Ein Security-Audit beantwortet eine Frage: Wo steht Ihre IT wirklich? Nicht, was die Dokumentation sagt, sondern was gemessen wird. Sie bekommen einen Bericht, der jeden Befund belegt, einstuft und mit einer konkreten Empfehlung versieht. Und eine Seite, auf der die drei Dinge stehen, die zuerst dran sind.
Was Sie bekommen
- Audit-Bericht: jeder Befund mit Beleg (was wurde wo gemessen), Einstufung (sofort / zeitnah / beobachten) und Fix-Empfehlung.
- Prioritätenliste auf einer Seite: die drei Punkte, die zuerst dran sind.
- Nachkontrolle auf Wunsch: dieselben Messungen nach der Umsetzung, der Bericht zeigt, was geschlossen ist und was offen blieb.
Was geprüft wird
Nur Systeme, die Sie besitzen oder betreiben und für die Sie den Audit schriftlich beauftragen.
- Virtualisierung und Speicher: Proxmox VE und PBS, ZFS, Snapshots, Replikation, die Backup-Kette bis zum Wiederherstellungs-Test.
- Firewall und Netz: OPNsense, FortiGate: Regelwerk, Fernzugänge, VPN, Update-Stand, Logging.
- Server und Container: Linux-Server und Docker-Hosts: Patch-Stand, laufende Dienste, offene Ports, Benutzer und Schlüssel.
- Mail und Web: Zustellbarkeit, SPF/DKIM/DMARC, TLS, nach außen sichtbare Dienste.
- Überwachung: Wird ein Ausfall oder ein Einbruch überhaupt bemerkt, und von wem?
Wie gearbeitet wird
- Nur lesend. Es wird gemessen, nicht geändert. Jeder Eingriff bleibt bei Ihnen oder wird separat beauftragt.
- Keine Angriffe. Kein Penetrationstest, kein Ausnutzen von Lücken, keine fremden Systeme.
- Mensch entscheidet. Die Auswertung nutzt KI-Unterstützung (Anthropic Claude, Nutzung im Rahmen des Cyber Verification Program für verifizierte Security-Teams). Jeder Befund wird geprüft, der Bericht von Ronald Wiesinger freigegeben und unterschrieben.
- Ihre Daten. Sie erhalten den Bericht. Messdaten werden nur so lange aufbewahrt, wie eine Nachkontrolle läuft. Zugangsdaten stehen nie im Bericht.
Mit eigener IT-Mannschaft
Ein Audit ersetzt Ihre IT nicht, es gibt ihr den Blick von außen. Wer ein System täglich betreibt, sieht seine Gewohnheiten nicht mehr; wir kommen ohne Vorannahmen und messen. Der Bericht geht an Ihr Team, in dessen Sprache: Befund, Beleg, Empfehlung, Priorität. Umsetzung und Nachkontrolle machen Sie selbst oder gemeinsam mit uns, wie es für Sie passt. Wir treten nicht in Konkurrenz zu Ihrer IT, wir liefern ihr Argumente.
Ablauf
- Auftrag und Zugang: Umfang schriftlich festgelegt, lesender Zugang eingerichtet.
- Erhebung: in der Regel ein bis drei Tage, ohne Betriebsunterbrechung.
- Bericht und Besprechung: ein Termin, eine Stunde, die Prioritäten geklärt.
- Nachkontrolle (optional): nach vier bis acht Wochen.
Was es nicht ist
Kein Penetrationstest, kein laufender Sicherheitsdienst, keine Zertifizierung. Wer ISO 27001 oder NIS2 anstrebt, bekommt mit dem Audit die Vorarbeit, nicht das Zertifikat.
Partner-Review: pve-zfs-tool und SAMADCON
Für die Open-Source-Werkzeuge von Dennis Bäumer (pve-zfs-tool, SAMADCON) sind wir der externe Security-Reviewer: Neue Versionen werden vor dem Einsatz in unserer eigenen Umgebung KI-gestützt auf Schwachstellen geprüft, Befunde gehen mit Testfall an den Maintainer, der Fix wird nachgemessen. Dokumentiert in der Sicherheitsrichtlinie des Projekts; die Befunde vom Oktober 2026 waren in den Versionen 0.9.935 und 0.9.936 behoben, innerhalb von 24 Stunden.