KMU Pentesting
& Cybersicherheit

Das NIST CSF 2.0 Schnell-Audit ist ein kompakter Vorab-Check, der insbesondere kleinen Unternehmen innerhalb von ca. einem Tag eine strukturierte Einschätzung ihrer Cyber-Risiken ermöglicht. Es richtet sich vor allem an Firmen, die sich bisher noch nicht vertieft mit Cybersicherheit beschäftigt haben und wissen möchten, wo sie stehen. Auf Basis eines geführten Interviews entlang der sechs NIST CSF 2.0 Kategorien (Govern, Identify, Protect, Detect, Respond, Recover) erfasse ich den aktuellen Stand der Cybersicherheit, mache offensichtliche Risiken sichtbar, priorisiere sie und schlage erste pragmatische Massnahmen vor.

Das Schnell-Audit gibt dir eine praxisnahe Standortbestimmung und zeigt, wo deine wichtigsten Cyber-Risiken liegen. Es ist keine technische Prüfung oder ein Penetrationstest, sondern eine kompakte Grundlage, um Cyber-Risiken gezielt zu erkennen und erste Schritte zur Verbesserung der Sicherheitslage zu planen. Am Ende erhältst du einen kompakten Kurzbericht, der deine wichtigsten Cyber-Risiken zusammenfasst und erste konkrete Massnahmen aufzeigt, mit denen du sofort anfangen kannst, deine IT-Sicherheit zu verbessern.

Beim externen Sicherheitstest (Externes Pentesting) analysiere ich deine von aussen erreichbaren Systeme wie zum Beispiel Webserver, E-Mail-Gateways, VPN-Zugänge oder Cloud-Dienste. Ziel ist es herauszufinden, welche Informationen und Angriffsflächen ein externer Angreifer nutzen könnte, um sich unbefugt Zugang zu verschaffen. Dabei prüfe ich auch welche Daten über dein Unternehmen öffentlich verfügbar (OSINT) sind und wie diese für Angriffe missbraucht werden könnten.

Durch gezielte Tests simuliere ich realistische Angriffsszenarien von aussen und überprüfe, ob kritische Schwachstellen wie z.B. unsichere Konfigurationen, veraltete Software oder fehlerhafte Authentifizierungen vorhanden sind. So erhältst du eine Übersicht, wo deine grössten Risiken von aussen liegen, welche Systeme besonders gefährdet sind und wie du deine Angriffsfläche wirksam reduzieren kannst.

Beim internen Sicherheitstest (Internes Pentesting / Assume Breach Simulation) simuliere ich einen Angreifer, der bereits Zugang zu deinem internen Netzwerk hat, zum Beispiel über eine kompromittierte Workstation, ein unsicheres WLAN oder einen externen Dienstleister. Ziel ist es herauszufinden, wie weit sich ein Angreifer im Unternehmen ausbreiten könnte, welche sensiblen Systeme oder Daten besonders gefährdet sind und welchen Schaden er anrichten könnte.

Durch praxisnahe Tests analysiere ich typische Angriffspfade im internen Netzwerk, prüfe Active Directory auf Schwachstellen und identifiziere unsichere Konfigurationen, veraltete Protokolle oder überprivilegierte Konten. So erhältst du eine Übersicht, wo deine grössten internen Risiken liegen und welche Massnahmen du ergreifen solltest, um deine Verteidigung gezielt zu stärken.

Beim Red Teaming teste ich deine bestehenden Sicherheitsmassnahmen mit realistischen, zielgerichteten Angriffsszenarien. Dabei simuliere ich einen Angreifer, dessen Ziel es sein könnte, sensible Daten wie Lohnlisten oder Kundendaten zu stehlen oder Admin-Konten zu kompromittieren. Im Fokus steht nicht das Finden von Schwachstellen, sondern das gezielte Durchbrechen deiner Sicherheitsmechanismen. Zum Einsatz kommen technische Exploits, Social Engineering oder Phishing, kombiniert zu einem glaubwürdigen Szenario, das sich an echten Bedrohungen orientiert.

So erhältst du eine praxisnahe Bewertung, wie gut deine Sicherheitsmechanismen tatsächlich funktionieren. Du siehst, wo Angriffe unbemerkt bleiben könnten, welche Sicherheitslücken existieren und welche Massnahmen notwendig sind, um deine Verteidigung gezielt zu stärken.