Cyber Security für KMU in Wien

Nach dem Check wissen Sie, welche Ihrer Systeme und Zugangsdaten im Internet offenliegen und was Sie zuerst tun sollten.

Für wen: jedes Unternehmen mit Website, Onlineshop, Kundenportal oder Microsoft 365. Typische Anlässe: ein Sicherheitsfragebogen, ein bevorstehender Relaunch, eine Phishing-Welle oder die Frage, was Angreifer im Netz über Sie finden.

Enthalten:

• Ihre schriftliche Freigabe, bevor wir beginnen
• Bestandsaufnahme Ihrer öffentlich sichtbaren Domains, Subdomains, Server sowie Cloud- und Microsoft-365-Dienste
• automatisierte Prüfung auf bekannte Schwachstellen, eingeordnet von zertifizierten Spezialist:innen; gehostete Plattformen und Cloud-Dienste wie Shopify oder Microsoft 365 nur im Rahmen der Regeln des Anbieters
• Suche nach Zugangsdaten Ihrer Firmen-Domain in bekannten Datenlecks
• für bestehende Kund:innen zusätzlich: Durchsicht der Admin-Konten, Apps und Plugins Ihrer Website oder Ihres Shops durch unser Team
• Befundliste nach Dringlichkeit, Ergebnisgespräch und eine klare Empfehlung für den nächsten Schritt

Durchlaufzeit: typischerweise rund eine Woche ab Freigabe.

Festpreis nach Erstanalyse

Außenblick-Check anfragen

Sie wissen, welche Schwachstellen Ihre Anwendungen haben, wie schwer sie wiegen und in welcher Reihenfolge Sie sie schließen.

Für wen: Onlineshops, Web-Apps, Kunden- und Mitgliederportale, APIs, KI-Chatbots und Agenten. Anlass: Go-live, Relaunch oder großes Release, eine neue Login-, Zahlungs- oder Kundendaten-Funktion, ein KI-Agent, der künftig ohne menschliche Freigabe antwortet, oder ein Kunde, Marktplatz oder Versicherer, der einen Testbericht sehen will.

Enthalten:

• Abstimmung des Testumfangs, Kick-off und schriftliche Freigabe
• Web Application Pentest nach OWASP Top 10 und OWASP Web Security Testing Guide: Anmeldung und Rollen, Warenkorb und Zahlung, Kundendaten, Admin-Bereiche
• API-Pentest Ihrer eigenen Schnittstellen zu ERP, CRM, Apps und Partnern
• KI-Chatbots und LLM-Funktionen: Prompt Injection, Jailbreaks, ungewollte Datenweitergabe
• bei Shopify und anderen gehosteten Plattformen: Ihr eigener Code (Theme-Anpassungen, Custom Apps, eigene Schnittstellen, Headless-Frontend), vorzugsweise in einem Entwicklungs-Shop oder einer Vorschau-Umgebung und im Rahmen der Nutzungsbedingungen des Plattformanbieters; bei Drittanbieter-Apps prüfen wir Konfiguration und Berechtigungen, nicht deren Server
• jeder Befund von Hand bestätigt, Bericht mit Prioritäten, Abschlussgespräch
• auf Wunsch: Behebung durch unser Team und Nachtest

Typischer Umfang: meist 2 bis 10 Personentage, je nach Größe der Anwendung; ein Nachtest ist meist deutlich kürzer.

Festpreis nach Erstanalyse

Sie erfahren, über welche Wege ein Angreifer in Ihr Netzwerk und Ihre Cloud käme, und erhalten für jeden Weg die passende Gegenmaßnahme.

Für wen: Unternehmen mit eigenen Servern, einer Windows-Domäne oder Microsoft 365 und Azure. Anlass: Risikomanagement nach NIS2, Sorge vor Ransomware, ein neuer IT-Dienstleister, der Fragebogen der Cyber-Versicherung oder der jährliche Testzyklus.

Enthalten:

• Abstimmung des Testumfangs, Kick-off und schriftliche Freigabe; bei Red Teaming und Social Engineering zusätzlich mit abgestimmten Regeln und Notfallkontakt
• externer Penetrationstest: Ihre aus dem Internet erreichbaren Server sowie VPN- und E-Mail-Zugänge; Scanner liefern Hinweise, Spezialist:innen prüfen und vertiefen jeden Treffer
• interner Test mit Active Directory: Ausgangspunkt ist ein bereits übernommener Rechner im Netz, gesucht werden die Wege bis zu Domänen-Adminrechten
• Microsoft 365 und Azure: wer darf was, wie Konten und Anmeldungen geschützt sind, wie die Cloud mit dem internen Netz verbunden ist
• Reviews von Active Directory, Microsoft 365 sowie Netzwerk- und OT-Architektur nach IEC 62443, als Durchsicht der Konfiguration
• Red Teaming mit Social Engineering auf Anfrage, für größere Organisationen
• Befunde in der Infrastruktur behebt Ihre IT oder Ihr IT-Dienstleister; Sie erhalten die priorisierte Liste

Typischer Umfang: Einzeltests meist 2 bis 10 Personentage, je nach Zahl der Systeme; Red Teaming mehrere Wochen.

Festpreis nach Erstanalyse

Sie wissen, ob und wie das NISG 2026 Sie erfasst, und haben einen Plan mit klaren Prioritäten.

Für wen: mittlere und große Unternehmen in den Sektoren der Anlagen 1 und 2 des NISG 2026 sowie Lieferanten, deren Kund:innen NIS2-Anforderungen an sie weitergeben. Anlass: Erfasste Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten des Gesetzes registrieren (§ 29 Abs. 3 NISG 2026).

Enthalten:

• NIS2-Betroffenheit: ob und als was Ihr Unternehmen erfasst ist (wesentliche oder wichtige Einrichtung), nach Sektor und Größe
• Unterstützung bei der Registrierung
• NIS2-Gap-Analyse: Ihre Maßnahmen im Abgleich mit den Mindestinhalten nach § 32 NISG 2026, von Risikoanalyse und Backup über die Lieferkette bis zur Multi-Faktor-Authentifizierung, mit priorisiertem Plan
• ein Ablauf für die Meldung erheblicher Sicherheitsvorfälle: wer entscheidet, wer meldet, in welcher Frist
• Cybersicherheitsschulung für Geschäftsführung und Leitungsorgane
• Lieferanten-Variante: Wenn Kund:innen NIS2-Anforderungen an Sie weitergeben, bereiten wir Fragebögen und Nachweise mit Ihnen vor

Typischer Umfang: meist 2 bis 10 Personentage, je nach Größe und Ausgangslage.

Festpreis nach Erstanalyse

Keine Rechtsberatung; die Registrierung nehmen Sie selbst vor.

Sie sehen, wo Sie gegenüber einer Norm stehen, und kommen mit einem klaren Plan bis zum Audit.

Für wen: Unternehmen, von denen Ausschreibungen, Großkunden oder Branchenvorgaben einen Nachweis nach ISO 27001, TISAX, IEC 62443 oder DORA verlangen, und Unternehmen, die ohne Zertifizierung einen belastbaren Ausgangspunkt wollen (CIS Controls).

Enthalten:

• Gap-Analyse zu ISO/IEC 27001, NIS2, TISAX, IEC 62443, DORA oder CIS Controls: Wir sprechen mit den Verantwortlichen, sehen Richtlinien und Nachweise durch und bewerten jede Anforderung auf einer Reifegradskala. Ergebnis ist ein Maßnahmenplan, der mit dem Wichtigsten beginnt
• ISMS-Aufbau: Wir grenzen mit Ihnen den Geltungsbereich ab, legen die Methode der Risikobewertung fest und entwerfen die Erklärung zur Anwendbarkeit (SoA); dazu kommen Zuständigkeiten und ein Zeitplan Richtung Audit
• ISO 27001 Beratung bis zum Zertifizierungsaudit (Stufe 2), inklusive internem Audit
• Das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle Ihrer Wahl; deren Auditgebühren sind nicht enthalten.

Typischer Umfang: Gap-Analyse meist 2 bis 10 Personentage je Norm; der Weg bis zum Zertifizierungsaudit dauert meist mehrere Monate.

Festpreis nach Erstanalyse

Informationssicherheit hat bei Ihnen eine verantwortliche Stelle, die der Geschäftsführung berichtet.

Für wen: Unternehmen ohne eigene Sicherheitsverantwortliche; NIS2-Einrichtungen, deren Leitungsorgane die Risikomanagementmaßnahmen beaufsichtigen müssen (§ 31 NISG 2026); Firmen, bei denen sich Sicherheitsfragebögen von Kund:innen stapeln.

Enthalten:

• CISO as a Service: eine benannte Person in der Rolle des CISO, mit direkter Berichtslinie an die Geschäftsführung
• feste Termine mit Ihrem Team zu Risiken, offenen Maßnahmen und Richtlinien
• Vorbereitung der Managementbewertung
• Beantwortung von Sicherheitsfragebögen Ihrer Kund:innen und Lieferanten
• Koordination von Tests, Monitoring und Behebung, bei Web, Shop und App mit unserem Team

Typischer Umfang: einige Personentage pro Monat.

Festpreis nach Erstanalyse (monatlich)

Neue Schwachstellen und geleakte Zugangsdaten fallen zwischen zwei Tests auf, nicht erst beim nächsten.

Für wen: Unternehmen nach einem Außenblick-Check oder Pentest, Teams mit häufigen Releases, NIS2-Einrichtungen und Kund:innen unserer Website-Wartung, die zur Wartung ein Sicherheits-Monitoring ergänzen wollen.

Enthalten:

• Angriffsflächen- und Darknet-Monitoring nach Ihrer schriftlichen Freigabe: Ihre öffentlich erreichbaren Systeme werden fortlaufend erfasst und auf neue Schwachstellen geprüft; tauchen Zugangsdaten Ihrer Domain in Datenlecks oder im Darknet auf, erfahren Sie es
• auf Wunsch Scanner im internen Netz und alle Befunde in einer Übersicht
• Pentest as a Service: Sie reservieren Personentage für das Jahr und setzen sie ein, wenn sich an Ihren Systemen etwas Wesentliches ändert oder Befunde nachzutesten sind; jeder Abruf startet mit eigener schriftlicher Freigabe, und es testen dieselben Personen, die Ihre Umgebung schon kennen
• optional DNS-Schutz mit Allowlist: Geräte in Ihrem Netz verbinden sich nur mit Domains, die als vertrauenswürdig bewertet sind
• wir richten alles ein, schulen Ihr Team ein und bleiben laufend dran; Befunde in Website, Shop und App gehen direkt an unser Team

Typischer Umfang: Pentest as a Service mit so vielen Personentagen im Jahr, wie Sie brauchen; Monitoring und DNS-Schutz als Lizenz nach Unternehmensgröße.

Festpreis nach Erstanalyse, Lizenz nach Unternehmensgröße

Ihre Mitarbeitenden lernen, Phishing zu erkennen, bevor jemand klickt.

Für wen: jedes Team, das mit E-Mails, Bestellungen und Zahlungen arbeitet; NIS2-Einrichtungen, die ihren Mitarbeitenden regelmäßig Schulungen anbieten müssen und deren Leitungsorgane selbst an Cybersicherheitsschulungen teilnehmen müssen (§ 31 Abs. 2 NISG 2026); nach einem Phishing-Vorfall oder auf Wunsch der Versicherung.

Enthalten:

• simulierte Phishing-Mails nach schriftlicher Freigabe durch die Geschäftsführung, ausgewertet nach Team statt nach Person und, wo es einen Betriebsrat gibt, mit ihm abgestimmt
• Awareness-Trainings nach Rolle: Mitarbeitende, Führungskräfte, IT
• Kurzbericht mit den nächsten Schritten, jährlich wiederholbar

Typischer Umfang: nach Teamgröße und Format.

Festpreis nach Erstanalyse