Wie viele Befunde aus Ihrem letzten Pentest sind heute nachweislich geschlossen?
Die Umsetzungsbegleitung macht Ihr Schwachstellenmanagement nach dem Pentest fachlich belastbar: etablierte Lösungswege, Priorisierung nach Angriffsketten und technische Validierung jeder Maßnahme, bis der Angriff nicht mehr funktioniert. Im Rahmen des NIST CSF 2.0, mit Bezug zu ISO/IEC 27001 und BSI IT-Grundschutz.
Der Pentest-Bericht ist übergeben, die Befunde sind bekannt, und dann kommt das Tagesgeschäft. Tickets, Störungen, Rollouts und Anfragen aus den Fachbereichen haben immer Vorrang, weil sie sofort wehtun. Sicherheit tut erst weh, wenn es zu spät ist. Schwachstellen bleiben selten offen, weil die IT kein Interesse daran hätte, sie zu schließen. Sie bleiben offen, weil die Zeit fehlt, die Behebung dauerhaft im Unternehmen zu verankern. Oft fehlen auch Erfahrung und Kompetenz dafür.
Genau hier setzen wir an. Wir steuern die Behebung Ihrer gesamten Befundlage im festen monatlichen Rhythmus, setzen Prioritäten und halten nach. Jede Schwachstelle bewerten wir im Gesamtkontext des NIST Cybersecurity Framework, damit eine Maßnahme das Risiko schließt und nicht nur verlagert. Gemeinsam mit Ihrem Team wählen wir den passenden Lösungsweg, planen größere Maßnahmen als Projekt und prüfen jede abgeschlossene Maßnahme technisch nach. Eine Schwachstelle gilt erst als geschlossen, wenn das nachgewiesen ist. Die Umsetzung bleibt bei Ihrem Team. Dabei bauen wir Schritt für Schritt die nötige Kompetenz auf und halten das Wissen in einer Wissensdatenbank fest. Maßstab des Erfolgs ist Ihre Eigenständigkeit nach Abschluss der Begleitung, nicht eine möglichst lange Laufzeit.
Zu jeder Schwachstelle bewerten wir die Lösungsoptionen danach, ob sie den Angriffspfad unterbrechen oder nur verlagern und welche Nebenwirkungen sie auf Betrieb und Berechtigungen haben.
Wir priorisieren danach, welche Schwachstellen reale Angriffspfade tragen. Eine mittlere Schwachstelle, die eine Kette zum Domänenadministrator vervollständigt, kann wichtiger sein als eine isolierte kritische.
Tiering, Segmentierung, Härtung von Altsystemen oder Identitäten in der Cloud: Wir begleiten Architekturentscheidungen und Umstellungen, bei denen es auf Reihenfolge und Details ankommt.
Umgesetzte Maßnahmen prüfen wir technisch nach. Geschlossen ist eine Schwachstelle erst, wenn der Angriff nicht mehr funktioniert.
Erst Schwachstellen schließen und Struktur schaffen, dann Kompetenz aufbauen, dann geplante Übergabe. Ihr Team übernimmt Bewertung, Lösungsentscheidung und Validierung schrittweise selbst.
Zu jeder Schwachstelle entsteht ein Artikel mit Risiko, Lösungsoptionen, Umsetzungsschritten und Validierungsbefehlen. Jede Schwachstelle hat einen Status: offen, in Bearbeitung, geschlossen oder als Restrisiko bewusst akzeptiert.
Die Umsetzungsbegleitung führt Ihr IT-Team fachlich durch die Behebung nach dem Pentest: Lösungswege aus Angreifersicht, Validierung jeder Maßnahme und Status je Schwachstelle, bis der Retest belegt, dass der Angriff scheitert. Gedacht ist sie für Teams mit strukturellen Befunden wie fehlendem Tiering oder unzureichender Segmentierung, die Umsetzung bleibt bei Ihrem Team. Sie überträgt das Vorgehen des Technischen Workshops auf alle Schwachstellen. Ist die Befundlage geschlossen, folgt meist ein neuer Test oder ein Rahmen über Pentest as a Service.
Ausgangspunkt ist ein aktuelles Assessment. Alle Schwachstellen gehen in eine gemeinsame Steuerung mit Status und Verantwortlichen.
Fester Termin mit IT-Leitung und Team: Lösungswege, Architekturfragen, Hindernisse und nächste Schritte.
Umgesetzte Maßnahmen werden monatlich technisch geprüft, der Status wird laufend aktualisiert.
Monatlich: Umsetzungsstand, Restrisiken und Entscheidungsbedarf, tauglich für Audit und Versicherung sowie als Entscheidungsgrundlage und Fortschrittsbewertung für die IT-Leitung.
Zum Ende führt Ihr Team Priorisierung und Validierung selbst. Laufzeit und Umfang legen wir im Angebot fest.
Für Ihr IT-Team die Umsetzungspläne für alle Schwachstellen, für die Umsetzung Steuerung und Befähigung, für die Leitungsebene Status und Management-Reporting und auf Wunsch der Behebungsnachweis für Dritte.
Jede Schwachstelle mit Priorität nach realen Angriffsketten, bewerteten Lösungsoptionen und Validierungsbefehlen. Unsere Consultants klären Architekturfragen mit Ihrem Team und prüfen jede Maßnahme technisch nach.
Status je Schwachstelle, Verantwortliche und Wissensartikel. Ihr Team übernimmt Bewertung und Validierung Schritt für Schritt selbst, bis der Ablauf ohne uns trägt.
Umsetzungsstand, akzeptierte Restrisiken und Entscheidungsbedarf für die Leitungs- und Geschäftsführungsebene. Belegter Fortschritt statt Ampel. Auf Wunsch stellen wir den Stand gemeinsam mit Ihnen vor.
Der belegte Behebungsstand mit Nachweis und dokumentierten Restrisiken, ohne technische Details. Für Auditor, Aufsicht und Ihre Cyberversicherung.
Zwei Einblicke aus echten Projekten, anonymisiert. Wählen Sie, was Sie interessiert.
Melden Sie sich bei uns. Im Termin zeigen wir Ihnen an einem anonymisierten Beispiel, wie Umsetzungspläne und Behebungsnachweis für Ihr Projekt aussehen.
Wie Ihr Team mit dem Maßnahmenplan die Findings priorisiert und abarbeitet.
Sie erhalten: Actionplan-Demo
„Hier wird nicht einfach nur ein Pentest durchgeführt und das Ergebnis anschließend ‚über den Zaun geworfen‘. Stattdessen arbeitet die ProSec gemeinsam mit dem Kunden daran, die Findings nachhaltig abzuarbeiten, Prozesse zu verbessern und die strategische Ausrichtung im Bereich Cybersecurity weiterzuentwickeln.“
Gordon Shepherd, CISO, Hargassner Ges mbH
Die Umsetzungsbegleitung führt die Behebung bekannter Schwachstellen fachlich, die Umsetzung selbst und die Suche nach neuen Schwachstellen liegen außerhalb. Diese Leistungen setzen davor oder danach an.
Wenn Ihr Team den Ablauf erst an wenigen priorisierten Befunden kennenlernen möchte, ist der Technische Workshop der Einstieg vor einer Begleitung über Monate.
Zur LeistungKombinierbar, sobald Auditor, Aufsicht oder Kunde einen eigenständigen Behebungsnachweis zu einem bestimmten Stand verlangen.
Zur LeistungWenn strukturelle Befunde wie fehlendes Tiering oder unzureichende Segmentierung Budget und eigene Projekte brauchen, ordnet die Security-Roadmap sie in eine planbare Reihenfolge.
Wenn der Fortschritt der Geschäftsführung oder dem Vorstand vorgelegt werden soll, bereitet die Management-Präsentation die Statusberichte für diese Gremien auf.
Schildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Basierend auf Ihren Unternehmensabläufen und IT-Assets ermitteln wir gemeinsam das passende Vorgehen.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Weil Ihr Team die Systeme betreibt und das Wissen danach braucht. Wer Maßnahmen selbst umsetzt, versteht sie und hält sie bei der nächsten Änderung aufrecht. Wir sichern Richtung und Qualität, Ihr Team behält die Hoheit über seine Systeme.
Grundsätzlich ja, sofern die Befunde nachvollziehbar dokumentiert sind. Zu Beginn prüfen wir, ob Beschreibung und Nachweise für eine Validierung ausreichen, und ergänzen, wo nötig.
Sie werden als Restrisiko bewusst akzeptiert und dokumentiert, mit Begründung, Verantwortlichem und gegebenenfalls kompensierender Maßnahme. Für Audit und Versicherung ist ein begründetes Restrisiko belastbarer als ein offener Befund ohne Entscheidung.
Schwachstellenmanagement ist der dauerhafte Prozess in Ihrer Organisation, die Umsetzungsbegleitung ist unsere befristete, fachliche Begleitung, die diesen Prozess für Schwachstellen aus Pentests aufbaut und einübt. Wir bewerten Lösungswege, priorisieren und validieren, bis Ihr Team den Ablauf selbst trägt. Danach liegt das Schwachstellenmanagement wieder vollständig in Ihrer Verantwortung.
Die Dauer hängt von Umfang und Art der Befunde und von der Kapazität Ihres Teams ab. Strukturelle Themen wie Tiering im Active Directory brauchen länger als einzelne Konfigurationsfehler. Den Rahmen legen wir im Scoping fest und richten ihn an der geplanten Übergabe an Ihr Team aus.
Das hängt vom Zuschnitt ab, planbar ist es in jedem Fall. Abstimmung und Validierung laufen im monatlichen Rhythmus, dazwischen setzt Ihr Team die vereinbarten Maßnahmen um. Den Umfang je Monat richten wir an Ihrer verfügbaren Kapazität aus, damit das Tagesgeschäft weiterläuft.
MITRE ATT&CK beschreibt, welche Angriffstechnik ein Befund ermöglicht, MITRE D3FEND ordnet diesen Techniken passende Gegenmaßnahmen zu. Mit beiden verknüpfen wir jeden Befund mit einer Angriffskette und einer wirksamen Abwehr. So wird nachvollziehbar, welche Maßnahme welchen Angriffspfad unterbricht.
Vor allem von Zahl und Art der Befunde und von der Zahl der Umgebungen. Strukturelle Themen wie Tiering oder Segmentierung brauchen mehr Begleitung als einzelne Konfigurationsfehler. Weitere Treiber sind der Retest-Umfang je Monat und die Laufzeit bis zur geplanten Übergabe an Ihr Team.
