Security & Compliance

Sicherheit gehört in den Ablauf, nicht in ein Abschlussprotokoll. Wir integrieren automatisierte Prüfungen in Ihre Build- und Deployment-Wege: Abhängigkeiten und Container-Images werden auf bekannte Schwachstellen geprüft, bevor sie in eine Umgebung gelangen.

Dazu gehört der Nachweis, dass eine Anwendung auch die ist, die sie zu sein behauptet — also automatisierte Verfahren zur Sicherstellung der Authentizität eingesetzter Containeranwendungen. Zugangsdaten und Schlüssel liegen getrennt vom Code in einer zentralen Verwaltung, ihre Verwendung wird protokolliert.

In regulierten Organisationen und beim öffentlichen Auftraggeber entscheidet nicht nur, wie sicher ein System ist, sondern ob sich das belegen lässt. Wir erstellen BSI-Grundschutz-nahe Betriebsdokumentation und Sicherheitskonzepte in Abstimmung mit Auftraggeber, Datenschutz und Informationssicherheit.

Diese Erfahrung stammt aus mehrjährigen Projekten für den öffentlichen Sektor und ein reguliertes Bankenumfeld. Wir kennen daher beide Seiten: die technische Umsetzung und die Nachweisführung, die eine Prüfung überstehen muss.

Ein Schwachstellenscan ist kein Schwachstellenmanagement. Wir richten Verfahren ein, die Funde bewerten, priorisieren und einem Verantwortlichen zuordnen — mit nachvollziehbarem Stand, statt einer Liste, die monatlich länger wird.

Risikoanalysen und Penetrationstests behandeln wir als laufende Bestandteile der Umsetzung, nicht als Abschlussprüfung. So wird ein Fund behoben, solange die Änderung noch billig ist.

Wir setzen Zero-Trust-Prinzipien technisch um: segmentierte Netze, Authentifizierung über SAML, OIDC oder LDAP, durchgehende TLS-Verschlüsselung und Berechtigungen nach dem Prinzip der geringsten Rechte.

Entscheidend ist die Pflege danach. Wir richten regelmäßige Überprüfungen administrativer Berechtigungen ein, damit Zugänge verschwinden, wenn der Grund für sie verschwindet — der häufigste stille Befund in gewachsenen Umgebungen.