CyberSec
CyberSec
RADAR misst Ihr Cyber-Risiko zweimal: einmal so, wie die Schwachstelle in der Datenbank steht – und einmal so, wie sie für Ihr Unternehmen wirklich wiegt. Dazu sammelt es fortlaufend die Nachweise, nach denen ein Prüfer fragt. Für Deutschland, Österreich und die Schweiz.
Bildschirmfotos aus RADAR, mit Beispieldaten einer erfundenen Firma.
Die meisten Werkzeuge geben Ihnen eine Liste kritischer Schwachstellen. RADAR sagt Ihnen, welche davon Sie am Wochenende wach halten sollte.
Dieselbe Schwachstelle, CVSS 9,8, auf zwei Systemen: einmal auf dem VPN-Gateway am Internet, einmal auf einem internen Testserver. Technisch sind beide gleich schwer. Für Ihr Unternehmen ist es nicht annähernd dasselbe.
RADAR rechnet Kritikalität, Erreichbarkeit und Umgebung mit ein. Deshalb steht hier 100 gegen 45 – und deshalb wissen Sie, womit Sie am Montag anfangen.
Schließt sich der Abstand, weil ein System ans Netz geht, sehen Sie das sofort. Das ist der Punkt, an dem eine Liste schweigt.
Ein durchgehender Weg vom Bestand bis zum Nachweis – nicht acht Werkzeuge, die nichts voneinander wissen.
Ihr Bestand an Systemen, Domains und Anwendungen – mit Kritikalität und Erreichbarkeit, weil genau daraus das geschäftliche Risiko entsteht.
Geprüft wird erst nach nachgewiesener Domain-Inhaberschaft. Wer nicht belegen kann, dass ihm eine Domain gehört, kann sie hier nicht scannen lassen.
Befunde mit CVE, CVSS und – wo bekannt – dem Hinweis, ob die Lücke tatsächlich ausgenutzt wird. Das ändert die Dringlichkeit erheblich.
Beide Werte, der Verlauf über Monate und eine Aufstellung, welche wenigen Systeme den Großteil des Risikos tragen.
Ein Board für die Behebung: was offen ist, was jemand übernommen hat, was nachgeprüft gehört.
Selbsteinschätzung entlang der Themenfelder aus NIS2, ISO 27001, dem österreichischen NISG und den Schweizer Regelwerken.
Der Ablageort für Richtlinien, Wiederherstellungsprotokolle und Schulungsnachweise – mit Prüfsumme, Gültigkeitsdatum und Verknüpfung zum Control.
Berichte als PDF, für die Geschäftsführung und für den Prüfer – aus dem Stand, der ohnehin gepflegt wird.
Durchklicken statt durchlesen. Alle Bilder stammen aus der laufenden Anwendung, mit Beispieldaten einer erfundenen Firma.
Im Ernstfall zählt nicht, was Sie über sich berichten, sondern was Sie vorlegen können.
Eine Readiness von 35 % klingt nach einer Aussage. Sie ist keine, solange niemand die Belege gesehen hat. RADAR trennt beides sichtbar: was Sie von sich berichten – und wie viel davon belegt ist.
Automatisch prüfbare Controls bleiben ohne Scan bewusst auf „noch nicht bewertet". Sie als umgesetzt zu melden, weil noch nie geprüft wurde, wäre die gefährlichste Art von Falschaussage – und genau die, die im Schadensfall auffällt.
Und über den Themenfeldern steht, was viele Anbieter verschweigen: Der Stand der nationalen Umsetzung ist nicht rechtlich geprüft. Das hier ist eine Arbeitsgrundlage, keine Rechtsberatung.
Sieben Arten von Nachweisen, jeder mit eigener Gültigkeitsdauer. Ein Wiederherstellungstest zählt ein halbes Jahr, eine Richtlinie ein Jahr – RADAR weiß, wann etwas abläuft, und sagt es vorher.
Jede Datei bekommt eine SHA-256-Prüfsumme und lässt sich einem oder mehreren Controls zuordnen. Eine Null in der Übersicht ist dabei keine Panne, sondern die eigentliche Information.
Ein Backup-Protokoll ist kein Nachweis. Das Protokoll einer echten Wiederherstellung ist einer. Diesen Unterschied macht RADAR an jeder Stelle deutlich.
Assets, Findings, Risiko, Behebung und Nachweise funktionieren überall gleich. Was sich unterscheidet, ist der Rahmen darüber – und den zeigt RADAR passend zum Land des Mandanten.
Wo liegen die Daten, wer hat Zugriff, welche Unterauftragnehmer sind beteiligt? RADAR beantwortet das als Seite zum Herunterladen – nicht als Rückfrage an den Support.
Ihre Daten liegen in Nürnberg, Deutschland, bei der Hetzner Online GmbH. Sicherungen täglich, verschlüsselt, dreißig Tage Aufbewahrung – Datenbank und Nachweisdateien zusammen, weil die Datenbank allein nur Verweise enthält.
Die Liste der Unterauftragnehmer wird nicht von Hand gepflegt, sondern ergibt sich daraus, was tatsächlich eingeschaltet ist. Ist ein Dienst nicht eingerichtet, fließen auch keine Daten dorthin – und er steht nicht in der Liste.
Verschlüsselung im Ruhezustand steht derzeit auf „nicht bestätigt". Das ist unangenehm zu lesen und trotzdem richtig so: Eine Zusage, die niemand belegen kann, ist im Audit schlimmer als eine offene Lücke.
Monatlich, jederzeit kündbar. Schweizer Kunden zahlen in Franken – Stripe rechnet nicht um.
RADAR verwaltet Sicherheitsdaten. Wer Zugang bekommt, wird von Hand freigeschaltet – das ist kein Umweg, sondern Teil des Produkts.
Firma, Ansprechpartner, E-Mail und ein Satz zum Anlass – etwa, dass Sie unter NIS2 fallen.
Wir klären, ob RADAR zu Ihrer Lage passt. Wenn nicht, sagen wir das. Ein Werkzeug, das Ihnen nichts bringt, kostet uns beide Zeit.
Sie erhalten einen befristeten, einmalig einlösbaren Code per E-Mail. Damit richten Sie Ihren Zugang selbst ein.
Voller Umfang, bevor gezahlt wird. Sie sehen an echten Daten, ob RADAR hält, was auf dieser Seite steht.
Der Abschnitt, den man üblicherweise nicht schreibt.
Nein. Konformität stellt keine Software her, und wer das verspricht, verkauft Ihnen etwas, das er nicht liefern kann.
RADAR bringt Sie in einen Zustand, in dem Sie belegen können, was Sie tun: Ihre Selbsteinschätzung entlang der Themenfelder, dazu die Nachweise mit Datum und Prüfsumme. Ob Sie überhaupt unter NIS2 fallen und wie die nationale Umsetzung in Ihrem Fall auszulegen ist, beantwortet jemand mit juristischer Zulassung – nicht wir und nicht die Anwendung.
Ein Scanner sagt Ihnen, was gefunden wurde. RADAR sagt Ihnen, was davon Sie betrifft – und sammelt nebenbei das, was im Audit verlangt wird.
Der praktische Unterschied: Eine Scanliste mit 240 Befunden ist keine Handlungsanweisung, sondern eine Bringschuld. RADAR rechnet Kritikalität, Erreichbarkeit und Umgebung ein und zeigt Ihnen die zwei oder drei Systeme, die den Großteil des Risikos tragen.
Technisch ist die Schwere der Schwachstelle selbst, nach CVSS – ohne Blick auf Ihr Unternehmen. Geschäftlich ist dasselbe, gerechnet mit Kritikalität des Systems, Erreichbarkeit aus dem Internet und Umgebung.
Der Abstand zwischen beiden ist die eigentliche Aussage. Ist er groß, sitzen Ihre schweren Schwachstellen an Stellen, an die niemand herankommt. Schließt er sich, weil ein System ans Netz geht, sehen Sie das sofort.
In Nürnberg, Deutschland, bei der Hetzner Online GmbH. Sicherungen täglich, verschlüsselt, dreißig Tage Aufbewahrung – Datenbank und Nachweisdateien zusammen.
In der Anwendung gibt es dazu eine eigene Seite zum Herunterladen, die genau die Fragen beantwortet, die in Beschaffungs- und Prüfungsfragebögen stehen. Was dort nicht bestätigt ist, steht auch so da – zum Beispiel die Verschlüsselung im Ruhezustand, die derzeit noch nicht eingerichtet ist.
Weil RADAR Sicherheitsdaten verwaltet. Wer Zugang bekommt, wird von Hand freigeschaltet: Sie fragen an, wir sprechen kurz, Sie erhalten einen befristeten Zugangscode per E-Mail.
Das kostet Sie einen Tag – und verhindert, dass jemand ein Konto anlegt, um damit fremde Systeme scannen zu lassen. Scans laufen ohnehin erst, wenn die Inhaberschaft an der Domain nachgewiesen ist.
Nein, und das ist technisch abgesichert, nicht nur eine Hausregel. Vor dem ersten Scan muss die Inhaberschaft an der Domain nachgewiesen werden. Ohne diesen Nachweis lässt sich für die Domain kein Scan starten.
Der Zugang steht sofort. Für einen aussagekräftigen Stand brauchen Sie Ihren Systembestand – bei zehn bis fünfzig Assets ist das ein Nachmittag, einmalig.
Die Risikokurve wird mit der Zeit wertvoll, nicht am ersten Tag. Nach drei Monaten sehen Sie, ob Ihre Maßnahmen wirken. Das ist der Punkt, an dem die meisten aufhören zu fragen, ob sich das lohnt.
Monatlich kündbar, ohne Mindestlaufzeit. Ihre Nachweise und Berichte können Sie vorher herunterladen – sie gehören Ihnen, nicht uns.
Nach der Kündigung werden die Daten gelöscht. Nicht „archiviert", nicht „für den Fall der Fälle aufbewahrt".
Nein. Automatische Prüfungen finden, was sich automatisch finden lässt – das ist ein nützlicher Teil, aber nicht das Ganze. Fehler in der Geschäftslogik, verkettete Angriffswege und alles, was Kreativität verlangt, findet ein Mensch.
Deshalb gibt es die Beratung daneben. Wer beides braucht, bekommt beides von derselben Person.
Eine Anfrage genügt. Rückmeldung in der Regel innerhalb eines Werktags.