Beratung zu Informationssicherheit und Compliance
Beratung zur Informationssicherheit umfasst den gemeinsamen Aufbau des Managementsystems, der technischen Kontrollen und der zugehörigen Nachweise, die die Informationswerte eines Unternehmens schützen. Von der Vorbereitung auf die ISO-27001-Zertifizierung über die technischen und organisatorischen Maßnahmen nach dem KVKK (türkisches Datenschutzgesetz Nr. 6698) bis zu Penetrationstests und internen Audits bringen wir Richtlinien und Praxis in einem System zusammen.
- Umfang
- Vorbereitung auf ISO 27001, 27701, 22301 und PCI DSS, KVKK-Maßnahmen, Penetrationstests, internes Audit, Schulungen
- Ansatz
- Risikobasiert; Richtlinien und technische Kontrollen gemeinsam
- Zusammenarbeit
- Projekt · regelmäßige Tests · laufende Beratung
- Erster Schritt
- Kostenloses Erstgespräch und Bestandsaufnahme des Ist-Zustands
Wann werden Sicherheit und Compliance zum Thema?
Sicherheitsanforderungen entstehen meist durch eine Kundenanfrage, ein Audit oder einen Wachstumsschritt. Wir richten den Umfang der Arbeit an diesem Ziel aus.
- Ein Kunde verlangt ein ISO-27001-Zertifikat oder ein Sicherheitsaudit. Umfang, Zeitplan und erforderliche Schritte müssen geklärt werden.
- Die technischen Maßnahmen nach KVKK müssen in der Praxis greifen. Zugriff, Protokollierung, Verschlüsselung und Löschung müssen im Einklang mit dem Dateninventar funktionieren.
- Ergebnisse von Schwachstellenscans müssen nachverfolgt werden. Feststellungen müssen priorisiert, Verantwortlichen zugewiesen und bis zum Abschluss verfolgt werden.
- Sie möchten Ihre Systeme unabhängig prüfen lassen. Von außen und von innen erreichbare Systeme werden in einem festgelegten Umfang per Penetrationstest geprüft.
- Security-Awareness-Schulungen für Mitarbeitende sind geplant. Regelmäßige, dokumentierte Schulungen zu Themen wie Phishing, Passwörtern und Gerätesicherheit.
Was leisten wir in Informationssicherheit und Compliance?
Vom Managementsystem bis zum technischen Test – Themen, die Sie nach Bedarf auswählen können.
Vorbereitung auf ISO 27001
Umfang und Risikobewertung, Richtlinien und Verfahren, Erklärung zur Anwendbarkeit (SoA) und Vorbereitung auf das Zertifizierungsaudit.
ISO 27701, ISO 22301 und PCI DSS
Vorbereitung für Datenschutz, Business Continuity und Kartendatensicherheit – eigenständig oder zusammen mit Ihrem bestehenden System.
Leitfaden für Informations- und Kommunikationssicherheit
BİG Rehberi: Festlegung von Assetgruppen und Kritikalitätsstufen, Gap-Analyse, Umsetzung der Maßnahmen und Auditvorbereitung.
Technische und organisatorische KVKK-Maßnahmen
Zugriff, Protokollierung, Verschlüsselung, Backup und Löschung – auf Basis Ihres Inventars personenbezogener Daten in der Praxis umgesetzt.
Internes Audit
Audit des Managementsystems durch einen vom Aufbauteam unabhängigen Auditor; Feststellungen und Nachverfolgung der Korrekturen.
Penetrationstests
Web-, externe und interne Netzwerk- sowie Cloud-Tests; Black-, Grey- oder White-Box, schriftliche Regeln und Nachtest.
Schwachstellenmanagement
Regelmäßige Scans, Priorisierung der Feststellungen, Nachverfolgung bis zum Abschluss und verständliche Berichte an die Geschäftsleitung.
Awareness-Schulungen
Praxisnahe Schulungen für Mitarbeitende zu Themen wie Phishing, Passwörtern und Gerätesicherheit, mit dokumentierten Teilnahmenachweisen.
Risikobasiert, Schritt für Schritt.
Wir verknüpfen jede Kontrolle mit einem Risiko und behandeln die höchsten Risiken zuerst. So fließt der Aufwand dorthin, wo er am meisten bewirkt. Der folgende Ablauf zeigt ein durchgängiges Projekt; die einzelnen Themen lassen sich auch separat beauftragen.
Referenzrahmen, an denen wir uns orientieren
Unsere Arbeit stützt sich auf anerkannte Standards und Vorschriften:
- ISO/IEC 27001:2022 und 27002
- ISO/IEC 27701:2025, ISO 22301, PCI DSS v4
- KVKK (Gesetz Nr. 6698) und Leitfaden zur Sicherheit personenbezogener Daten
- Leitfaden für Informations- und Kommunikationssicherheit
- OWASP-Testleitfäden
- CIS Controls
Ist-Zustand und Umfang
Wir prüfen Assets, Prozesse und bestehende Kontrollen und legen den Umfang gemeinsam fest.
Ergebnis: Umfang und Gap-AnalyseRisikobewertung
Wir bewerten Bedrohungen und ihre Auswirkungen und priorisieren die Kontrollen.
Ergebnis: Bericht zur Risikobewertung und RisikobehandlungsplanUmsetzung der Kontrollen
Wir setzen Richtlinien, Prozesse und technische Maßnahmen gemeinsam mit Ihnen um.
Ergebnis: Richtlinienpaket, umgesetzte KontrollenTest und Verifizierung
Mit Schwachstellenscans und Penetrationstests prüfen wir, ob die Kontrollen wirken; das interne Audit führen wir mit einem vom Aufbauteam unabhängigen Auditor durch.
Ergebnis: Testberichte, Bericht zum internen AuditAufrechterhaltung
Mit regelmäßigen Tests, Nachverfolgung der Nachweise und Managementbewertung halten wir das System aktuell.
Ergebnis: Regelmäßige BerichteWas ein Sicherheits- und Compliance-Projekt liefert.
Je nach Umfang konkrete Ergebnisse, die Sie Auditoren, Kunden oder der Geschäftsleitung vorlegen können.
Gap- und Risikoanalyse
Ist-Zustand, Risiken und ein priorisierter Risikobehandlungsplan.
Richtlinien und Verfahren
Auf Ihr Unternehmen zugeschnittene, praxistaugliche Dokumente.
Bericht zum internen Audit
Feststellungen, Abweichungen und ein Plan für Korrekturmaßnahmen.
Testberichte
Management Summary, technische Feststellungen, Nachweise und Empfehlungen zur Behebung.
Verifizierung der Behebung
Bestätigung behobener Feststellungen durch einen Nachtest.
Schulungsmaterial
Inhalte der Awareness-Schulungen und Teilnahmenachweise.
Der passende Einstieg für Ihr Ziel.
KMU vor Kundenaudits
Unternehmen, die sich auf Sicherheitsfragebögen und Lieferantenaudits von Großkunden vorbereiten.
Unternehmen mit Ziel ISO 27001
Wer die Zertifizierung schrittweise angehen möchte, mit realistischem Zeitplan und einer Struktur, die Nachweise erzeugt.
Öffentlicher Sektor und kritische Infrastrukturen
Öffentliche Einrichtungen und ihre Lieferanten, von denen die Umsetzung der Maßnahmen des BİG Rehberi erwartet wird.
Damit das erste Gespräch ergiebig wird.
Nichts davon ist Voraussetzung; alles, was Sie bereits haben, macht das erste Gespräch konkreter.
Was Sie vorbereiten können, falls vorhanden
- Eine Liste der Systeme und Assets, auch wenn sie unvollständig ist
- Ihr Ziel: ISO-27001-Zertifikat, KVKK-Maßnahmen, ein Kundenfragebogen oder ein Audit
- Frühere Audit-, Scan- und Testberichte, falls vorhanden
- Prozessverantwortliche und Ansprechpersonen
- Rahmenbedingungen: Zeitplan, Wartungsfenster, auszuklammernde Systeme
Fragen zu Informationssicherheit und Compliance
Quellen und Standards
- ISO/IEC 27001:2022 (öffnet in neuem Tab)Standard für Informationssicherheits-Managementsysteme
- Türkische Datenschutzbehörde (KVKK) (öffnet in neuem Tab)KVKK-Vorschriften und Leitfäden
- PCI Security Standards Council (öffnet in neuem Tab)Der Standard PCI DSS
- OWASP Top 10 (öffnet in neuem Tab)Sicherheitsrisiken von Webanwendungen
- FIRST CVSS (öffnet in neuem Tab)Bewertung des Schweregrads von Schwachstellen
Gehen wir Ihre Sicherheits- und Compliance-Ziele gemeinsam an.
Im kostenlosen Erstgespräch besprechen wir Ihre aktuelle Situation und Ihre Ziele und teilen unsere erste Einschätzung sowie mögliche nächste Schritte noch im selben Gespräch.
- Ein fachliches Gespräch mit Spezialisten für Ihr Thema
- Eine erste Einschätzung Ihrer Situation und mögliche Ansätze
- Wenn es passt, ein nächster Schritt: Assessment, Projektangebot oder Beratung
- Bei Bedarf eine Vertraulichkeitsvereinbarung vor dem Gespräch
- Rückmeldung innerhalb von 4 Geschäftsstunden
Beispiele zur Informationssicherheit aus der Praxis
Anhand beispielhafter Szenarien zeigen wir wie Zertifizierungsvorbereitung, Tests und Schutzmaßnahmen ablaufen.
Vorbereitung auf die ISO-27001-Zertifizierung
Die Vorbereitung reicht vom Geltungsbereich bis zum internen Audit. Das Zertifikat erteilt eine akkreditierte Zertifizierungsstelle; wir bereiten die Organisation auf dieses Audit vor.
Geltungsbereich
Festgelegt wird, welche Standorte, Prozesse und Systeme das Managementsystem umfasst.
- scope: software development and hosting services
- location: Istanbul office
Werte und Risiken
Informationswerte werden erfasst; für jeden werden Bedrohungen, Schwachstellen und Auswirkungen bewertet.
- assets: 126 · risks assessed: 48
- high: 6 · medium: 19 · low: 23
Erklärung zur Anwendbarkeit
Dokumentiert wird, welche der 93 Maßnahmen aus Anhang A umgesetzt werden und aus welchem Grund.
- ISO/IEC 27001:2022 Annex A · 93 controls
- applied: 87 · excluded: 6 (justified)
Richtlinien und Nachweise
Richtlinien, Verfahren und Nachweise, die zeigen, dass die Maßnahmen wirksam umgesetzt werden, werden erstellt.
- policies: 14 · procedures: 22
- ✓ records: access reviews, changes, incidents
Internes Audit
Vor dem Zertifizierungsaudit durchläuft das System ein internes Audit, unabhängig vom Team, das es aufgebaut hat; die Leitung bewertet die Ergebnisse.
- 0 major · 3 minor nonconformities
- ✓ corrective actions closed
Zertifizierungsaudit
Die akkreditierte Zertifizierungsstelle führt ein zweistufiges Audit durch und erteilt das Zertifikat.
- ✓ Stage 1: documentation audit
- ✓ Stage 2: implementation audit
- ISO/IEC 27001:2022
- Risikobewertung
- Erklärung zur Anwendbarkeit
Penetrationstest
Der Test erfolgt innerhalb eines schriftlich festgelegten Umfangs und vereinbarter Regeln. Befunde automatisierter Scans werden manuell verifiziert; der Bericht wird mit einem Retest nach der Behebung abgeschlossen.
Umfang und Regeln
Zu testende Systeme, Zeitfenster, Methoden und Ansprechpersonen werden schriftlich freigegeben.
- scope: 3 web applications · 1 external IP block
- test window: weekdays 09:00–18:00
Aufklärung
Offene Dienste und die Angriffsfläche der Anwendung werden erfasst.
- $ nmap -sV -p- 203.0.113.0/28
- 443/tcp open https nginx 1.24.0
- 22/tcp open ssh OpenSSH 9.3
Verifizierung
Befunde werden manuell verifiziert, Fehlalarme werden aussortiert.
- ! IDOR: /api/invoices/{id} returns another customer's record
- verified · severity: high
Auswirkung und Schweregrad
Die Auswirkung eines Befunds wird im Rahmen der vereinbarten Regeln und ohne Schaden an Daten nachgewiesen; der Schweregrad wird nach einer Standardmethode bewertet.
- CVSS 3.1: 7.1
- AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
Bericht
Der Bericht enthält Management-Summary, technische Details, Nachweise und Empfehlungen zur Behebung.
- high: 1 · medium: 3 · low: 5 · info: 4
Retest
Nach der Behebung werden die Befunde erneut getestet und die Ergebnisse dem Bericht hinzugefügt.
- ✓ IDOR: closed
- ✓ medium findings: 3/3 closed
- Nmap
- Burp Suite
- CVSS 3.1
Technische und organisatorische Maßnahmen nach KVKK
Die Arbeit beginnt damit, sichtbar zu machen, wo und wie personenbezogene Daten gespeichert werden. Rechtliche Dokumente werden mit der Rechtsberatung der Organisation auf Basis desselben Inventars erarbeitet.
Dateninventar
Erfasst wird, welche personenbezogenen Daten in welchem System, zu welchem Zweck und wie lange gespeichert werden.
- processes: 21 · systems: 9 · data categories: 14
Zugriffsrechte
Rollen und Berechtigungen mit Zugriff auf personenbezogene Daten werden überprüft; unnötige Rechte werden entzogen.
- accounts reviewed: 140
- ✓ unnecessary permissions removed: 23
Verschlüsselung und Protokollierung
Verschlüsselung bei Speicherung und Übertragung sowie Zugriffsprotokolle werden geprüft.
- ✓ disk encryption · TLS 1.2+
- ✓ access logs in the central logging system
Organisatorische Maßnahmen
Richtlinien, Vertraulichkeitsverpflichtungen, Schulungen und ein Verfahren zur Reaktion auf Datenschutzverletzungen werden erstellt.
- ✓ data breach response procedure
- ✓ awareness training · attendance records
Rechtliche Abstimmung
Dokumente wie Datenschutzhinweise und Einwilligungen werden mit der Rechtsberatung der Organisation auf Basis desselben Inventars abgestimmt.
- inventory and list of measures shared with legal counsel
- Dateninventar
- Berechtigungsmatrix
- Zentrales Logging