Johannes Werner · RAKITIN
Was ein Angreifer von außen über Ihr Unternehmen sieht, bevor er anruft.
Der Sicherheits-Check prüft Ihre öffentlich erreichbare IT aus genau der Perspektive, aus der ein Angriff beginnt: von außen, ohne Zugangsdaten, ohne Insiderwissen. Sie bekommen einen Befundbericht, der jede Feststellung nach Dringlichkeit einordnet und zu jeder Feststellung sagt, was konkret zu tun ist.
- kritisch Verwaltungsoberfläche ohne Zugangsbeschränkung erreichbar Sofort sperren oder auf VPN legen. Aufwand: eine Stunde.
- hoch SPF und DMARC unvollständig, Absender fälschbar Zwei DNS-Einträge. Verhindert Rechnungsbetrug im Namen Ihrer Domain.
- mittel TLS-Zertifikat läuft in neun Tagen ab Erneuerung automatisieren, sonst Ausfall der Kundenseite.
- gering Serverbanner nennt die eingesetzte Softwareversion Banner abschalten. Nimmt Angreifern die Vorauswahl.
Ihre Firewall schützt das Innere. Geprüft wird hier das Äußere.
Die meisten Vorfälle im Mittelstand beginnen nicht mit einem Angriff auf das Rechenzentrum, sondern mit etwas, das versehentlich öffentlich erreichbar ist: ein vergessener Testserver, ein offenes Verwaltungsportal, ein abgelaufenes Zertifikat, eine Domain, in deren Namen sich Rechnungen verschicken lassen. Diese Dinge stehen nicht im Netzplan. Sie stehen im Internet.
- Ihr IT-Dienstleister betreut, was er aufgesetzt hat. Geprüft wird hier alles, was von außen sichtbar ist, auch das, was vor seiner Zeit entstanden ist.
- Ein Befund, den niemand erklärt, wird nicht behoben. Jede Feststellung im Bericht hat eine Maßnahme, einen geschätzten Aufwand und eine Reihenfolge.
- Sie bekommen ein Dokument, das Sie in die Geschäftsführung, zur Versicherung oder zum Wirtschaftsprüfer mitnehmen können.
Was Sie nach fünf Arbeitstagen in der Hand haben
-
Befundbericht als PDF
Jede Feststellung mit Nachweis, Einordnung nach Dringlichkeit und einer konkreten Maßnahme. Geschrieben, damit Ihre IT damit arbeiten kann.
-
Zusammenfassung für die Geschäftsführung
Eine Seite ohne Fachjargon: Was ist der Stand, was ist das Risiko, was kostet die Behebung ungefähr.
-
Priorisierte Maßnahmenliste
In der Reihenfolge, in der sie abgearbeitet werden sollte. Was heute zu tun ist, steht oben.
-
Nachbesprechung am Telefon
Dreißig Minuten, damit die Fragen zum Bericht beantwortet sind, bevor er in der Ablage landet.
-
Erster Nachtest nach zwei Monaten, kostenfrei
Derselbe Prüfumfang noch einmal, damit Sie belegen können, dass die Punkte geschlossen sind.
-
Nachweise, zwölf Monate aufbewahrt
Bericht, Prüfumfang und Freigabedokument bleiben zwölf Monate abrufbar, also über das Nachtest-Fenster hinaus.
Was geprüft wird, und was ausdrücklich nicht
Im Umfang enthalten
- Öffentlich erreichbare Dienste und offene Ports Ihrer Domains
- Verschlüsselung: TLS-Konfiguration, Zertifikatsketten und Laufzeiten
- E-Mail-Absenderschutz: SPF, DKIM und DMARC
- DNS-Konfiguration, Subdomains und vergessene Einträge
- Von außen erreichbare Anmelde- und Verwaltungsoberflächen
- Sicherheitsrelevante Kopfzeilen und Konfiguration Ihrer Webauftritte
- Öffentlich auffindbare Software- und Versionsangaben
- Öffentlich bekannt gewordene Zugangsdaten zu Ihren Domains aus Datenlecks
Nicht im Umfang
- Kein Ausnutzen gefundener Schwachstellen, keine Veränderung an Ihren Systemen
- Keine Lasttests und nichts, was den laufenden Betrieb stören kann
- Kein Social Engineering, keine Phishing-Simulation gegen Ihre Mitarbeiter
- Keine Prüfung des internen Netzes und keine Prüfung ohne Freigabe
- Kein vollständiger Penetrationstest und keine Zertifizierung nach ISO 27001
Geprüft wird ausschließlich, was Sie im Auftrag benennen und anschließend schriftlich freigeben. Systeme Dritter, etwa Ihres Hosters, werden nur berührt, soweit sie Ihre benannten Domains ausliefern.
Vier Schritte, keine Termine dazwischen
-
Auftrag
Sie füllen das Formular unten aus. Dauer etwa drei Minuten. Es folgt kein Verkaufsgespräch.
-
Freigabe
Sie erhalten sofort per E-Mail einen persönlichen Link. Dort bestätigen Sie den Prüfumfang schriftlich. Vor dieser Bestätigung wird nichts geprüft.
-
Prüfung
Die Prüfung läuft von außen und ohne Eingriff in Ihre Systeme. Sie merken davon im Betrieb nichts.
-
Bericht
Innerhalb von fünf Arbeitstagen nach Ihrer Freigabe bekommen Sie den Bericht, danach die Nachbesprechung.
690 Euro, einmalig, ohne Folgekosten
zzgl. gesetzlicher Umsatzsteuer
Leistungserbringer ist die RAKITIN Limited mit Sitz in Zypern (EU). Gegenüber Unternehmen aus Deutschland und dem übrigen EU-Ausland mit gültiger USt-IdNr. wird ohne zypriotische Umsatzsteuer abgerechnet; die Steuerschuld geht im Reverse-Charge-Verfahren auf Sie über (Artikel 196 MwStSystRL, in Deutschland Paragraf 13b UStG). Ohne gültige USt-IdNr. wird die gesetzlich geschuldete Umsatzsteuer in Rechnung gestellt. Diese Angabe ist eine allgemeine Information und ersetzt keine steuerliche Beratung.
14 Tage Geld zurück, ab Zustellung des Berichts
Wenn der Bericht Ihnen nichts wert war, schreiben Sie mir innerhalb von 14 Tagen nach Zustellung eine E-Mail. Sie bekommen die vollen 690 Euro zurück, ohne Begründung, und Sie behalten den Bericht.
Nachtests
Der erste Nachtest zwei Monate nach dem Check ist kostenfrei. Ein weiterer Nachtest im Fenster von sechs bis zwölf Monaten nach dem ersten Check kostet 190 Euro.
Zahlung
Rechnung nach Zustellung des Berichts, zahlbar innerhalb von 14 Tagen per Überweisung. Keine Vorkasse, kein Abonnement, keine automatische Verlängerung.
Was vor der Beauftragung meistens gefragt wird
Ist das rechtlich sauber?
Ja, und genau deshalb gibt es den Freigabeschritt. Geprüft wird erst, wenn Sie den Prüfumfang über Ihren persönlichen Link schriftlich bestätigt haben. Diese Bestätigung wird mit Zeitstempel dokumentiert und zwölf Monate aufbewahrt, für Sie und für mich.
Stört die Prüfung unseren Betrieb?
Nein. Es wird von außen geschaut, nicht eingegriffen. Es gibt keine Lasttests, kein Ausnutzen von Schwachstellen und keine Änderung an Ihren Systemen. In den Logs Ihres Hosters erscheinen die Zugriffe, mehr passiert nicht.
Wir haben schon einen IT-Dienstleister.
Gut. Der Bericht ist nicht gegen ihn gerichtet, er ist für ihn geschrieben. Jede Feststellung ist so formuliert, dass Ihr Dienstleister sie ohne Rückfragen abarbeiten kann. Erfahrungsgemäß findet ein Blick von außen vor allem das, was historisch gewachsen ist und wofür sich niemand zuständig fühlt.
Was, wenn nichts gefunden wird?
Dann haben Sie das schriftlich, mit Datum und Prüfumfang, und können es Ihrer Versicherung, Ihrem Wirtschaftsprüfer oder Ihrem Kunden vorlegen. Sollte Ihnen der Bericht trotzdem nichts wert sein, greift die Geld-zurück-Zusage.
Wer bekommt die Ergebnisse zu sehen?
Nur die Personen, die Sie im Auftrag benennen. Es gibt keine Weitergabe an Dritte, keine Veröffentlichung und keine Verwendung als Referenz ohne Ihre ausdrückliche Zustimmung.
Wie lange dauert es, und was brauchen Sie von uns?
Fünf Arbeitstage ab Ihrer Freigabe. Von Ihnen brauche ich die Domains, die geprüft werden sollen, und eine Person, die den Prüfumfang freigeben darf. Sonst nichts, keine Zugangsdaten, keine Systemzugriffe.
Ist das ein Penetrationstest?
Nein. Ein Penetrationstest arbeitet mit Ausnutzung, dauert Wochen und kostet ein Vielfaches. Der Sicherheits-Check beantwortet die vorgelagerte Frage: Was ist von außen überhaupt sichtbar und angreifbar. Für viele Unternehmen ist das der Punkt, an dem man anfängt.
Sicherheits-Check beauftragen
Ausfüllen, absenden, fertig. Sie bekommen unmittelbar danach die Auftragsbestätigung und den Link zur Freigabe des Prüfumfangs. Kein Rückruf nötig, kein Verkaufsgespräch.
Auftrag eingegangen
Die Auftragsbestätigung und der Link zur Freigabe des Prüfumfangs sind unterwegs an Ihre E-Mail-Adresse. Bitte bestätigen Sie dort den Umfang, danach startet die Prüfung.
Ihre Auftragsnummer: