Secure Cloud Start
Eine Landing Zone als Code in Ihrem Repository, mit Guardrails und Kostenkontrolle ab dem ersten Konto.
- Dauer
- 6–10 Wochen
- Preis
- 20.000 € bis 40.000 €
- zzgl. MwSt., Richtwert
Leistungen
Sicherheitsbewertung & DevSecOps
Die Umgebung kennen, härten, und Sicherheit mit dem Code ausliefern.
Die Umgebung kennen, härten, und Sicherheit mit dem Code ausliefern.
Ein Sicherheitsbericht, der nach dem Bau der Plattform eintrifft, beschreibt ein Problem. Ein Guardrail in der Auslieferungskette verhindert eines. Der Kostenunterschied beträgt rund zwei Größenordnungen, und das ist der Grund, warum dieses Praxisfeld innerhalb eines Sicherheitshauses liegt und nicht daneben.
Wir entwerfen Landing Zones als Code in Ihrem Repository, verdrahten Sicherheitstests in die Pipelines, die Ihre Teams ohnehin nutzen, und justieren sie, bis die Ergebnisse Vertrauen verdienen — denn ein Scanner, dem niemand traut, ist schlimmer als gar kein Scanner. Danach lassen wir dieselben Kontrollen ihre eigenen Auditnachweise erzeugen, mit Zeitstempel und exportierbar; genau das macht ein ISO-27001- oder SOC-2-Zertifikat auf Dauer bezahlbar.
Und wir behalten die Rechnung im Blick. FinOps gibt üblicherweise fünfzehn bis dreißig Prozent der Cloud-Ausgaben zurück, was häufig den Rest der Arbeit finanziert.
Sicherheitsbewertung & DevSecOps
Technische Bewertung
Eine strukturierte Bestandsaufnahme – organisatorisch, Cloud, industriell oder Kubernetes – gemessen an dem, was gut ist.
InfrastrukturbewertungRegeldauer: 2–4 Wochen
Netz, Server, Endgeräte und Verzeichnis auf Konfigurationsschwächen, fehlende Patches und Exposition geprüft – von innen, mit priorisierter Behebungsliste.
Sie erhalten
- Asset-Inventar wie vorgefunden
- Priorisierte Befunde mit Korrekturen
- Patch- und Konfigurationsbaseline
Cloud-Sicherheitsbasislinie (CSPM und CNAPP)Regeldauer: 8–20 Tage
Eine dokumentierte Sicherheitsbasislinie für Ihre Cloud-Konten, durch Policy as Code durchgesetzt und fortlaufend überwacht, damit ein neues Projekt konform startet statt später korrigiert zu werden.
Sie erhalten
- Sicherheitsbasislinie je Anbieter
- Einführung und Abstimmung von CSPM oder CNAPP
- Guardrails als Code
- Ausnahme- und Abweichungsprozess
OT- und Industrieaudit (IEC 62443)Regeldauer: 10–25 TageMit einem qualifizierten Partner erbracht
Bewertung industrieller Systeme nach IEC 62443 mit einem spezialisierten Partner, mit passiven Verfahren in Produktionsnetzen und einem Zonen-und-Conduit-Modell als Ergebnis.
Sie erhalten
- Asset-Inventar und Netzkartierung
- Zonen-und-Conduit-Modell
- IEC-62443-Lückenanalyse
- Segmentierungs- und Härtungsplan
Bewertung von Kernbank- und Online-Banking-SystemenRegeldauer: 3–6 Wochen
Die Bankplattform und ihre Kundenkanäle durchgehend geprüft: Transaktionsintegrität, Authentifizierung, Sitzungsverwaltung, Betrugskontrollen und die Schnittstellen dazwischen.
Sie erhalten
- Bedrohungsmodell der Bankprozesse
- Befunde mit regulatorischer Zuordnung
- Mit IT und Risiko abgestimmter Behebungsplan
Well-Architected-ReviewRegeldauer: 3–8 Tage
Eine Prüfung eines bestehenden Workloads gegen das Rahmenwerk des Anbieters, über operative Exzellenz, Sicherheit, Zuverlässigkeit, Leistung, Kosten und Nachhaltigkeit.
Sie erhalten
- Feststellungen je Säule
- Liste der Punkte mit hohem Risiko
- Priorisierter Verbesserungsplan
- Aufwands- und Einsparschätzungen
Active-Directory-BewertungRegeldauer: 1–3 Wochen
Die Pfade vom Standardnutzer zum Domänenadministrator, gefunden mit den Werkzeugen der Angreifer, und das Tiering-Modell, das sie schließt.
Sie erhalten
- Angriffspfadgraph mit den kürzesten Routen
- Nach entfernten Pfaden geordnete Korrekturen
- Tiering- und Privileged-Access-Design
Organisatorisches und technisches AuditRegeldauer: 5–15 Tage
Ein Audit, das beide Seiten betrachtet: wie Sicherheit organisiert und entschieden wird und wie sie in den maßgeblichen Systemen tatsächlich konfiguriert ist.
Sie erhalten
- Auditbericht mit Feststellungen und Schweregrad
- Konfigurationsprüfung kritischer Systeme
- Priorisierter Behebungsplan
- Für die Zertifizierung wiederverwendbares Nachweispaket
Kubernetes-SicherheitsauditRegeldauer: 5–12 Tage
Clusterprüfung gegen den CIS-Kubernetes-Benchmark: RBAC, Admission Control, Netzwerkrichtlinien, Workload Identity, Umgang mit Secrets und Node-Härtung.
Sie erhalten
- Bewertung gegen den CIS-Benchmark
- Prüfung von RBAC und Admission-Richtlinien
- Entwurf der Netzwerkrichtlinien
- Priorisierter Härtungsplan
Reifegradbewertung DevOps und DevSecOpsRegeldauer: 5–12 Tage
Gemessen an den DORA-Metriken, OWASP SAMM, NIST SSDF und SLSA, samt dem Unterschied zwischen dem, was die Dokumentation behauptet, und dem, was die Pipelines tatsächlich tun.
Sie erhalten
- Ausgangswerte der DORA-Metriken
- Bewertung nach OWASP SAMM und NIST SSDF
- Einstufung des SLSA-Niveaus
- Priorisiertes Verbesserungs-Backlog
Technische Unterstützung
Härtung, Architektur, Identitäten, Verschlüsselung und Backups – das Engineering, das schließt, was die Bewertungen gefunden haben.
Härtung von Microsoft 365 und Entra IDRegeldauer: 5–15 Tage
Bedingter Zugriff, privilegiertes Identitätsmanagement, Tenant-Beschränkungen und E-Mail-Sicherheit nach einer dokumentierten Basislinie konfiguriert, mit den Abweichungsprüfungen, die sie halten.
Sie erhalten
- Härtungsbasislinie und Begründung
- Richtliniensatz für bedingten Zugriff
- Konfiguration der E-Mail-Sicherheit (SPF, DKIM, DMARC)
- Plan zur Überwachung von Abweichungen
Erstellung von HärtungsrichtlinienRegeldauer: 2–4 Wochen
Konfigurationsstandards für Ihre Betriebssysteme, Datenbanken, Netzkomponenten und Cloud-Dienste, aus CIS- und Herstellerbaselines abgeleitet und auf das zugeschnitten, was Sie tatsächlich betreiben.
Sie erhalten
- Härtungsrichtlinie je Plattform
- Skripte zur Konformitätsprüfung
- Ausnahmeprozess
Zero-Trust-ArchitekturRegeldauer: 10–25 Tage
Eine Zielarchitektur, in der Zugriffsentscheidungen je Anfrage anhand von Identität, Gerät und Kontext getroffen werden, und ein Migrationspfad, der nicht verlangt, alles auf einmal zu ersetzen.
Sie erhalten
- Zielarchitektur und Grundsätze
- Modell für Zugriffsrichtlinien
- Stufenweiser Migrationsplan
- Referenzkonfigurationen
Identitäts- und privilegiertes ZugriffsmanagementRegeldauer: 10–30 Tage
Ein Eintritts-, Wechsel- und Austrittsprozess, der funktioniert, ein Least-Privilege-Prinzip, das die Realität überlebt, und privilegierte Konten in einem Tresor mit Sitzungsaufzeichnung statt in einem Passwortmanager.
Sie erhalten
- Modell für Identity Governance und Rollenentwurf
- Architektur für privilegierten Zugriff
- Eintritts-, Wechsel- und Austrittsprozess
- Zyklus für Zugriffsprüfung und Rezertifizierung
Datenschutz und VerschlüsselungRegeldauer: 5–15 Tage
Eine Klassifizierung, die Menschen anwenden, Verschlüsselung und Schlüsselverwaltung, die einem Audit standhalten, und Datenabflussschutz, der auf Ihre realen Flüsse abgestimmt ist statt auf die Herstellerdemo.
Sie erhalten
- Klassifizierungsschema und Kennzeichnungen
- Entwurf für Verschlüsselung und Schlüsselverwaltung
- DLP-Regelsatz und Abstimmungsplan
- Datenflusskarte mit Residenz
Sicherung und Resilienz von Backups (3-2-1-1-0)Regeldauer: 3–8 Tage
Sicherungen, die ein Angreifer nicht erreicht, und eine Wiederherstellung, die Sie tatsächlich getestet haben, nach der Regel 3-2-1-1-0 mit Unveränderlichkeit und einer Offline-Kopie.
Sie erhalten
- Prüfung der Backup-Architektur
- Entwurf für Unveränderlichkeit und Isolierung
- Protokoll und Ergebnisse des Wiederherstellungstests
- Wiederherstellungszeit- und -punktziele
Application-Security-SupportRegeldauer: Laufend
Ein Sicherheitsingenieur auf Abruf für Ihre Entwicklungsteams: Designprüfungen, Bedrohungsmodelle, Befund-Triage und die unbequemen Fragen vor dem Release.
Sie erhalten
- Feste Tage im Monat mit Ihren Teams
- Protokollierte Design- und Release-Reviews
- Quartalsübersicht wiederkehrender Schwächen
DevSecOps
Kontrollen in der Auslieferungskette, die im Lauf ihre eigenen Auditnachweise erzeugen.
Entwurf eines sicheren EntwicklungszyklusRegeldauer: 8–20 Tage
Sicherheitsanforderungen, Prüfpunkte und Abnahmekriterien je Phase definiert, leicht genug, dass Teams sie behalten, und fest genug, um einen Prüfer zufriedenzustellen.
Sie erhalten
- Definition des sicheren SDLC je Phase
- Katalog der Sicherheitsanforderungen
- Prüfpunkt- und Ausnahmeprozess
- Einführungsmaterial für Teams
BedrohungsmodellierungRegeldauer: 3–10 Tage
Strukturierte Bedrohungsmodellierung Ihrer kritischen Dienste, als Workshop mit den Ingenieur:innen, die sie bauen, mit Backlog-Einträgen als Ergebnis statt eines Dokuments, das niemand wieder öffnet.
Sie erhalten
- Datenflussdiagramme
- Bedrohungsmodell je kritischem Dienst
- Backlog-Einträge zur Risikominderung
- Wiederholbare Methode für Ihre Teams
Härtung der CI/CD-PipelineRegeldauer: 8–20 Tage
Härtung von GitHub Actions, GitLab CI oder Azure DevOps: Runner mit minimalen Rechten, fixierte Actions, geschützte Branches, signierte Artefakte und keine langlebigen Zugangsdaten.
Sie erhalten
- Bedrohungsmodell der Pipeline und Feststellungen
- Gehärtete Referenz-Workflows
- Architektur für Runner und Zugangsdaten
- Schutzregeln für Branches und Releases
Integration von SAST, DAST, SCA und IaC-ScansRegeldauer: 8–20 Tage
Sicherheitstests in der Pipeline mit Schwellen, die das Wesentliche blockieren und sonst still bleiben, denn ein Scanner, dem niemand traut, ist ein Scanner, den niemand liest.
Sie erhalten
- Werkzeugauswahl und Integration
- Regelabstimmung und Unterdrückung des Altbestands
- Blockierregeln nach Schweregrad
- Triage-Prozess und Zuständigkeiten
Secrets-ManagementRegeldauer: 5–15 Tage
Secrets raus aus Repositories und Pipelines, hinein in einen Tresor mit kurzlebigen Zugangsdaten und Workload Identity, dazu Erkennung der bereits geleakten.
Sie erhalten
- Secrets-Inventar und Leak-Scan
- Entwurf für Tresor und Workload Identity
- Rotations- und Widerrufsprozess
- Pipeline-Integration
Sicherheit der Software-LieferketteRegeldauer: 10–25 Tage
SBOM-Erzeugung, Abhängigkeitsrichtlinie, Artefaktsignierung und Provenienz nach SLSA-Stufen, abgestimmt auf das, was der Cyber Resilience Act verlangen wird.
Sie erhalten
- SBOM-Erzeugung und -Ablage
- Abhängigkeits- und Lizenzrichtlinie
- Artefaktsignierung und Provenienz
- Zuordnung zur CRA-Konformität
IaC-Sicherheit und Policy as CodeRegeldauer: 8–20 Tage
Richtlinien als Code ausgedrückt und vor dem Deployment durchgesetzt, sodass eine nicht konforme Ressource den Pull Request scheitern lässt, statt sechs Monate später in einem Audit aufzutauchen.
Sie erhalten
- Richtlinienkatalog als Code
- Durchsetzung vor dem Deployment in der CI
- Prozess für Ausnahmen und Verzichte
- Abdeckungsberichterstattung
Sicherheit von Container-ImagesRegeldauer: 5–12 Tage
Minimale Basis-Images, reproduzierbare Builds, Scannen und Signieren in der Registry, dazu ein Patchweg, der nicht verlangt, jeden Dienst von Hand neu zu bauen.
Sie erhalten
- Satz geprüfter Basis-Images
- Build- und Scan-Pipeline
- Image-Signierung und Admission-Richtlinie
- Patch- und Rebuild-Prozess
Platform Engineering und interne EntwicklerplattformRegeldauer: 20–60 Tage
Vorgezeichnete Wege, die den sicheren Weg zum schnellsten machen: geprüfte Vorlagen, Self-Service-Umgebungen und GitOps-Auslieferung mit bereits eingebauten Guardrails.
Sie erhalten
- Plattformarchitektur und GitOps-Modell
- Vorlagen für die vorgezeichneten Wege
- Self-Service-Bereitstellung von Umgebungen
- Plattformdokumentation und Einführung
LaufzeitsicherheitRegeldauer: 8–20 Tage
Erkennung dessen, was nach dem Deployment geschieht: anomales Prozessverhalten, Container-Ausbrüche, unerwartete Netzflüsse, mit vorab definierten Reaktionen.
Sie erhalten
- Einführung der Laufzeiterkennung
- Abstimmung der Erkennungsregeln
- Reaktionsleitfäden
- Anbindung an das SOC
SRE-PraktikenRegeldauer: 10–25 Tage
Service-Level-Ziele, Fehlerbudgets, Vorfallnachbereitung ohne Schuldzuweisung und gemessene Routinearbeit, damit Automatisierung durch Belege finanziert wird und nicht durch Überzeugung.
Sie erhalten
- Definition von SLI und SLO
- Richtlinie zum Fehlerbudget
- Prozess zur Vorfallnachbereitung
- Rufbereitschaftsentwurf und Ausgangswert der Routinearbeit
Beobachtbarkeit und SicherheitstelemetrieRegeldauer: 8–20 Tage
Eine Telemetriestrecke für Engineering und Sicherheit zugleich, mit Aufbewahrungsfristen nach regulatorischer Anforderung statt nach Voreinstellung.
Sie erhalten
- Architektur der Telemetriestrecke
- Abdeckung der Quellen und Aufbewahrungsrichtlinie
- Erkennungsdatenströme für die Sicherheit
- Kosten- und Volumenkontrolle
Compliance as CodeRegeldauer: 10–25 Tage
Kontrollen für ISO 27001, SOC 2, NIS2 und DORA als automatisierte Prüfungen umgesetzt, die ihre eigenen zeitgestempelten Nachweise erzeugen — genau das macht ein Zertifikat bezahlbar in der Pflege.
Sie erhalten
- Zuordnung von Kontrollen zu Prüfungen
- Automatisierte Nachweiserhebung
- Dashboard für fortlaufende Compliance
- Prüferfertiger Nachweisexport
Release- und ÄnderungssteuerungRegeldauer: 5–12 Tage
Änderungsmanagement, das Prüfer zufriedenstellt, ohne wöchentliches Gremium: Freigaben im Pull Request, automatisch erzeugte Deployment-Aufzeichnungen, dokumentierter Notfallweg.
Sie erhalten
- Änderungsrichtlinie und Freigabemodell
- Automatisierte Änderungsaufzeichnungen
- Verfahren für Notfalländerungen
- Zuordnung der Auditnachweise
Automatisierung des WiederanlaufsRegeldauer: 8–20 Tage
Wiederanlauf als Code ausgedrückt und planmäßig getestet, damit das Wiederherstellungszeitziel eine gemessene Zahl ist und keine Absichtserklärung in einem Dokument.
Sie erhalten
- Wiederanlaufarchitektur als Code
- Automatisierte Wiederanlauf-Ablaufpläne
- Geplante Wiederherstellungstests
- Nachweise zu gemessenem RTO und RPO
Fundament und Migration
Eine als Code gebaute Landing Zone, auf die Workloads ohne Neubau umziehen.
Sichere Landing Zone als Infrastructure as CodeRegeldauer: 10–25 Tage
Kontenstruktur, Netz, Identität, Protokollierung, Verschlüsselung und Guardrails als Code in Ihrem Repository geliefert, sodass jede neue Umgebung dieselbe Basis erbt.
Sie erhalten
- Konten- und Abonnement-Topologie
- Basis für Netz, Identität und Protokollierung
- Terraform- oder Bicep-Module in Ihrem Repository
- Guardrail-Richtlinien und Ausnahmeprozess
Steuerung des MigrationsprogrammsRegeldauer: Umfang je Auftrag
Wellenplanung, Ablaufpläne, Umstellungsproben und Rückfallkriterien, mit Sicherheits- und Compliance-Prüfungen in jeder Welle statt am Ende angehängt.
Sie erhalten
- Wellenplan und Abhängigkeitskarte
- Migrationsablaufpläne je Workload
- Umstellungs- und Rückfallkriterien
- Programmberichterstattung und Risikoprotokoll
Anwendungsmodernisierung und ContainerRegeldauer: 20–60 Tage
Containerisierung und Umbau von Anwendungen, wo es sich lohnt, mit einmal definierten und wiederverwendeten Basis-Images, Build-Ketten und Plattformzielen.
Sie erhalten
- Modernisierungsbewertung je Anwendung
- Referenz-Containerbuild und Basis-Images
- Deployment-Manifeste und Pipelines
- Dokumentation für die Entwicklung
Hybrides und Multi-Cloud-NetzwerkRegeldauer: 10–25 Tage
Konnektivität zwischen Rechenzentren, Clouds und Standorten, entworfen für Segmentierung und Beobachtbarkeit, nicht nur für Erreichbarkeit.
Sie erhalten
- Ziel-Netzarchitektur
- Entwurf für Segmentierung und Routing
- Umsetzungsplan für die Konnektivität
- Basis für Netzbeobachtbarkeit
Governance, Betrieb und Kosten
Wer wofür verantwortlich ist, wie überwacht wird und warum die Rechnung nicht mehr wächst.
Cloud-Governance und BetriebsmodellRegeldauer: 8–20 Tage
Wer was anlegen darf, wer es bezahlt, wer es sichert und wer nachts gerufen wird — festgehalten, vereinbart und per Richtlinie durchgesetzt statt aus dem Gedächtnis.
Sie erhalten
- Betriebsmodell und RACI
- Standards für Konten und Umgebungen
- Katalog der Richtlinien und Guardrails
- Governance-Gremium und Taktung
Resilienz, Multi-Cloud und DORA-AusstiegsplanRegeldauer: 10–25 Tage
Eine dokumentierte und getestete Ausstiegsstrategie für kritische Cloud-Dienste, die DORA von Finanzunternehmen verlangt und von der die meisten Verträge stillschweigend annehmen, sie werde nie gebraucht.
Sie erhalten
- Kritikalitäts- und Konzentrationsanalyse
- Ausstiegsstrategie je kritischem Dienst
- Entwurf für Portabilität und Datenextraktion
- Ausstiegstestplan und Ergebnisse
BeobachtbarkeitRegeldauer: 8–20 Tage
Metriken, Logs und Traces, die echte Fragen beantworten, mit gemeinsam mit dem Fachbereich definierten Service-Level-Zielen und Alarmen, die niemanden grundlos wecken.
Sie erhalten
- Architektur der Beobachtbarkeit
- Service-Level-Ziele und Fehlerbudgets
- Entwurf von Dashboards und Alarmen
- Einbindung in die Betriebsleitfäden
Datenplattform und GovernanceRegeldauer: 10–25 Tage
Eine Datenplattform, in der Verantwortlichkeit, Qualität und Herkunft von Anfang an definiert sind, mit Zugriffskontrollen, die Analyse erlauben, ohne das ganze Lager zu öffnen.
Sie erhalten
- Ziel-Datenarchitektur
- Modell für Datenverantwortung und -pflege
- Entwurf für Zugriffskontrolle und Klassifizierung
- Ansatz für Qualität und Herkunft
Als Festpreispaket verfügbar
DevSecOps Kickstart
Sicherheitskontrollen in Ihrer Pipeline, so abgestimmt, dass das Team sie nach unserem Weggang behält.
- Dauer
- 6–8 Wochen
- Preis
- 18.000 € bis 30.000 €
- zzgl. MwSt., Richtwert
Kubernetes Secure
Ein Clusteraudit gegen den CIS-Benchmark, mit angewandter und überprüfter Härtung.
- Dauer
- 3–4 Wochen
- Preis
- 8.000 € bis 15.000 €
- zzgl. MwSt., Richtwert
Supply-Chain Shield (CRA-ready)
SBOM, Signierung und Provenienz eingerichtet, abgebildet auf das, was der Cyber Resilience Act verlangen wird.
- Dauer
- 5–8 Wochen
- Preis
- 15.000 € bis 28.000 €
- zzgl. MwSt., Richtwert
Über dieses Paket sprechen — Supply-Chain Shield (CRA-ready)
Cyber 360 Flash
Drei Wochen bis zu einem klaren Bild: Reifegrad, Exposition und die zehn Dinge, die zuerst zu beheben sind.
- Dauer
- 3 Wochen
- Preis
- 6.000 € bis 9.000 €
- zzgl. MwSt., Richtwert
Als laufende Leistung verfügbar
Managed DevSecOps
Dauerhafte Engineering-Kapazität, die Pipelines, Guardrails und Compliance-Nachweise funktionsfähig hält, während sich Ihre Plattform verändert, mit benanntem Engineer und monatlicher Durchsprache.
Enthalten ist
- Benannte:r Engineer und vereinbarte Kapazität
- Pflege von Pipeline und Guardrails
- Triage der Feststellungen und Behebungsunterstützung
- Pflege der Compliance-Nachweise
- Monatliche Durchsprache und Roadmap
SOCBewertung
Managed FinOps
Fortlaufendes Kostenmanagement: Zuordnung aktuell gehalten, Commitments gesteuert, Verschwendung monatlich entfernt und Einsparungen als gemessene Zahlen berichtet.
Enthalten ist
- Pflege der Kostenzuordnung
- Steuerung von Commitments und Rabatten
- Monatliche Rightsizing-Maßnahmen
- Anomalieerkennung und Warnungen
- Berichterstattung über gemessene Einsparungen
SOCBewertung
Zwei übliche Einstiege
Secure Cloud Start, wenn das Fundament noch zu bauen ist. DevSecOps Kickstart, wenn der Code wöchentlich ausgeliefert wird und Sicherheit noch außerhalb der Kette steht.