So prüfen wir – und was Sie dafür erhalten

CHF 2'800 exkl. MwSt. pro Anwendung bzw. Organisation mit einer zusammenhängenden Aussenfläche. Enthalten sind die Prüfung, das Dossier mit Besprechung, die Nachprüfung nach der Behebung und das Zertifikat. Grössere Umgebungen (mehrere Standorte, viele Anwendungen) und interne Prüfungen offerieren wir nach einem kurzen Gespräch.

Aus unseren bisherigen Erstprüfungen: In 88 Prozent der Fälle fanden wir mindestens einen Befund, den wir als kritisch einstuften – also einen, über den ein Angreifer ohne besondere Vorkenntnisse in Systeme oder Daten gelangt. Die Zahl aktualisieren wir laufend und weisen sie auch dann aus, wenn sie sinkt. Sie deckt sich mit dem, was Mandiant, Verizon und das BACS beschreiben: Der häufigste Einstieg ist eine bekannte, offene Lücke.

Wir setzen dieselben Werkzeugklassen ein, mit denen Angreifer heute arbeiten: KI-Agenten, die Aufklärung, Korrelation und Hypothesenbildung in einem Umfang leisten, den ein Mensch in einer Woche nicht schafft. Jeder relevante Befund wird von einem Menschen verifiziert und eingeordnet; die KI schreibt keine Berichte, die wir nicht gelesen haben.

Nein. Wir führen keine destruktiven Tests, keine Denial-of-Service-Versuche und keine Änderungen an Ihren Systemen durch. Wo ein Nachweis Risiken bergen könnte (etwa bei Medizingeräten), stimmen wir Zeitfenster und Vorgehen vorher mit Ihnen ab.

Klassische Tests prüfen einen vereinbarten Ausschnitt in einem vereinbarten Zeitfenster. Wir prüfen Ihre gesamte, aus dem Internet sichtbare Angriffsfläche – auch das, was Sie nicht auf der Liste hatten – und liefern statt einer Befundliste ein Dossier mit Behebungsanleitung, Nachprüfung und Zertifikat. Für vertiefte Tests einzelner Anwendungen (interne Netze, Quellcode, Red Teaming) arbeiten wir mit erweitertem Prüfumfang.

Alle Prüfdaten, Befunde und Dossiers werden ausschliesslich auf Systemen in der Schweiz verarbeitet und gespeichert, verschlüsselt übertragen und 90 Tage nach Abschluss der Nachprüfung gelöscht – ausser Sie wünschen eine längere Aufbewahrung. Wir unterzeichnen auf Wunsch eine Geheimhaltungsvereinbarung, bevor Sie uns den Prüfumfang nennen.

Genau dann. Firewall und Endpunktschutz verhindern nicht, dass ein VPN-Portal ohne MFA aus dem Internet erreichbar ist, dass ein SharePoint drei Wochen ungepatcht bleibt oder dass Zugangsdaten Ihrer Mitarbeitenden im Darknet gehandelt werden. Die Prüfung zeigt, was Ihre Schutzmassnahmen nicht abdecken.

Dann erhalten Sie das Dossier mit dem Inventar Ihrer Aussenfläche, den geprüften Punkten und dem Zertifikat – ohne Nachprüfung, zum selben Preis. Das kommt vor, ist aber selten: in 12 Prozent unserer Erstprüfungen.

Zwölf Monate ab Nachprüfung. Es bescheinigt, dass zum Prüfdatum im vereinbarten Umfang keine kritischen oder hohen Befunde offen waren – nicht, dass Ihre Systeme «unangreifbar» sind. Diese Ehrlichkeit ist der Grund, weshalb das Zertifikat etwas wert ist.

Melden Sie sich sofort telefonisch oder über das Kontaktformular mit der Option «Ich wurde angegriffen». Trennen Sie betroffene Systeme vom Netz, schalten Sie sie nicht aus (Spuren!), sichern Sie Backups und zahlen Sie kein Lösegeld, bevor Sie mit Behörden gesprochen haben. Betreiber kritischer Infrastrukturen müssen den Vorfall innert 24 Stunden dem BACS melden – wir helfen bei der Meldung.