Das Wichtigste in Kürze
- Outside-In-Perspektive: Wir prüfen nicht nur, was uns Kunden mitteilen, sondern alles, was aus dem Internet auffindbar ist.
- 12 Prüfbereiche: Von exponierten Ports über VPN/MFA-Bypässe, Cloud-Freigaben und Darknet-Leaks bis zur OWASP Top 10.
- Symbiose aus KI und Mensch: Autonome Aufklärungsagenten analysieren Terabytes an Telemetrie; erfahrene Senior-Analysten verifizieren jeden kritischen Befund von Hand.
- Keine Betriebsunterbrüche: Alle Tests sind nicht-destruktiv (kein DoS, keine Datenlöschung).
1. Das Dilemma klassischer Sicherheitsaudits
Ein typisches IT-Audit in der Schweiz beginnt mit einem Excel-Formular: Der Kunde trägt zehn IP-Adressen und zwei Web-URLs ein. Die Beratungsfirma prüft exakt diese zwölf Ziele und stellt nach zwei Wochen fest: Alles grün. Drei Monate später bricht eine Ransomware-Bande über ein vergessenes Entwicklungsportal auf einer Subdomain ein, die seit 2022 niemand mehr auf dem Radar hatte.
Reale Angreifer nutzen automatisierte Scanner, Darknet-Suchmaschinen (Shodan, Censys) und KI-Agenten, die das gesamte Internet rund um die Uhr nach Schwachstellen durchforsten. Genau hier setzt die Suisse Guard Methodik an: Wir beginnen dort, wo der Angreifer beginnt.
2. Die sechs Phasen der Suisse Guard Bedrohungsanalyse
Phase 1: Passives Reconnaissance & DNS-Mapping
Ohne ein einziges verdächtiges Paket an Ihre Server zu schicken, erfassen wir passive DNS-Einträge, Zertifikatstransparenz-Logs (Certificate Transparency Logs), WHOIS-Daten und historische BGP-Routings. Wir identifizieren verborgene Subdomains (z. B. stage.portal.organisation.ch oder vpn-old.organisation.ch), verwaiste DNS-Verweise (Subdomain-Takeover-Gefahr) und Hosting-Strukturen bei Drittanbietern.
Phase 2: Aktives Scanning & Port-Identifikation
Alle identifizierten Adressen werden auf offene Netzwerk-Ports und laufende Dienste abgetastet. Wir prüfen:
- Exponierte Fernwartungsschnittstellen (RDP auf Port 3389, SSH auf Port 22, VNC).
- Direkt ins Internet geroutete Datenbanken (PostgreSQL 5432, MySQL 3306, Redis 6379, MongoDB 27017).
- Webserver-Versionen und veraltete SSL/TLS-Verschlüsselungen.
Phase 3: Abgleich mit Darknet-Daten und Leaks
Wir durchsuchen kuratierte Darknet-Marktplätze, Telegram-Kanäle von Initial Access Brokern und öffentliche Git-Repositories nach Zugangsdaten mit den E-Mail-Domains Ihrer Organisation. 2025 wurden allein in der Schweiz über 530'000 kompromittierte Konten registriert – oft gestohlen durch Infostealer-Malware auf privaten Heimgeräten von Mitarbeitenden.
Phase 4: Webanwendungs- & API-Analyse (OWASP Top 10)
Öffentlich erreichbare Kundenportale, Intranet-Logins und REST/GraphQL-Schnittstellen werden auf typische Schwachstellen nach OWASP Top 10 abgeklopft: Authentifizierungsumgehung, fehlerhafte Autorisierung (BOLA), SQL-Injection, Cross-Site Scripting und Offenlegung vertraulicher Tokens.
Phase 5: Manuelle Expertenprüfung & Risikoklassifizierung
Hier trennt sich die Spreu vom Weizen: KI-Agenten liefern uns eine strukturierte Liste möglicher Schwachstellen. Jeder einzelne Befund mit Risikostufe «Mittel», «Hoch» oder «Kritisch» wird von einem erfahrenen Schweizer Sicherheitsanalysten der Suisse IT GmbH manuell überprüft. Falschmeldungen werden eliminiert; tatsächliche Schwachstellen werden mit reproduzierbaren Nachweisen (Screenshots, HTTP-Anfragen) belegt.
Phase 6: Dossier, Besprechung & Nachprüfung
Sie erhalten kein unlesbares Tool-Log, sondern ein klares Dossier: Zusammenfassung für die Geschäftsleitung, technische Details für die IT. In einem gemeinsamen Video-Call besprechen wir die Prioritäten. Nach Behebung der Mängel prüfen wir alle Befunde nach – ohne Zusatzkosten. Anschliessend stellen wir das Sicherheitszertifikat aus.
3. Die 12 Prüfbereiche im Überblick
| Bereich | Prüfgegenstand | Typischer Fund |
|---|---|---|
| 1. Aussenfläche & Dienste | Jede IP, jeder offene Port, Testsubdomains | Vergessener Staging-Server aus 2022 |
| 2. Firewall & Netzwerk | Offene RDP/SSH/DB-Ports | Port 3389 direkt aus Internet erreichbar |
| 3. Anmeldung & Fernzugänge | VPN, Webmail, Admin-Portale | Login ohne Zwei-Faktor-Authentifizierung |
| 4. Geleakte Zugangsdaten | Abgleich mit 500k+ Schweizer Darknet-Logs | Gültiges Admin-Passwort im Stealer-Log |
| 5. Datenbanken & Speicher | Exponierte Buckets, SQL, Redis, Backups | Öffentlicher Cloud-Bucket mit Backups |
| 6. Webanwendungen | OWASP Top 10, Auth-Bypass, XSS, SQLi | Rechteausweitung über ID-Parameter |
| 7. Schnittstellen & APIs | REST, GraphQL, BOLA, fehlende Limits | API liefert fremde Datensätze aus |
| 8. Software-Stände & CVEs | Sichtbare Versionen gegen CISA KEV | Kritische Lücke im VPN-Gateway ungepatcht |
| 9. Verschlüsselung & TLS | Zertifikate, Headers (CSP, HSTS) | Fehlende Security-Header, schwache Ciphers |
| 10. E-Mail-Sicherheit | SPF, DKIM, DMARC, Lookalike-Domains | Mail-Spoofing im Namen der GL möglich |
| 11. Cloud & Microsoft 365 | SharePoint, Exchange, Gastkonten | Anonyme Freigabelinks mit Personaldaten |
| 12. Erkennung & Notfallplan | Logging, Alarmierung, Backup-Tests | Keine Alarmierung bei verdächtigem Login |
Erleben Sie den Unterschied einer echten Bedrohungsanalyse
Lassen Sie Ihre Systeme mit der Präzision eines Schweizer Sicherheitsunternehmens prüfen. Transparent, pauschal und verlässlich.
