Unsere Methodik
Die meisten Sicherheitstools geben eine Liste mit Schwachstellen aus und überlassen es Ihnen, diese zu verstehen. Wir machen das Gegenteil: Wir setzen uns mit Ihrem Umfeld zusammen, gehen jeder Anfrage nach, dokumentieren jede Ebene und übergeben Ihnen einen priorisierten Plan, den Sie morgen umsetzen können.
Das Ziel besteht nicht in einer längeren Schwachstellenliste, sondern darin, besser zu verstehen, wo Sie gefährdet sind, warum dies wichtig ist und was zuerst zu tun ist. Das ist der Unterschied zwischen Scannen und Bewerten.
Wir beginnen mit der Abbildung dessen, was Sie tatsächlich ausführen: Systeme, Konten, Perimeter, Integrationen. Sie können nicht verteidigen, was Sie nicht sehen.
Edge, Anwendung, Netzwerk, Backend, Daten. Jede Ebene erhält ihre eigene Analyse – keinen einzigen Perimeter-Scan.
Ein schriftlicher Sicherheits-Score mit roten/orangen/grünen Prioritäten und konkreten nächsten Schritten. Es gehört Ihnen zum Behalten, Teilen und Handeln.
Domäne 1 – Zugriffskontrolle und Identitäten
Jeder Verstoß beginnt mit einem Konto. Wir prüfen die Identität durchgängig: Personen, Berechtigungen, SSO, Offboarding und Notfallzugriff.
Überall wird eine Multi-Faktor-Authentifizierung mit einem Authentifizierungs-App-Fallback durchgesetzt.
Separate Administratorkonten mit vollständiger Audit-Protokollierung bei Eskalationen.
Offline gespeichertes Notfallkonto, damit Sie bei einem Ausfall des Verzeichnisdienstes nicht ausgesperrt werden.
SSO für primäre Tools, während die SAML/OIDC-Verkabelung für sekundäre Apps noch aussteht.
Teamweiter Passwort-Manager mit Tresoren pro Abteilung und Joiner-Leaver-Flow.
Dokumentiertes Offboarding-Skript für jedes System – kein verwaister Zugriff.
Bereich 2 – Datenschutz- und Backup-Strategie
Wir prüfen den gesamten Lebenszyklus des Schutzes: Was wird verschlüsselt, was wird gesichert, wie oft wird es getestet und wie schnell können Sie zurückkehren.
Tägliche Backups gepaart mit einem vierteljährlichen Sandbox-Wiederherstellungstest und einer zeitgesteuerten Wiederherstellung.
Festplattenverschlüsselung auf jedem Laptop und plattformverwaltete Schlüssel für Speicher und Datenbanken.
Aktuelle, unterzeichnete Richtlinie mit aktiven Informationsschutzetiketten im Einsatz.
Dokumentierte Wiederherstellungszeit- und Wiederherstellungspunktziele pro System.
Vierteljährlicher Rhythmus mit Runbooks, benanntem Eigentümer und datierten Prüfnachweisen.
Schriftlicher DR-Plan mit Prioritäten, Abhängigkeiten und einer jährlichen Komplettlösung.
Der Backup-Zyklus, den wir mit Ihnen durchführen
Automatisierte tägliche Snapshots, verschlüsselt während der Übertragung und im Ruhezustand.
Vierteljährliche Wiederherstellung in einer Sandbox – keine Ausreden, keine Ausnahmen.
Echte Wiederherstellung im Vergleich zu einem echten RTO – gemessen in Stunden, nicht in Versprechen.
Prüfung der Datenintegrität + Freigabe, Archivierung als Nachweis für Prüfer.
Backup ist kein Ereignis, sondern eine Schleife – der einzige Schritt, der zählt, ist die Wiederherstellung.
Domäne 3 – Infrastruktur und Netzwerksicherheit
Mit dem Internet verbundene Kanten, Büro-WLAN, VLAN-Grenzen, Patch-Taktfrequenz. Wir folgen der Anfrage aus dem offenen Internet über Ihren Perimeter bis in die Workloads.
Wir bilden die tatsächliche Topologie ab – öffentliche IPs, WAF-Regeln, VLANs und Eingang – und überprüfen dann jeden Hop anhand seiner erwarteten Konfiguration.
Edge-Sicherheit mit Ratenbegrenzung und Bot-Management auf öffentlichen Domains.
WPA3-Enterprise mit verzeichnisgestützter Authentifizierung – kein gemeinsames WPA2-Passwort.
Separate VLANs für Mitarbeiter, IoT und Gäste – kein flaches Büro-LAN.
Betriebssystem- und App-Updates innerhalb von 30 Tagen, mit dokumentierten Ausnahmen.
Ausgehende DNS-Filterung und ein überprüfter Firewall-Regelsatz.
Identitätsbewusster Zugriff auf interne Dienste, kein implizites Netzwerkvertrauen.
Bereich 4 – Reaktion auf Vorfälle und Kontinuität
Ein Incident-Response-Plan ist ein Muskelkater, kein Dokument. Wir überprüfen den Plan, den Übungsrhythmus, die externen Kontakte und den Post-Incident-Loop.
Aktueller IR-Plan mit Rollen, Eskalationspfaden und einem klaren Kommunikationsbaum.
Was wir prüfen: Version, Datum der letzten Überprüfung, Eigentümer und Speicherort – und ob die darin genannten Personen noch hier arbeiten.
Zweimal jährlich stattfindende Tabletop-Übungen mit wechselnden Szenarien, damit das Team das Spielbuch kennt.
Was wir prüfen: Datum der letzten Übung, ausgeführte Szenarien, erfasste Lektionen und in den Plan übernommene Änderungen.
CERT, Versicherer, Rechtsberater und Forensiker mit 24/7-Nummern im IR-Plan.
Was wir prüfen: Jeder Kontakt wird auf Währung und vorab genehmigten Umfang geprüft, sodass Sie während einer Krise nicht verhandeln müssen.
Vorgefertigte Betriebserklärungen für Mitarbeiter, Kunden, Aufsichtsbehörden und Presse – juristisch geprüft.
Was wir prüfen: Vorlagen für jede Zielgruppe, genehmigte Eskalationsschwellen und eine einzige Quelle der Wahrheit für Statusaktualisierungen.
Strukturierte Obduktion innerhalb von 14 Tagen, wobei die Maßnahmen bis zum Abschluss verfolgt werden.
Was wir prüfen: Tadellose Vorlage, Maßnahmenregister und eine Kalendererinnerung zur erneuten Überprüfung der Kontrollen 90 Tage nach dem Vorfall.
Bereich 5 – Compliance und Risiken Dritter
DSGVO-Register, Verarbeitungsinventare, Zugriff betroffener Personen, Lieferantenbewertungen. Wir prüfen die Aufzeichnungen und die Risikooberfläche Dritter – und hinterlassen Ihnen ein tatsächlich aktuelles Register.
Filterung von E-Mail-Plattformen mit Richtlinien für sichere Links, Anhänge und Anti-Phishing, die auf Ihre Domains abgestimmt sind.
Aktuelles Register mit allen Aktivitäten, Rechtsgrundlagen, Aufbewahrungsfristen und Eigentümern.
Dokumentierter Zugriffsantragsprozess für betroffene Personen mit Eigentümer, SLA und Vorlagen.
Risikobasierte Bewertung für jeden Lieferanten mit Zugriff auf Produktions- oder personenbezogene Daten.
PIA für jedes neue System oder jeden Lieferanten, der personenbezogene Daten berührt, archiviert im Register.
Compliance-Beweise an einem durchsuchbaren Ort – Richtlinien, Genehmigungen, Bohrprotokolle, Überprüfungen.
Das Lieferergebnis
Jede Erkenntnis aus den fünf oben genannten Bereichen landet in einem schriftlichen Bericht, der nach einem dreistufigen System bewertet wird, auf das Sie ohne Übersetzer reagieren können. Das bleibt in Ihren Händen, nachdem wir gegangen sind.
Zugriffskontrolle, Datenschutz, Infrastruktur, Reaktion auf Vorfälle, Compliance – jeweils mit Status, Befund und Beweisen.
Für jede Lücke: Priorität, Eigentümer, Aufwandsschätzung und eine konkrete nächste Aktion – kein vages „Überprüfen und Verbessern“.
Im Bericht sind Architekturdiagramme enthalten, die mit „gesund“, „gefährdet“ und „kritisch“ gekennzeichnet sind, damit das Bild mit der Prosa übereinstimmt.
Ihr Sicherheitsfaktor
Man bekommt keinen Stapel Papier voller Fachjargon. Sie erhalten eine Punktzahl: Pro Element wird sofort klar, was funktioniert und was Aufmerksamkeit erfordert.
Kritische Schwachstelle – sofortiges Handeln erforderlich. Wir beheben das Problem nach Möglichkeit tagsüber.
Needs attention — plan this within 30 days. Wir geben Ihnen die Schritte.
All good — this part is properly handled. Schriftlich bestätigt.
On average we find 8–12 issues per assessment. Was auch immer wir finden, wir reparieren – wenn möglich noch am selben Tag.
Optional – schnelle Erfolge noch am selben Tag
Wenn wir nach der vollständigen Beurteilung Zeit haben, übernehmen wir die Änderungen, die Minuten – nicht Wochen – dauern, damit Sie sicherer zu Bett gehen, als Sie aufgewacht sind.
Aktivieren Sie die Bot-Verwaltung, Browser-Integritätsprüfungen und die Sicherheitsstufe für die Pfade, die sie benötigen. Fünf Minuten, echte Wirkung.
Setzen Sie dem Kontaktformular, der Anmeldung und dem Zurücksetzen des Passworts angemessene Grenzen. Beseitigt die einfachsten Missbrauchsvektoren, bevor sie entstehen.
Den Widerruf ehemaliger Mitarbeiter, alter Admin-Konten und ungenutzter API-Schlüssel haben wir in Level 1 gefunden. Der günstigste Sieg im Bericht.
Drop in HSTS, X-Frame-Optionen, Basis-CSP. Mit einer einzigen Konfigurationsänderung am Edge erledigt und für immer gespeichert.
Ehrlicher Vorbehalt: Schnelle Erfolge sind nur dann möglich, wenn die vollständige Bewertung rechtzeitig abgeschlossen wird. Wir werden niemals Tiefe gegen Korrekturen eintauschen – eine gründliche Prüfung ist das Ergebnis, die Korrekturen sind der Bonus.
Warum Korur anders ist
Viele Tools verkaufen Ihnen einen Scan. Nur sehr wenige Menschen werden einen Tag lang in Ihrem Büro sitzen und erklären, was sie gefunden haben. Hier ist der Unterschied.
Sie sehen auf jeder Ebene genau, was wir tun – keine Blackbox, kein proprietäres Geheimnis. Die Methodik ist das Ergebnis.
Inventar, Edge, Anwendung, Netzwerk, Backend, Daten, Integrationen. Die meisten Scans umfassen eine Ebene; Wir decken den Weg ab.
Wenn ein Problem in wenigen Minuten lösbar ist, lösen wir es, bevor wir weitermachen. Sie verlassen das Unternehmen mit Ergebnissen, nicht nur einer Liste.
Durch unseren Partnerschaftsservice bleibt der Sicherheitsfaktor aktiv – Sie sehen, wie sich Ihre Haltung ändert, wenn Sie die Empfehlungen befolgen.
Alles, was wir finden, landet in einem Dokument, das Ihr Prüfer, Ihr CTO und Ihre zukünftigen Mitarbeiter lesen können. Das Wissen geht nicht bei uns verloren.
Bereit, wenn Sie es sind
Ein ganzer Tag. Vor Ort. Festpreis. Als Ergebnis erhalten Sie einen Sicherheitsbewertungsbericht und – wenn noch Zeit ist – eine Reihe bereits implementierter Verbesserungen.
