Security Assessment
Wissen, wo man wirklich steht.
Security Assessment
Wie sicher ist Deine IT wirklich? Unser Security Assessment für Schweizer KMU prüft Infrastruktur, Prozesse und Deine Microsoft-Umgebung: Microsoft 365, Microsoft Entra ID, Identitäten, Berechtigungen und Conditional Access. Du erhältst eine verständliche Risikobewertung und einen priorisierten Massnahmenplan – damit Deine Sicherheit mit der dynamisch wachsenden Plattform Schritt hält.
Typische Herausforderungen
Unklarheit über den aktuellen Sicherheitsstatus
Die Ungewissheit, wo das Unternehmen in Bezug auf die IT-Sicherheit steht und welchen Risiken es tatsächlich ausgesetzt ist.
Identifizierung von Schwachstellen
Es ist schwierig, die technischen Schwachstellen in der Infrastruktur und die organisatorischen Lücken in den Prozessen zu erkennen.
Die Cloud wächst schneller als die Sicherheitsregeln
Neue Microsoft-365-Funktionen, KI-Assistenten und eingebundene Anwendungen verändern laufend die Umgebung. Alte Freigaben, Richtlinien und Ausnahmen passen dadurch möglicherweise nicht mehr zum heutigen Schutzbedarf.
Zu viele Rechte, zu wenig Überblick
Nach Rollenwechseln bleiben Berechtigungen bestehen, externe Gäste behalten Zugriff und Anwendungen erhalten weitreichende Freigaben. Ein kompromittiertes Konto kann so mehr Daten und Systeme erreichen als notwendig.
MFA vorhanden – aber nicht überall wirksam
Eine registrierte Mehrfaktor-Authentifizierung allein sagt wenig über die tatsächliche Absicherung aus. Entscheidend ist, welche Zugriffe die Richtlinien erfassen und wo Ausnahmen, alte Anmeldeverfahren oder unverwaltete Geräte Schutzlücken lassen.
Fehlendes Risikomanagement
Ohne eine klare Übersicht über die Risiken können keine fundierten Entscheidungen für Investitionen in Sicherheit getroffen werden.
Mangelnde Nachvollziehbarkeit
Die Entwicklung der Sicherheitslage über die Zeit zu verfolgen und den Erfolg umgesetzter Massnahmen zu messen, ist eine Herausforderung.
Erfüllung von Compliance-Anforderungen
Der Nachweis, dass regelmässig eine Überprüfung der Sicherheitslage stattfindet, ist oft erforderlich.
Unser Service-Angebot
Umfassendes technisches & organisatorisches Assessment
Wir führen eine kombinierte Analyse durch, die sowohl die technische Infrastruktur als auch organisatorische Sicherheitsprozesse beleuchtet.
Technischer Schwachstellenscan
Wir identifizieren technische Schwachstellen im Netzwerk, in Systemen und Anwendungen mittels fundierter Schwachstellenscans (Vulnerability Scan).
Microsoft 365 & Identity Security Assessment
Wir analysieren die Konfiguration Deiner Microsoft-365-Umgebung und von Microsoft Entra ID, einschliesslich Identitätsverwaltung, Zugriffsrechten und Conditional Access. Den Prüfumfang stimmen wir auf Deine Geschäftsprozesse, angebundenen Systeme und Lizenzen ab.
Organisatorisches Assessment via Fragebogen
Wir ermitteln den Stand der organisatorischen Sicherheitsmassnahmen, Richtlinien und des Mitarbeiterbewusstseins anhand gezielter Fragebogen und Interviews.
Detaillierte Ergebnisse & Handlungsempfehlungen
Wir stellen die Ergebnisse des Assessments transparent zusammen und generieren konkrete Massnahmen und Empfehlungen zur Behebung der identifizierten Schwachstellen.
Präsentation & Strategieentwicklung
Wir präsentieren die Ergebnisse persönlich und entwickeln eine Strategie zur Priorisierung und Umsetzung der notwendigen Massnahmen.
Grundlage für Risikomanagement & Controlling
Wir bieten das Assessment einmalig als unabhängige externe Überprüfung oder regelmässig an, um ein kontinuierliches Controlling der Sicherheitslage zu ermöglichen.
Microsoft 365 & Entra ID
Microsoft betreibt die Cloud-Plattform. Die Konfiguration Deiner Umgebung, Zugriffsrechte und der Schutz Deiner Daten bleiben zentrale Aufgaben Deines Unternehmens. Microsoft Entra ID, früher Azure Active Directory, steuert dabei den Zugang zu Microsoft 365 und vielen weiteren Anwendungen. Unser Assessment betrachtet deshalb das Zusammenspiel von Menschen, Geräten, Anwendungen und Daten.
Identitäten über ihren gesamten Lebenszyklus
Wir prüfen Benutzer- und Gastkonten, Gruppen, Eintritte, Rollenwechsel und Austritte. Dazu gehören ungenutzte Konten, nachvollziehbare Zuständigkeiten und regelmässige Überprüfungen von Zugriffsrechten. Bei hybriden Umgebungen beziehen wir die vereinbarten Schnittstellen zum lokalen Active Directory und zur Synchronisierung ein.
Administratorrechte & sichere Anmeldung
Wer besitzt weitreichende Rechte – und braucht sie dauerhaft? Wir bewerten die Trennung von Alltags- und Administratorkonten, Authentifizierungsmethoden sowie phishingresistente MFA. Auch zeitlich begrenzte Rollen über Privileged Identity Management (PIM) und abgesicherte, überwachte Notfallkonten gehören je nach Umgebung zum Prüfbereich.
Anwendungen & technische Identitäten
Auch Software hat Zugriffsrechte. Wir untersuchen App-Registrierungen, Enterprise Applications, Dienstprinzipale und Managed Identities sowie erteilte OAuth-Berechtigungen. Im Fokus stehen unnötig breite Datenzugriffe, fehlende Verantwortliche und der Umgang mit Schlüsseln und Zertifikaten.
Datenfreigaben in Teams, SharePoint & OneDrive
Wir prüfen externe Freigaben, Gastzugriffe und den Umgang mit vertraulichen Informationen. Copilot berücksichtigt bestehende Zugriffsrechte: Bereits zu breit freigegebene Inhalte können dadurch leichter auffindbar werden. Vor dem KI-Einsatz bewerten wir deshalb auch Berechtigungen, Schutzkennzeichnungen und Regeln gegen unerwünschten Datenabfluss.
E-Mail-Schutz, Protokolle & Alarmierung
Wir beurteilen Schutzrichtlinien in Exchange Online, auffällige Weiterleitungen und verfügbare Sicherheitsfunktionen. Zudem prüfen wir, ob Anmeldungen und relevante Änderungen nachvollziehbar sind, Warnungen die richtigen Verantwortlichen erreichen und ein klarer Reaktionsweg besteht.
Die Analyse orientiert sich an Microsofts Sicherheitsleitlinien. Den Microsoft Secure Score nutzen wir als einen Anhaltspunkt. Er zeigt umgesetzte Schutzmassnahmen, ist aber weder ein vollständiges Risikobild noch eine Sicherheitsgarantie. Entscheidend sind die tatsächlichen Risiken und Anforderungen Deines Unternehmens.
Conditional Access gezielt prüfen
Wer darf unter welchen Bedingungen zugreifen? Bedingter Zugriff verbindet Identität, Gerät und weitere Signale mit klaren Zugriffsregeln. Beispielsweise kann der Zugang zu einer sensiblen Anwendung MFA und ein verwaltetes, richtlinienkonformes Gerät erfordern. Wir prüfen, ob diese Regeln Deine Geschäftsabläufe wirksam schützen.
Abdeckung & Ausnahmen sichtbar machen
Welche Benutzer, Administratoren, Gäste und Anwendungen sind geschützt? Wir prüfen aktivierte Richtlinien, reine Testregeln im Report-only-Modus, Ausnahmen und alte Anmeldeverfahren (Legacy Authentication). Dabei betrachten wir auch, ob neu hinzukommende Anwendungen vom Schutz erfasst werden.
Schutz passend zum Risiko bewerten
Wir analysieren das Zusammenspiel von MFA, Authentifizierungsstärken, Gerätestatus, Standorten und Sitzungsregeln. Soweit lizenziert, beziehen wir Benutzer- und Anmelderisiken ein. Zugriffe technischer Identitäten bewerten wir separat, da dort andere Schutzmechanismen als bei Benutzerkonten gelten.
Verbesserungen kontrolliert einführen
Du erhältst Empfehlungen mit einem nachvollziehbaren Test- und Einführungsplan: Anmeldeszenarien prüfen, Auswirkungen im Report-only-Modus auswerten, mit einer Pilotgruppe testen und Notfallzugang sowie Rückfallplan berücksichtigen. So lassen sich Schutzlücken schliessen und Betriebsunterbrüche durch ungeprüfte Regeln vermeiden.
Welche Funktionen eingesetzt werden können, hängt von Deinen Lizenzen ab. Conditional Access benötigt grundsätzlich Microsoft Entra ID P1; risikobasierte Richtlinien benötigen Entra ID P2. Für zusätzliche Funktionen können weitere Lizenzen erforderlich sein. Wir zeigen Dir, was sich mit bestehenden Mitteln verbessern lässt und wo eine Erweiterung sinnvoll ist.
Technische Grundlagen bei Microsoft: Conditional Access, sichere Richtlinien-Einführung, minimale Zugriffsrechte und Copilot und Datensicherheit.
Warum Herr Informatik?
Praxisnah
Konkrete Massnahmen, die Du sofort umsetzen kannst.
Persönlich
Direkte Ansprechpartner statt anonymer Warteschleifen.
Kompetent
Langjährige Expertise und modernste Security-Tools.
Dein Ergebnis: eine klare Entscheidungsgrundlage
Management-Bericht mit geschäftlicher Einordnung
Die Geschäftsleitung erfährt, welche Befunde besonders kritisch sind und welche Folgen sie haben können – etwa unberechtigter Datenzugriff oder ein Betriebsunterbruch. Die IT erhält dazu nachvollziehbare technische Details zum vereinbarten Prüfumfang.
Priorisierte Massnahmen statt einer reinen Punktzahl
Wir unterscheiden kurzfristige Verbesserungen von längerfristigen Vorhaben. Gemeinsam klären wir Priorität, Aufwand, Lizenzbedarf, Abhängigkeiten und Verantwortlichkeiten. So kannst Du Dein Sicherheitsbudget gezielt einsetzen und die Umsetzung planen.
Sicherheit, die mit Deiner Plattform wächst
Neue Dienste, geänderte Rollen und zusätzliche Anwendungen können eine sichere Ausgangskonfiguration verändern. Wir vereinbaren sinnvolle Nachprüfungen und vergleichen umgesetzte Massnahmen mit dem Ausgangsbefund. Besonders nach grösseren Änderungen oder vor einem Copilot-Rollout lohnt sich eine erneute Bewertung. Für den laufenden Betrieb unterstützen wir Dich auch mit Managed Microsoft 365.
Häufige Fragen
Ja. Unser Identity Security Assessment umfasst im vereinbarten Umfang Microsoft Entra ID, Benutzer- und Gastkonten, administrative Rollen, technische Identitäten und Conditional Access. Dazu können auch angebundene Drittanwendungen und Schnittstellen zu einer lokalen Active-Directory-Umgebung gehören. Wir beschränken die Prüfung somit nicht auf Office-Anwendungen.
Vor dem Start vereinbaren wir Prüfumfang, benötigte Daten und möglichst gering berechtigte, zeitlich begrenzte Zugriffe. Verfügbare Funktionen, Protokolle und deren Aufbewahrung hängen von Deiner Konfiguration und Lizenzierung ab. Diese Grenzen halten wir im Bericht fest. Änderungen an produktiven Sicherheitsrichtlinien erfolgen erst im Rahmen einer abgestimmten Umsetzung.
Ein Assessment bewertet den Zustand zum Prüfzeitpunkt. Neue Funktionen, Anwendungen, Freigaben oder Personalwechsel können die Sicherheitslage verändern. Deshalb empfehlen wir risikogerechte, regelmässige Nachprüfungen sowie eine erneute Bewertung nach wesentlichen Änderungen. Intervall und Umfang legen wir gemeinsam fest.
Ein Virenscanner schützt vor bekannter Schadsoftware, erkennt aber keine organisatorischen Lücken, veraltete Systeme oder Fehlkonfigurationen im Netzwerk. Unser Assessment betrachtet Deine Sicherheit ganzheitlich – von der technischen Infrastruktur bis hin zum Sicherheitsbewusstsein Deiner Mitarbeitenden.
Wir gehen in vier transparenten Schritten vor: 1. Gemeinsame Planung und Definition des Umfangs (Scope). 2. Durchführung der vereinbarten technischen Scans, Konfigurationsanalysen und organisatorischen Prüfungen. 3. Auswertung und Kategorisierung der Risiken. 4. Persönliche Präsentation der Ergebnisse und Besprechung der konkreten Massnahmen.
Du erhältst keine unverständliche Datenwüste, sondern einen klaren Management-Bericht. Darin sind alle Risiken nach Kritikalität bewertet und mit pragmatischen, direkt umsetzbaren Handlungsempfehlungen versehen. Wenn Du möchtest, stellen wir Dir auf Anfrage gerne vorab einen anonymisierten Musterbericht zu, damit Du genau siehst, was Dich erwartet.
Nein. Wir reduzieren sogenannte Fehlalarme („False Positives“) drastisch, indem unsere Cyber Security Experten die Ergebnisse der automatisierten Scans manuell verifizieren. Du erhältst also nur geprüfte Warnungen, die eine echte Relevanz für Dein Unternehmen haben.
Das Assessment dokumentiert den geprüften Sicherheitsstand, erkannte Risiken und empfohlene Massnahmen. Diese Unterlagen unterstützen Deine interne Nachvollziehbarkeit und die Vorbereitung auf Audits. Eine vollständige Prüfung der gesetzlichen Anforderungen oder eine Compliance-Zertifizierung ist damit nicht verbunden.