IT-Sicherheits­konzepte

Ein IT-Sicherheitskonzept ist die Grundlage für den Schutz Ihrer IT-Infrastruktur.

Leistungen

• Ist-Zustand-Analyse: Systematische Erfassung Ihrer bestehenden IT-Infrastruktur, Prozesse und Sicherheitsmaßnahmen. Dabei werden Netzwerkarchitektur, Zugriffskontrollen, Backup-Strategien und bestehende Richtlinien dokumentiert. Auf dieser Analyse bauen alle weiteren Schritte auf.
• Bedrohungsmodellierung: Strukturierte Analyse potenzieller Bedrohungen und Angriffsvektoren, ausgerichtet auf Ihre spezifische IT-Landschaft und Branche. Ich arbeite mit etablierten Methoden wie STRIDE und Angriffsbäumen, um systematisch zu erfassen, wo Ihre kritischen Angriffsflächen liegen.
• BSI IT-Grundschutz & ISO 27001: Ausrichtung Ihres Sicherheitskonzepts an etablierten Standards. Unterstützung bei der Vorbereitung auf eine Zertifizierung nach ISO 27001 oder BSI-Grundschutz-Kompendium, einschließlich der erforderlichen Dokumentation und Nachweisführung.
• Risikobewertung & Priorisierung: Bewertung identifizierter Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe. Priorisierung von Maßnahmen nach Kosten-Nutzen-Verhältnis, damit Sie Ihr Budget dort einsetzen, wo es den größten Schutzeffekt erzielt.
• Konkrete Handlungsempfehlungen: Detaillierter Maßnahmenkatalog mit klaren Verantwortlichkeiten, Zeitrahmen und Umsetzungsschritten, mit dem Ihr Team direkt arbeiten kann.

Was enthält ein fertiges Sicherheitskonzept?

Das fertige Sicherheitskonzept ist ein Dokument, das typischerweise folgende Bestandteile enthält:

• Management summary: Zusammenfassung der wichtigsten Erkenntnisse und Empfehlungen für Entscheidungsträger, verständlich auch ohne technischen Hintergrund.
• Ist-Zustand-Dokumentation: Detaillierte Beschreibung Ihrer aktuellen IT-Infrastruktur, Prozesse und bestehender Schutzmaßnahmen mit Bewertung des Reifegrads.
• Bedrohungs- und Risikoanalyse: Katalog identifizierter Bedrohungen mit Risikobewertung, visualisiert in einer Risikomatrix.
• Maßnahmenkatalog: Priorisierte Liste konkreter Maßnahmen mit Zuständigkeiten, geschätztem Aufwand, Zeitrahmen und erwarteter Risikoreduktion.
• Umsetzungsfahrplan: Phasenplan für die Implementierung: welche Maßnahmen sofort, kurzfristig und mittelfristig umgesetzt werden sollten.

Hintergrund

Am CISPA Helmholtz-Zentrum untersuche ich unter anderem, wie Entwicklerteams mit vertraulichen Zugangsdaten (API-Keys, Passwörter, Zertifikate) umgehen und wo dabei Schwachstellen entstehen. Die Ergebnisse sind unter anderem auf der USENIX Security erschienen. Wo es für Ihr Konzept relevant ist, greife ich darauf zurück.

Ablauf

1. Kostenloses Erstgespräch: Bedarfsanalyse und Klärung des Projektumfangs.
2. Ist-Zustand-Analyse: Vor Ort oder remote, je nach Unternehmensgröße ein- bis mehrtägig.
3. Bedrohungsmodellierung und Risikobewertung: Strukturierte Analyse und Dokumentation.
4. Erstellung des Sicherheitskonzepts: Inklusive Maßnahmenkatalog und Umsetzungsfahrplan.
5. Präsentation der Ergebnisse: Vorstellung und gemeinsame Besprechung, auf Wunsch sowohl für das Technikteam als auch für die Geschäftsführung.
6. Optionale Umsetzungsbegleitung: Unterstützung bei der Implementierung und regelmäßige Reviews.

Für wen?

Meine Sicherheitskonzepte richten sich vor allem an kleine und mittlere Unternehmen (KMU) in Hannover, Braunschweig, Bremen, Hamburg und deutschlandweit. Besonders geeignet für Organisationen, die regulatorische Anforderungen wie NIS2 oder DSGVO erfüllen müssen, eine ISO-27001-Zertifizierung anstreben oder ihre bestehende Sicherheitsarchitektur systematisch überprüfen möchten.