Schaden anrichten.

• Mehrfaktor-Anmeldung für Administratoren: Administrative Konten sichern wir mit einem zweiten Faktor — hier raten wir dringend von Ausnahmen ab.

• Für Microsoft 365 und Cloud-Dienste: Empfohlen für alle Benutzerkonten — vom Vertrieb bis zum Praktikanten.

• Für VPN und Fernwartung: Homeoffice-Zugänge und Remote-Zugriffe zusätzlich zum Passwort abgesichert.

• Regelwerk und Schulung: Verlustmeldung, Sperrprozesse und Mitarbeiter-Einweisung — damit die Anmeldung im Alltag funktioniert statt zu nerven.

In vielen Unternehmen öffnet ein einziges erbeutetes Administratorkonto den Weg zu allem — vom Arbeitsplatz bis zum zentralen Verzeichnisdienst. Wir trennen die Verwaltungsebenen strikt und bringen die Zugangsdaten selbst unter Kontrolle.

Warum das wichtig ist: Administratorkonten sind wegen ihres Schadenspotenzials das attraktivste Ziel. Gleiche Passwörter auf mehreren Systemen ermöglichen Angreifern die Ausbreitung im Netz.

• Admin-Tiering: Eigene Konten für Arbeitsplätze, Server und zentrale Dienste, ohne Querverbindungen — ein Angreifer, der einen Arbeitsplatz übernimmt, bleibt dort stehen.

• Zentraler Passwortserver (Pleasant Password Server): Alle Zugangsdaten zentral, rollenbasiert und protokolliert — auf Ihrem eigenen Server statt in Excel-Listen oder in der US-Cloud.

• Eindeutige lokale Admin-Passwörter: Jedes System ein eigenes Passwort — erbeutete Zugangsdaten taugen nicht für den nächsten Rechner.

• Protokollierung von Admin-Aktivitäten: Anmeldungen und Änderungen laufen auf dem zentralen Log-Server zusammen.

Moderne Angreifer bringen ihre Werkzeuge selten selbst mit — sie benutzen, was auf jedem Windows-System ohnehin installiert ist: PowerShell und andere Skriptumgebungen. Ein unbedachter Klick auf einen E-Mail-Anhang genügt, und das Bordwerkzeug arbeitet gegen Sie.

Wir drehen den Spieß um: Skripte laufen nur noch dort, wo sie tatsächlich gebraucht werden — und werden überall sonst blockiert, bevor Schaden entsteht.

Warum das wichtig ist: PowerShell ist das Standardwerkzeug für Schadcode-Ausführung, Datendiebstahl und die Ausbreitung im Netzwerk — und auf den meisten Systemen unnötig freigeschaltet.

• Skript-Ausführung nur für Berechtigte: PowerShell wird per Gruppenrichtlinie auf die Benutzer beschränkt, die es wirklich brauchen — für alle anderen deaktiviert.

• Nur signierte und freigegebene Skripte: Nachgeladene Angreifer-Skripte werden nicht ausgeführt.

• Anwendungssteuerung (AppLocker): Zentral festgelegt, welche Programme und Skripte aus welchen Verzeichnissen starten dürfen.

• Endpoint-Schutz mit Sophos (EDR/XDR): Erkennt und stoppt verdächtige Skript-Aktivität in Echtzeit — auch bei Remote-Arbeitsplätzen.

Es ist realistischer denn je, dass ein Angreifer die äußere Verteidigung irgendwann überwindet. Die Frage ist dann: Steht er in einem Raum — oder im ganzen Gebäude? Wir teilen Ihr Netzwerk in getrennte Zonen, sodass ein kompromittierter Arbeitsplatz nicht automatisch den Weg zu Servern und Produktionssystemen öffnet.

Warum das wichtig ist: Segmentierung begrenzt die Ausbreitung eines Angriffs im Netz und reduziert den Schaden im Ernstfall deutlich.

• Netzwerkzonen und VLANs: Arbeitsplätze, Server und Produktionssysteme logisch und physisch getrennt.

• Interne Firewalls: Der Verkehr zwischen den Zonen wird kontrolliert und überwacht — nicht nur der nach außen.

• Zugriffskontrolle im Netz: Regeln nach Rollen, Gerätetypen und Standorten.

• Regelmäßige Zonen-Tests: Netzwerkscans stellen sicher, dass keine unerwünschten Verbindungen zwischen den Segmenten bestehen.

Angreifer stehen nicht vor Ihrer Tür — sie kommen über das Internet. Der Übergang zwischen Ihrem Netz und der Außenwelt ist deshalb Ihr wichtigster Kontrollpunkt: für das, was hereinkommt, und genauso für das, was hinausgeht.

Warum das wichtig ist: Verbindungen zu bekannten Schadservern, ungewöhnliche Datenmengen und die Fernsteuerung übernommener Rechner lassen sich nur an einem überwachten Übergang erkennen und stoppen.

• Managed Firewall (Sophos XGS): Blockiert Bedrohungen direkt am Netzeingang — mit zentralem Management und zentraler Protokollierung.

• DNS-Filterung: Verhindert, dass infizierte Systeme Kontakt zu Angreifern aufnehmen.

• E-Mail-Sicherheitsgateway (Hornetsecurity): Mehrstufige Filterung gegen Spam, Schadsoftware und Phishing — den häufigsten Angriffsweg.

• Zentraler Log-Server: Die Protokolle Ihrer Systeme laufen zusammen und sind vor nachträglicher Veränderung geschützt — auch ein Angreifer kann seine Spuren dort nicht löschen. Versicherungen und Forensiker fragen als Erstes danach.

Moderne Ransomware zielt zuerst auf Ihre Backups — denn wer die Sicherung zerstört, kann Lösegeld fordern. Wir härten Ihr Sicherungskonzept nach der 3-2-1-Regel und ergänzen es um eine Kopie, die für einen definierten Zeitraum von niemandem verändert oder gelöscht werden kann. Auch nicht mit gestohlenen Administratorrechten.

Warum das wichtig ist: Offline- und unveränderbare Backups sind der Unterschied zwischen einem teuren Zwischenfall und einem existenzbedrohenden.

• 3-2-1-Sicherungskonzept: Drei Kopien, zwei Speicherarten, eine außer Haus.

• Immutable Backup (Veeam): Eine Sicherungskopie, die für einen definierten Zeitraum von niemandem verändert oder gelöscht werden kann — auch nicht mit gestohlenen Administratorrechten.

• Cloud- und Microsoft-365-Backup: Versioniert und verschlüsselt — unabhängig von Microsoft-Aufbewahrungsfristen.

• Wiederherstellungstests: Wir spielen Sicherungen testweise zurück und dokumentieren, dass es funktioniert — und wie lange es dauert. Mindestens einmal pro Jahr, auf Wunsch quartalsweise. Der Unterschied zwischen „wir haben ein Backup“ und „wir haben es bewiesen“.

Die beste Technik nützt wenig, wenn eine überzeugende E-Mail genügt, um sie auszuhebeln. Social Engineering zielt auf Menschen, nicht auf Systeme — und KI-generierte Angriffe sind inzwischen von echter Korrespondenz kaum zu unterscheiden. Wir machen Ihre Belegschaft zur ersten Verteidigungslinie statt zur größten Schwachstelle.

Warum das wichtig ist: Social Engineering ist eine der häufigsten Angriffsmethoden überhaupt — und die kontinuierliche Sensibilisierung die wirksamste Gegenmaßnahme.

• Awareness-Training: Kompakte Lerneinheiten zu Phishing, Anrufbetrug und aktuellen Maschen — für alle, die mitmachen sollen, und verständlich für jeden.

• Phishing-Simulationen: Regelmäßige, realistische Übungen mit messbaren Ergebnissen.

• Klare Meldewege: Ein definierter Prozess, wo Verdachtsfälle gemeldet werden — frühe Meldungen verhindern große Schäden.

• Schutz vor Zahlungsbetrug: Vier-Augen-Prinzip und Freigabeprozesse für hohe Beträge — gegen gefälschte Rechnungen und angebliche Anweisungen der Geschäftsführung.

Viele Angriffe sind kein technisches Meisterwerk — sie nutzen schlicht bekannte Lücken, die längst hätten geschlossen sein können. Manche werden wenige Stunden nach Bekanntwerden ausgenutzt. Patch-Management ist bei uns deshalb keine Zusatzleistung, sondern Bestandteil der laufenden Betreuung für jeden Arbeitsplatz und Server.

Warum das wichtig ist: Öffentlich dokumentierte Schwachstellen sind für Angreifer leicht auffindbar — das zeitnahe Schließen ist eine der wirksamsten Einzelmaßnahmen überhaupt.

• Automatisiertes Patch-Management: Regelmäßige Aktualisierung von Betriebssystemen und Anwendungen — Bestandteil der laufenden Betreuung.

• Priorisierung nach Risiko: Kritische Systeme und schwere Lücken zuerst.

• Aktive Schwachstellen-Beobachtung: Wir verfolgen Sicherheitswarnungen von Herstellern und dem CERT-Bund — Sie müssen es nicht.

• Dokumentierte Patch-Aktivitäten: Nachvollziehbar für Audits und gesetzliche Nachweispflichten.

Am Ende zielt jeder Angriff auf Ihre Kronjuwelen — und der direkteste Weg dorthin führt über den Domain Controller, die zentrale Schaltstelle jeder Windows-Umgebung. Wer ihn übernimmt, kontrolliert alles. Er verdient deshalb keinen Standardschutz, sondern die härteste Absicherung im ganzen Netz.

Warum das wichtig ist: Die Übernahme des Domain Controllers bedeutet die Kompromittierung der gesamten Umgebung — aller Konten, aller Rechte, aller Richtlinien.

• Active-Directory-Härtung: Berechtigungen prüfen, Rollen entflechten, alte Objekte aufräumen, unnötige Dienste deaktivieren.

• Isoliertes Netzwerksegment: Der Domain Controller ist nur von autorisierten Systemen erreichbar — streng per Firewall-Regeln gesteuert.

• Mehrfaktor-Anmeldung und minimale Rechte: Zugang nur für Administratoren mit konkretem Bedarf, jeder Zugriff protokolliert.

• Dokumentierter Wiederanlauf: Offline-Backups und Server-Bootreihenfolgen — erst das Verzeichnis, dann die Datenbank, dann die Anwendung. Der Punkt, an dem Wiederanläufe in der Praxis scheitern.