Problem kurz schildern

IT-Sicherheit · Technische Beratung · Security Review

IT-Sicherheit & technische Beratung

Wenn eine konkrete technische Behauptung oder ein Risiko unabhängig geprüft werden soll.

Technik prüfen lassen

Direkt passend oder zuerst breiter prüfen?

Ist diese technische Aufgabe bereits klar begrenzt?

Ja

Konkreten technischen Review starten.

Fragestellung, System und gewünschter Befund lassen sich vor Beginn klar begrenzen.

Ergebnis und Umfang ansehen

Nein

Zuerst technische Bestandsaufnahme.

Wenn mehrere Systeme, Anbieter oder ungeklärte Ursachen zusammenkommen, wird zuerst der richtige Prüfausschnitt festgelegt.

Bestandsaufnahme ansehen

Was am Ende steht

Ein konkretes Ergebnis, keine lose Maßnahmenliste.

Nicht jede technische Frage lässt sich an der sichtbaren Website beantworten. Manchmal liegt das Problem in der unsichtbaren Ebene: Stimmen die Aussagen eines Dienstleisters? Wo liegen Daten und Zugänge? Was passiert beim nächsten Update? Ich prüfe die tatsächliche Umsetzung, ordne die Risiken und sage dir, was zuerst wichtig ist, ohne Panik und ohne Fachchinesisch.

  1. Dokumentierter Befund

    Was gefunden wurde, wodurch es belegt ist und welche Grenzen die Prüfung hatte.

  2. Priorisierte Risiken

    Was sofort relevant ist, was später bearbeitet werden kann und was keine hohe Priorität besitzt.

  3. Klare Entscheidungsgrundlage

    Was selbst behoben, separat umgesetzt oder an eine spezialisierte Stelle übergeben werden sollte.

Passt besonders, wenn …

  • Unternehmen mit technischem oder regulatorischem Risiko
  • Teams vor einer Anbieter- oder Tool-Entscheidung
  • Inhaber, die ihrer Technik gerade nicht trauen

Drei Prinzipien

Worauf es bei dieser Leistung ankommt.

  1. 01

    Klarheit statt Bauchgefühl

    Die meisten technischen Risiken sieht man der Oberfläche nicht an. Ein offen liegender Zugang, ein Tracking, das ohne Einwilligung feuert, eine Infrastruktur, die niemand mehr versteht. Du merkst nur ein ungutes Gefühl. Ich mache sichtbar, was wirklich los ist, damit du nicht raten musst.

  2. 02

    Ich prüfe die Umsetzung, nicht die Versprechen

    Dienstleister und Tools behaupten viel. Sicher, DSGVO-konform, performant. Ich glaube Labels nicht, ich schaue in die tatsächliche Implementierung. Was im Code, im Netzwerk und in der Konfiguration passiert, zählt mehr als jede Folie.

  3. 03

    Risiken priorisiert, nicht Angst verkauft

    Du bekommst keine Liste mit 80 roten Punkten, die dich lähmt. Du bekommst eine Einordnung. Was sofort gefährlich ist, was warten kann, was egal ist. Damit triffst du eine Entscheidung, statt in Panik zu verfallen.

Ablauf

Ein kompakter Prozess mit klaren Übergaben.

  1. 01

    Frage klären

    Du sagst mir, was dich beschäftigt. Eine konkrete Sorge, eine Anbieter-Behauptung, ein Vorfall oder einfach das Gefühl, dass etwas nicht stimmt. Ich sage dir, ob eine Prüfung sinnvoll ist und wie groß sie sein muss.

  2. 02

    Technische Prüfung

    Ich schaue mir die relevante Ebene an. Je nach Frage sind das Datenschutz und Tracking, Zugänge und Rechte, Hosting und Deployment, Abhängigkeiten und bekannte Schwachstellen oder die Behauptungen eines Anbieters.

  3. 03

    Befund

    Du bekommst einen dokumentierten Befund in klarer Sprache. Was gefunden wurde, wie kritisch es ist und warum es zählt. Priorisiert, nachvollziehbar, ohne Fachchinesisch.

  4. 04

    Nächste Schritte

    Wir klären, was als Nächstes sinnvoll ist. Selbst beheben, von mir umsetzen lassen oder an die richtige Stelle weitergeben. Die Umsetzung wird separat eingeordnet, der Befund steht für sich.

Was realistisch ist

Klare Grundlage, ehrliche Grenzen.

Der Befund ersetzt keine Umsetzung
Du bekommst Klarheit und priorisierte Risiken. Die eigentliche Behebung wird danach separat entschieden und eingeordnet.
Kein formaler Pentest, kein Zertifikat
Das ist eine ehrliche technische Einordnung, kein formaler Penetrationstest und keine Zertifizierung. Wenn du genau das brauchst, sage ich dir das und nenne den passenden Rahmen.
Rechtsberatung bleibt außen vor
Ich prüfe die Technik hinter Datenschutz und Sicherheit. Die rechtliche Bewertung gehört zu entsprechend qualifizierten Stellen.

Scope

Enthalten, benötigt, optional oder separat.

Der konkrete Projektumfang steht vor Beginn schriftlich fest. Die Gruppen machen sichtbar, was nicht stillschweigend in denselben Preis rutscht.

Im vereinbarten Rahmen
  • Separat vereinbarte, klar umrissene Fragestellung
  • Benötigte Freigaben, Prüfumgebung und Zugriffsrechte vor Beginn geklärt
  • Manuelle Prüfung der relevanten technischen Ebene
  • Dokumentierter Befund mit Belegen, Prioritäten und klar benannten Grenzen
  • Klare Empfehlung für den nächsten Schritt
Nicht automatisch enthalten
  • Formale Penetrationstests oder ISO- und SOC-2-Audits brauchen einen eigenen Prüfrahmen
  • Rechtliche Datenschutzberatung bleibt bei entsprechend qualifizierten Stellen
  • Die Umsetzung der Maßnahmen wird nach dem Befund separat eingeordnet

Hauptprojekt

Kritische Schwachstelle · CVSS 10.0

Kritische Sicherheitslücke in einem Healthcare-Chatbot gefunden und dokumentiert, bevor Patientendaten betroffen waren. Daraus entstand ein laufender Security-Review-Prozess.

  • Security
  • Healthcare
  • Audit
  • Compliance
Ausgangslage

Eine Healthcare-Organisation nutzte einen Drittanbieter-Chatbot, der als HIPAA-konform vermarktet wurde. Keine unabhängige technische Prüfung war erfolgt.

Geprüft

Frontend-Code manuell geprüft. API-Schlüssel im Browser exponiert gefunden. Zusätzlich: verwundbare Abhängigkeiten, unsichere Drittanbieter-Datenverarbeitung, Session-Recordings ohne PHI-Maskierung.

Ergebnis

Kritische Schwachstelle geschlossen, bevor sie öffentlich wurde. Laufende monatliche Security-Checks eingeführt.

  • Agentur-Code geprüft · Healthcare

    Healthcare Takeover Review

    Überprüfung eines fremd entwickelten Aufnahme- und Terminformulars im Healthcare-Bereich: sensible Patientendaten, Tracking, gespeicherte Zugangsdaten und Barrierefreiheit wurden geprüft, dokumentiert und nach Risiko priorisiert.

  • Langzeitpartner & technischer Review

    Kindbridge

    Laufende technische Verantwortung für Healthcare-Websites mit Wartung, Security-Reviews und technischer Beratung seit 2021.
    Website ansehen

Verwandte Wege

Zum Weiterlesen

Passende Hintergründe.

Die Aufgabe darf konkret sein. Schilder mir Ziel und Ausgangslage.

Ich sage dir, ob diese Fachleistung direkt passt, ob der Umfang enger werden sollte oder ob zuerst eine Bestandsaufnahme sinnvoll ist.

Antwort

Ich lese jede Anfrage selbst und antworte persönlich, werktags innerhalb von 24 Stunden.

Vier Pflichtangaben: Name, E-Mail, Ausgangslage und Datenschutz.

Für die Übermittlung wird form.taxi verwendet, ein Formularservice mit Serverstandort in der EU.