Sie haben Firewalls. Sie haben EDR.
Trotzdem stehen Türen offen.

Weil diese Produkte Angriffe abwehren sollen, aber nichts an der Konfiguration ändern, die den Angriff erst möglich macht. In fast jedem Audit finden wir dieselben Punkte: Active Directory in der Standardkonfiguration, in der Kerberoasting weiterhin funktioniert, fehlendes SMB- und LDAP-Signing, Alltagsarbeit mit Domain-Admin-Rechten, ein EDR, das nur im Audit-Modus läuft und deshalb nichts blockiert. Systemhärtung schließt genau diese Türen, statt sie zu bewachen. Sie ist außerdem die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung, weil sie keine neuen Lizenzen und keine neuen Werkzeuge braucht.

Das ist die berechtigte Sorge, und sie entscheidet in der Praxis darüber, ob gehärtet wird oder nicht. Wir arbeiten deshalb in kleinen Blöcken statt in einem großen Wurf: nach jeder einzelnen Maßnahme prüfen wir, ob Ihre zentralen Dienste zuverlässig weiterlaufen. Passt etwas nicht, schleifen wir nach oder wählen eine Alternative mit vergleichbarer Schutzwirkung. Jede Änderung wird mit Vorher- und Nachher-Status dokumentiert, Sie können also jederzeit nachvollziehen, was verändert wurde.

Über ein Tiering-Modell: administrative Konten werden nach Schutzbedarf getrennt, privilegierte Anmeldungen laufen nur noch über eigene Admin-Arbeitsplätze (PAW), lokale Administratorkennwörter werden über LAPS zufällig gesetzt, Dienstkonten auf gMSA umgestellt. Wir beginnen mit einer Angriffspfad-Analyse, damit die Reihenfolge stimmt und nicht das aufgeräumt wird, was ohnehin niemand erreicht. Privileged Access Management ist damit kein Produktkauf, sondern zuerst eine Frage von Struktur und Hygiene. Neun von zehn Umgebungen, die wir prüfen, haben hier keine Trennung. Sie sind mit dem Zustand also nicht allein.

Ein EDR sieht, was auf einem einzelnen Gerät passiert. Ein SIEM sieht die Zusammenhänge über Systeme, Anmeldungen und Netzgrenzen hinweg, also genau dort, wo sich Angreifer bewegen. Beides ersetzt sich nicht. Entscheidend ist ohnehin nicht das Werkzeug: Wir finden regelmäßig SIEM-Installationen ohne angepasste Detection-Rules und EDR-Systeme im Audit-Modus, die nichts blockieren. Sinnvoll ist deshalb, zuerst die vorhandenen Werkzeuge scharf zu stellen, Regeln nach MITRE ATT&CK aufzubauen und Fehlalarme zu bereinigen. Erst danach lohnt die Frage, ob ein zusätzliches SIEM nötig ist und ob Sie es selbst betreiben oder als Managed Detection and Response an uns abgeben.

Das ist die Frage, an der Detection-Projekte scheitern: Die Erkennung funktioniert, aber niemand ist da, der die Meldung bewertet. Wir bauen die Detection deshalb so auf, dass klar ist, welcher Alarm welche Reaktion auslöst, und bereinigen Fehlalarme, bis die verbleibenden Meldungen belastbar sind. Sie können die Auswertung anschließend selbst übernehmen, wir schulen Ihr Team darauf. Oder Sie geben sie als Managed Detection and Response an uns ab, dann übernehmen wir Überwachung und Alarm-Triage dauerhaft.

Ja, und zwar in Stufen, nicht als Neubau. Wir beginnen mit einem Zonen-Konzept, das die Wege beschreibt, die ein Angreifer nach der ersten Kompromittierung nutzen würde, und trennen zuerst diese: Clients von Servern, Drucker und Geräte ohne Wartung von den Domain Controllern, OT von IT. Danach folgen Firewall-Regelwerk, Port-Security und Zugangskontrolle im Netz. Netzwerksegmentierung ist der Schritt, der Lateral Movement am stärksten bremst, und in sieben von zehn geprüften Umgebungen ist er noch offen. Zero Trust ist die Zielarchitektur dahinter, aber der Einstieg ist die erste sauber getrennte Zone, nicht das große Modell.

Der CyberSprint kostet pauschal 2.690 € zzgl. MwSt. und umfasst zwei Personentage, verteilt über zwei bis drei Wochen. Darin setzen wir 8 bis 12 Maßnahmen um, ausgewählt nach dem größten Sicherheitsgewinn, quer über lokales Active Directory und Microsoft 365. Er macht Ihre Umgebung nicht vollständig sicher, das behaupten wir nicht: er stellt die Basis her und schließt die gefährlichsten offenen Flanken, mit dokumentiertem Nachweis für Management und Prüfer. Was danach offenbleibt, sehen Sie in der Abschlussdokumentation und können es einzeln als Baustein beauftragen oder in den laufenden Härtungs-Zyklus überführen.

Ein Penetrationstest prüft definierte Systeme auf Schwachstellen und beantwortet die Frage, welche Lücken es gibt. Ein Red Teaming greift zielorientiert die gesamte Verteidigung an und beantwortet die Frage, ob Sie den Angriff bemerken und stoppen. Die Reihenfolge folgt daraus: Solange Kerberoasting funktioniert und das EDR nicht blockiert, ist der Befund vorhersehbar, und Härtung ist der günstigere Weg zum gleichen Erkenntnisgewinn. Red Teaming lohnt sich, wenn die Basis steht und Sie Detection und Reaktion prüfen wollen. Beide Tests führt unser fester Offensive-Partner durch, gesteuert von Naviro; die Findings schließen wir anschließend selbst.

Schulung zeigt, was Menschen wissen. Eine Simulation zeigt, was sie im Arbeitsalltag tun, und mit KI-generierten Mails in fehlerfreiem Deutsch verschiebt sich diese Lücke gerade deutlich. Wir führen die Kampagnen selbst durch, abgestimmt auf Ihre Abläufe, und die Ergebnisse fließen in Schulung und Härtung, nicht in Schuldzuweisungen.