Der Hub findet die Lücken in Ihrem Netzwerk — und setzt Angreifer vor die Tür.
IT-Sicherheitsanalyse und Angriffserkennung für den Mittelstand, vollständig in Ihrem Haus. Der Hub erfasst jedes Gerät in Ihrem Netzwerk und sagt im Klartext, was davon angreifbar ist. Er merkt, wenn sich jemand darin bewegt, der dort nicht hingehört — und nimmt ihn auf Wunsch vom Netz, noch bevor jemand die Meldung gelesen hat.
Die meisten Betriebe wissen nicht genau, welche Geräte in ihrem Netzwerk hängen. Kein Vorwurf — über Jahre kommen Drucker, Kameras, Steuerungen, Telefonanlagen und Testrechner dazu, und niemand führt Buch. Genau diese Lücke nutzen Angreifer. Nicht mit spektakulären Methoden, sondern mit dem vergessenen Gerät, dem Standardkennwort und dem Dienst, von dem niemand mehr wusste, dass er läuft. Der Hub schafft Klarheit — und merkt, wenn sich jemand im Netz bewegt, der dort nicht hingehört.
Zwei Bausteine, ein Bild
Der eine schaut sich Ihr Netzwerk an und sagt, wo es angreifbar ist.
Der andere passt auf, während Sie arbeiten. Beide laufen von einer
zentralen Stelle aus — und für die Bestandsaufnahme wird auf Ihren
Arbeitsplätzen nichts installiert.
AgenticSecurityHub — die Bestandsaufnahme
Erfasst jedes Gerät in Ihrem Netzwerk und bewertet, was davon
erreichbar ist. Die Erhebung selbst übernimmt nmap, das
beste Werkzeug, das es dafür gibt — der Unterschied liegt in dem, was
danach passiert. Aus einer Zeile wie 6379/tcp open redis
wird ein benannter Befund mit Einstufung, Begründung und einer
Maßnahme, die Ihre IT am nächsten Tag umsetzen kann.
Vollständiges Geräteverzeichnis — Hersteller, Betriebssystem, offene Dienste und Versionsstände, Gerät für Gerät.
Herstellererkennung an der MAC-Adresse, auch bei Geräten, die sonst nichts über sich verraten — und Namen aus Router, Namensauflösung und Verzeichnisdienst, damit ein Gerät nicht nur als Adresse dasteht.
Verständliche Befunde statt Rohdaten: Was ist das Problem, was kann passieren, was ist zu tun.
Härtungsprüfung der Windows-Rechner — über zwanzig Prüfpunkte je System, von der Kennwortablage über SMB-Signierung und BitLocker bis zur automatischen Anmeldung.
Härtungsprüfung der Linux-Systeme — SSH-Konfiguration, Konten mit root-Rechten, ausstehende Sicherheitsaktualisierungen, Firewall, Protokollierung.
Active Directory und Zertifikatdienste: Kennwortrichtlinien, veraltete Konten, Dienstkonten — und Zertifikatvorlagen, über die sich jemand höhere Rechte verschaffen könnte.
Prüfung von Switches, Routern und Access Points, die bei üblichen Scans durch das Raster fallen.
Veränderungserkennung: neue Geräte, neu geöffnete Dienste, geänderte Versionsstände, verschwundene Geräte. Ein Rechner, der beim Scan nur aus war, wird als solcher geführt — und nicht als Befund.
Weboberfläche mit Übersicht, Geräteliste und Befunden — im Browser, ohne Installation auf Ihren Arbeitsplätzen.
IntrusionDetection — die laufende Überwachung
Bemerkt, wenn sich jemand in Ihrem Netzwerk bewegt, der es nicht
darf. Der übliche Weg dorthin ist der Musterabgleich: Man kennt die
bekannten Angriffswerkzeuge und sucht nach ihnen. Das lässt sich
umgehen, indem man ein Werkzeug benutzt, das noch niemand kennt.
Hier ist es umgekehrt gelöst — nicht das Werkzeug
wird erkannt, sondern das Verhalten.
Fallen statt Musterabgleich. Wir legen Dateien und Zugänge aus, die keinen betrieblichen Zweck haben. Kein Mitarbeiter kennt sie, kein Programm braucht sie. Wer sie anfasst, hat sich selbst verraten — und zwar auch dann, wenn er ein Werkzeug benutzt, das noch niemand kennt.
Erkennung am Verhalten. Ein Angriffsprogramm durchsucht Freigaben in Sekunden. Ein Mensch klickt sich langsam durch. Diesen Unterschied messen wir.
Erkennung laufender Angriffe auf die Anmeldeverfahren — durchprobierte Kennwörter am Active Directory, an Linux-Diensten und an der Router-Oberfläche, in einem Protokoll. Unterschieden nach geratenem Kennwort und geratenem Kontonamen: Das eine ist ein Tippfehler, das andere eine Suche.
Auf Wunsch ein Sensor auf Ihren Servern. Er meldet, was von außen niemand sieht: Anmeldungen am Server selbst, neue Konten, neue Verwalterrechte, ein geleertes Protokoll. Er nimmt keine Befehle entgegen, und Sie entscheiden, auf welchen Rechnern er läuft.
Übernommene Konten an Ihren echten Daten. Auf die Freigaben gehen jeden Morgen alle — deshalb meldet der Hub nicht jeden Zugriff, sondern das Konto, das vorher auffiel: durchprobierte Kennwörter, neue Verwalterrechte, das Sammeln von Anmeldetickets zum Knacken. Geht so ein Konto binnen 24 Stunden auf eine Freigabe, kommt die Meldung. Und hinterher steht da, welche Ordner und Dateien es geöffnet, geändert oder gelöscht hat — unter Windows wie unter Linux.
Wer vor Ihrer Tür steht. Betreiben Sie Dienste im Internet — eine Videokonferenz, einen Chat, einen Kennwortspeicher —, liest der Sensor die Liste des vorgeschalteten Proxys mit: jede Anfrage, live, die Scanner rot. Gemeldet wird, was über das Abklopfen hinausgeht: Anmeldeversuche, eine Verwaltungsseite von draußen, eine Datei, die tatsächlich ausgeliefert wurde.
Windows und Linux in einem Bild. Ein durchprobiertes Kennwort wird erkannt, egal ob es an einem Windows-Server oder an einem Linux-Dienst scheitert. Ein gemischtes Netz ergibt einen Bericht, nicht zwei.
Ein Angriffsprotokoll über alle Verfahren hinweg: Konto, Herkunft, verwendetes Gerät, Uhrzeit, Vorgehen. Die Einzelprotokolle werden dafür gelesen und zusammengeführt, nie umgeschrieben — sie sind Beweise. Jede Beweissicherung ist mit der vorherigen verkettet; nachträgliches Ändern oder Entfernen fällt auf.
Alarmierung per E-Mail, Webhook oder Push-Nachricht, mit täglicher Bestätigung, dass die Überwachung läuft. Bleibt sie aus, wissen Sie es.
Mehr als ein Netzwerkscan
Die beiden Bausteine sind die Kurzfassung. Hier steht, was im
Einzelnen dahintersteckt — alles davon ist vorhanden, nichts
angekündigt oder in Arbeit. Was der Hub nicht leistet, steht weiter
unten genauso deutlich.
Netzwerk und Geräte
Geräteverzeichnis mit Hersteller, Betriebssystem, Diensten und Versionen
Herstellererkennung an der MAC-Adresse, Namen aus mehreren Quellen
Veränderungserkennung: neue, geänderte und verschwundene Geräte und Dienste
Karteileichen und schlafende Geräte werden auseinandergehalten
Empfindliche Geräte lassen sich vom aktiven Scan ausnehmen
Switches, Router und Access Points über ihre Verwaltungsoberflächen
Außensicht: Portfreigaben am Router, Prüfung von der öffentlichen Seite, UPnP
Ereignisprotokoll des Routers: Anmeldungen, VPN-Verbindungen, Adresswechsel
Härtung und Schwachstellen
Windows-Härtung mit über zwanzig Prüfpunkten je System, Linux-Härtung
Active Directory: Kennwortrichtlinien, veraltete Konten, Dienstkonten
Zertifikatdienste (ADCS): Vorlagen, die eine Rechteausweitung erlauben
TLS-Konfiguration, SMB-Signierung, Werkseinstellungen auf Weboberflächen
Betriebssysteme, für die es keine Updates mehr gibt
Auf Wunsch eine Suche gegen bekannte Schwachstellen, nach der Wichtigkeit Ihrer Geräte gewichtet
Jeder Befund nennt, woran er erkannt wurde
Fallen und Verhalten
Eine Köderfreigabe auf dem Hub, sichtbar in der Windows-Netzwerkumgebung — mit Tabellen, die auf den Trefferlisten von Angriffswerkzeugen stehen
Dort hat niemand etwas zu suchen: Jeder Zugriff ist ein Fund, und Konto und Gerät stehen fest
Köderkonten im Active Directory, genannt in den Köderdateien — anmelden kann sich damit niemand, der Versuch wird gemeldet
Köderports: Dienste, die es nicht gibt — wer anklopft, sucht Angriffsziele
Namensfalle: Wer auf erfundene Rechnernamen antwortet, fängt Anmeldedaten ab
Verhaltensanalyse: Programm oder Mensch, Sekunden oder Minuten
Sensor und Systemspuren
Optional und nur auf den Rechnern, die Sie benennen — für Windows und Linux
Fehlgeschlagene Anmeldungen und gesperrte Konten, auch die, die nie am Domain Controller vorbeikommen
Neue lokale Konten, Dienste und geplante Aufgaben, stündlich gegen den letzten Stand verglichen
Ein geleertes Sicherheitsprotokoll als schwerster Fund überhaupt
Jede Minute ein Lebenszeichen — und Schweigen wird gegengeprüft, bevor es ein Fund wird
Abdeckungsanzeige: welche bekannten Geräte keinen Sensor haben
Jede Meldung einzeln signiert; der Sensor nimmt keine Befehle entgegen, auch von uns nicht
Übernommene Konten
Eindeutige Spuren an einem Konto: durchprobierte Kennwörter, Kerberoasting, neue Verwalterrechte, ein Köderkonto
Schon ein Anmeldeversuch mit einem Köderkonto wird gemeldet
Geht ein Konto mit Spur binnen 24 Stunden auf eine echte Freigabe, kommt die Meldung
Nachverfolgung: jede Freigabe, auf der ein verdächtiges Konto in den letzten 30 Tagen war
Welche Ordner und Dateien es geöffnet, geändert oder gelöscht hat — mit Zeitraum, Anzahl und Herkunft
Windows-Dateiserver wie Samba unter Linux; je Server steht, wie weit die Aufzeichnung zurückreicht
Jedes beliebige Konto nachschlagen: was es in den letzten 1 bis 30 Tagen auf den Freigaben geöffnet, geändert oder gelöscht hat
Wer gerade mit Ihren Dateiservern verbunden ist, auf einen Blick — Windows wie Samba
Webzugriffe auf Ihre Dienste im Internet
Das Protokoll des Reverse Proxys, gelesen vom Sensor — Traefik, nginx oder Caddy
Live-Ansicht jeder Anfrage, Scanner-Pfade und abgewiesene Anmeldungen rot
Gemeldet wird eine ausgelieferte Datei, eine Verwaltungsseite von draußen, eine Anmeldeserie
Zu jeder Zeile eine Deutung im Klartext: was der Pfad ist, wer fragt, was der Server geantwortet hat
Ausfuhr als CSV und PDF, mit dem gesetzten Filter
Auf Wunsch sperrt der Proxy Scanner selbst aus — eingerichtet per Knopf vom Hub, eigene Nutzer und das eigene Netz nie
Netzwerküberwachung
Anmeldeangriffe an Active Directory, Linux und Router in einem Bild — Kennwort geraten oder Kontoname geraten
ARP-Spoofing-Erkennung: Ein bekanntes Gerät mit plötzlich anderer MAC-Adresse, eine MAC, die für auffällig viele Adressen antwortet — die ARP-Tabelle wird gegen das Inventar gehalten
Gateway-Wache: Ein Router, der plötzlich eine andere Kennung trägt, wird sofort gemeldet — der Fall, bei dem alles andere zu spät kommt
Spurensuche auf den Systemen: neue Verbindungen nach draußen, Dienste, Autostarts, Konten
Verbindungsjournal am Spiegelport — wer wann mit wem, ohne Inhalt und ohne Mitschnitt
Ortung am Switch: zu jedem Gerät der Port, an dem es hängt
Automatische Reaktion
Alarmmatrix: je Verfahren einzeln, ab welcher Einstufung gemeldet und ab welcher eingegriffen wird
Gewichtung mit nachvollziehbaren Gründen — jeder Grund steht in der Zeile
Sitzung des Angreifers kappen, Switch-Port abschalten — mit einstellbarer Frist
Internetverbindung kappen: der grobe Hebel — wahlweise Verbindung trennen oder Router neu starten, damit der Anschluss eine neue Adresse bekommen kann
Alle Eingriffe ab Werk ausgeschaltet: Gemeldet wird immer, eingegriffen erst, wenn Sie es freigeben
Nachts strenger als tags: Um drei Uhr früh sucht niemand versehentlich
Jeder Eingriff hat einen Rückweg, und er steht in der Oberfläche
Prüfbetrieb: Die Funde stehen im Protokoll, die Maßnahmen ruhen
Vorfallsakte und Beweissicherung
Vorfallsakte bei jedem Fund, angelegt vor dem Eingriff: Sitzungen, ARP-Tabelle, angemeldete Konten
Verbindungen des verdächtigen Geräts nach draußen — woher es ferngesteuert wird
Die verdächtigen Konten in jeder Sicherung — mit ihren Spuren, Freigaben, Ordnern und Dateien
Herkunft eines Angreifers aus dem Internet: Netzbetreiber, Land und Abuse-Kontakt als eigene Zeile
Zeitanker, damit sich die Akte neben fremde Protokolle legen lässt
Prüfsummen und Kette: Keine Sicherung lässt sich unbemerkt ändern oder entfernen
Zwei Berichte aus einer Sicherung — einer für die Geschäftsleitung, einer für die IT
Protokolle werden beiseitegelegt, nie gelöscht — nach einem Fehlalarm der Beleg, dass es einer war
Betrieb und Selbstschutz
Einstellungsprotokoll: wer wann von wo aus was verstellt hat — es lässt sich nicht leeren
Gemeldet wird, was die Erkennung schwächt: eine abgeschaltete Wache, eine entfernte Falle
Wer am Hub selbst Kennwörter rät, wird gemeldet wie an jedem anderen Server
Bereitschaftsprüfung und Selbsttest: Der Hub spielt den Angreifer und weist nach, dass die Falle anschlägt
Überfällige Prüfläufe stehen rot, ausgefallene werden nachgeholt
Weboberfläche mit Anmeldung, Berichte als PDF, Deutsch und Englisch umschaltbar
Anleitungen und Kundendokumente liegen auf dem Gerät
Läuft auf einem Kleinrechner und ohne Internet — die Lizenz wird einmalig aktiviert
Jede Auslieferung trägt eine Nummer, und zu jeder steht, was sich geändert hat
Gebaut für den Dauerbetrieb
Eine Überwachung, die unbemerkt ausfällt, ist schlimmer als keine —
man verlässt sich auf sie. Deshalb meldet der Hub nicht nur Angriffe,
sondern auch seinen eigenen Zustand, sichert sich selbst und lässt
sich im Ernstfall durch einen zweiten ersetzen.
Ein zweiter Hub als Rückfall. Die Sensoren melden an einen Partnerhub, wenn der erste nicht antwortet. Beide gleichen sich jede Minute ab, jede Anfrage ist signiert — ein Sensor gilt erst als verstummt, wenn beide nichts mehr hören.
Tagesdiagnose per Mail. Täglich oder wöchentlich der ganze Stand: offene Punkte, Zustand der Wachen, Speicherplatz, Temperatur, letzte Sicherung. Die Mail kommt auch, wenn alles in Ordnung ist — bleibt sie aus, stimmt etwas nicht.
Nächtliche Sicherung. Programm, Einstellungen, Inventar und Protokolle werden jede Nacht gesichert, auf Wunsch zusätzlich außer Haus.
Härtung des Hubs per Knopf. Firewall, SSH nur mit Schlüssel, automatische Sicherheitsupdates, eingeschränkter Dienst — jede Maßnahme einzeln einzurichten und zurückzunehmen. Wer sich dabei aussperren würde, bekommt den alten Stand nach wenigen Minuten von selbst zurück.
Einstellungen sichern und übertragen. Alle Einstellungen als eine Datei, immer mit AES-256 verschlüsselt. Beim Einspielen zeigt der Hub vorher, was sich ändert, und legt den bisherigen Stand zum Zurückholen ab.
Sensoren ohne Konsole einrichten. Die Seite Agenten liefert das Paket und die fertige Installationszeile für Windows und Linux; HTTPS für die Oberfläche schaltet ein Knopf ein.
Die Lizenz erneuert sich selbst, und rechtzeitig vor dem Ablauf steht ein Hinweis in der Tagesdiagnose.
Angreifer suchen das vergessene Gerät. Wir finden es zuerst.
Die wenigsten Angriffe auf einen Mittelständler beginnen mit einer Sicherheitslücke, von der die Welt noch nichts weiß. Sie beginnen mit dem Drucker im Flur, dem Testrechner unter dem Tisch, dem Standardkennwort auf der Kamera. Genau diese Geräte stehen nach dem ersten Lauf auf der Liste — mit Einstufung, Beleg und einer Maßnahme, die Ihre IT am nächsten Tag umsetzen kann.
Was uns unterscheidet
Vier Entscheidungen, die kein Standardprodukt trifft
Die Prüfung installiert nichts
Für die Bestandsaufnahme wird nichts auf Ihren Rechnern installiert. Sie läuft von einer zentralen Stelle aus und nutzt die Verwaltungswege, die Windows und Linux ohnehin mitbringen. Für die laufende Überwachung gibt es einen Sensor — Option, nicht Pflicht, und Sie wählen, auf welchen Rechnern. Er nimmt keine Befehle entgegen und läuft nicht als Administrator. Bei der Installation schaltet er die Aufzeichnung ein, die er braucht, im Betrieb liest er nur. Wird er entfernt, nimmt er auch diese Einstellung wieder zurück.
Es verlässt kein Byte Ihren Betrieb
Die Software baut keine Verbindung nach außen auf: keine Cloud, keine Übermittlung an Dritte, kein Nachladen aus dem Internet. Das ist keine Spielerei — ein vollständiges Verzeichnis Ihres Netzwerks ist eine Landkarte Ihres Betriebs. Sie gehört nicht in die Cloud eines Anbieters, schon gar nicht außerhalb der EU. Für Sie heißt das eine Auftragsverarbeitung weniger.
Die Auswertung kennt Ihre Anlage
Ein offener Datenbankzugang auf dem Warenwirtschaftsserver ist etwas anderes als derselbe Zugang auf einem Testrechner. Die Auswertung weiß, welche Geräte Ihr Geschäft tragen, und gewichtet danach. Das kann kein Standardprodukt von der Stange, weil es Ihren Betrieb nicht kennt.
Empfindliche Geräte bleiben unangetastet
Einbruchmeldeanlagen, Maschinensteuerungen, Laborgeräte, Medizintechnik und ältere Drucker reagieren auf handelsübliche Sicherheitsscans mitunter mit Störung oder Neustart. Diese Geräte werden vor der ersten Prüfung erfasst und ausgenommen. Genau das macht den Unterschied zwischen einer Sicherheitsprüfung und einem Betriebsausfall.
Berichte, die jemand lesen kann: Kein Rohdatenexport, keine Punktzahl ohne Aussage. Jeder Befund nennt den Beleg, die tatsächliche Auswirkung und eine Maßnahme, die Ihre IT am nächsten Tag umsetzen kann.
Gegenübergestellt
Wo der Unterschied zum üblichen Sicherheitsscan liegt
Werkzeuge, die offene Dienste finden, gibt es reichlich, und die Erhebung machen sie gut — der Hub benutzt selbst eines davon. Was es nicht zu kaufen gab, ist das, was danach kommt: eine Auswertung, die für die Prüfung ohne Agenten auskommt, das Haus nicht verlässt, empfindliche Geräte in Ruhe lässt, weiß, welches Gerät Ihr Geschäft trägt — und im Ernstfall nicht nur meldet, sondern handelt. Links, wie eine Prüfung üblicherweise abläuft, ob mit einem gekauften Scanner oder als beauftragter Test. Rechts, wie der Hub arbeitet.
Merkmal
Übliche Prüfung
AgenticSecurityHub
Prüfung und Erkennung
Schwachstellenscanner und Einbruchserkennung als zwei Produkte
Schwachstellenprüfung und Angriffserkennung in einem Gerät
Wie Angreifer erkannt werden
gar nicht — oder per Signaturvergleich, der neue Angriffe übersieht
Fallen und Verhaltensregeln statt Signaturen: Wer einen Köder berührt, hat dort nichts zu suchen
Windows und Linux
Liste von Schwachstellennummern
Härtungsprüfung je System, mit konkreter Empfehlung je Befund
Software auf den Rechnern
Agent je Arbeitsplatz, muss gepflegt werden
keine für die Prüfung; ein Sensor nur dort, wo Sie ihn wollen
Wo die Auswertung liegt
beim Anbieter, oft außerhalb der EU
auf Ihrer Hardware, ohne Verbindung nach außen
Empfindliche Geräte
werden mitgescannt, Störung möglich
vorab erfasst und ausgenommen
Gewichtung der Befunde
allgemeine Punktzahl je Schwachstelle
nach der Rolle des Geräts in Ihrem Betrieb
Form des Ergebnisses
Rohdaten oder Zahlenwert
Beleg, Auswirkung und Maßnahme im Klartext
Netzwerkgeräte
Switches und Access Points fallen oft durchs Raster
eigene Prüfung dafür, dazu der Port je Gerät
Zwischen zwei Läufen
nichts, bis zum nächsten Termin
Veränderungserkennung und laufende Überwachung
Fehlanmeldungen
gehen im Ereignisprotokoll unter
vom Domain Controller und den Sensoren gesammelt, Kennwortraten wird gemeldet
Übernommene Konten
fallen erst auf, wenn der Schaden da ist
Konto mit Spur an echten Daten wird gemeldet, samt Ordnern und Dateien
Im Angriffsfall
eine Meldung, wenn überhaupt
auf Wunsch automatisch: Dateifreigabe-Sitzung trennen, Netzwerkdose abschalten, Internet trennen
automatische Vorfallsakte, angelegt vor dem Eingriff
Protokollierung und Beweise
Protokolle mit Lücken, nachträglich änderbar
jeder Fund protokolliert, nichts gelöscht, Sicherungen verkettet mit Prüfsummen
Fällt die Überwachung aus
merkt es oft niemand
Tagesdiagnose per Mail, auf Wunsch ein zweiter Hub als Rückfall
Betrieb ohne Internet
meist nicht möglich
möglich — die Lizenz wird einmalig aktiviert
Ehrlich gesagt
Was der Hub nicht leistet
Sicherheit verkauft sich am besten mit klaren Grenzen. Deshalb offen: Wer Ihnen lückenlose Erkennung verspricht, hat entweder nicht verstanden, wovon er spricht, oder rechnet damit, dass Sie es nicht nachprüfen.
Kein Ersatz für den Virenschutz
Für Schadsoftware auf einem Arbeitsplatz ist ein etabliertes Schutzprogramm zuständig. Der Hub ergänzt es um das, was es nicht sieht — er tritt nicht an seine Stelle.
Kein Blick in Inhalte — und nicht in jeden Verkehr
Wer wann mit wem spricht, ja. Was dabei übertragen wird, nicht. Und den Verkehr zwischen zwei fremden Geräten sieht der Hub nur, wenn der Switch ihn über einen Spiegelport hergibt. Ohne ihn sieht er, was an seine Fallen klopft und was die Geräte selbst über sich berichten.
Nicht jede Spur führt bis ins Internet
Von welcher öffentlichen Adresse aus ein gekaperter Rechner ferngesteuert wird, fragt der Hub den Rechner selbst. Wer dort Administratorrechte hat, kann die Antwort fälschen. Dann steht in der Akte, dass die Auskunft fehlt — erfunden wird sie nicht.
Kein Konto ohne Spur
Wer ein Kennwort außerhalb Ihres Netzes erbeutet hat und damit nur die Ordner öffnet, die dieses Konto immer öffnet, sieht aus wie der Mitarbeiter selbst. Das zu erkennen hieße, das Verhalten jedes Mitarbeiters zu bewerten — und das tut der Hub bewusst nicht.
Gegen Zugriffe aus dem Internet wird nichts geschaltet
Wer an Ihren Diensten im Internet rüttelt, wird gezeigt und — wenn es über das Abklopfen hinausgeht — gemeldet. Abschalten lässt sich im Haus nur, was im Haus steht. Was gegen die Scanner hilft, ist eine Einstellung am Proxy, und die richte ich mit ein.
Eine Prüfung ist eine Momentaufnahme
Sicherheit entsteht durch Wiederholung, nicht durch einen einmaligen Bericht. Deshalb gehören Veränderungserkennung und Zeitplan dazu — und auf Wunsch die laufende Überwachung.
So läuft es ab
Von der ersten Frage bis zur laufenden Überwachung
Vorgespräch
Welche Geräte gibt es, was darf auf keinen Fall angefasst werden, was ist geschäftskritisch. Daraus entsteht die Liste der Ausnahmen, bevor der erste Scan läuft.
Bestandsaufnahme
Analyse des Netzwerks, Bericht mit Befunden und Maßnahmen, gemeinsame Durchsprache. Sie bekommen keine Datei, sondern eine Erklärung.
Umsetzung
Sie in eigener Regie oder ich im Auftrag, je nachdem, wie viel Ihre eigene IT übernehmen will.
Laufende Überwachung
Auf Wunsch: Fallen einrichten, Alarmierung aufsetzen, Sensor auf die Server, die Sie benennen, und festlegen, wo der Hub selbst eingreifen darf. Damit aus der Momentaufnahme ein Zustand wird.
Was Sie bereitstellen
Drei Dinge, einmal eingerichtet
Weil die Bestandsaufnahme ohne Sensor auskommt, braucht es die Verwaltungswege, die Ihre Systeme ohnehin mitbringen — meist per Gruppenrichtlinie für alle Rechner gemeinsam eingerichtet.
Windows: aktiviertes Remoteverwaltungs-Interface (WinRM) und ein Prüfkonto mit Leserechten.
Linux: ein SSH-Zugang mit Schlüssel, auf den Prüfbefehl beschränkt.
Ein Rechner für die zentrale Auswertung — ein Kleinrechner unter Linux, ein kleiner Server oder eine virtuelle Maschine genügt.
Sämtliche Abfragen sind lesend. Es wird nichts verändert, nichts installiert und nichts abgelegt. Die eine Ausnahme ist der Sensor der laufenden Überwachung — und er kommt nur auf die Rechner, die Sie dafür benennen. Geprüft werden ausschließlich Netzwerke, für die eine schriftliche Freigabe des Inhabers vorliegt — das ist keine Förmlichkeit, sondern die Grundlage, auf der so etwas überhaupt zulässig ist.
Für wen
Betriebe von etwa 10 bis 250 Arbeitsplätzen
die eigene Server betreiben — auch virtualisiert
die gewachsene Netzwerke haben, in denen niemand mehr alle Geräte kennt
die Technik im Netz haben, die nicht nur aus PCs besteht: Steuerungen, Telefonanlagen, Alarmtechnik, Laborgeräte
die Wert darauf legen, dass Betriebsdaten das Haus nicht verlassen
Besonders geeignet für Branchen mit Anlagen, die man nicht einfach neu
starten kann.
Unterlagen
Dokumentation zum Herunterladen
Zum Weitergeben an Geschäftsführung und IT — oder zum Nachlesen in Ruhe.
Die meisten Betriebe wissen nicht genau, welche Geräte in ihrem Netz hängen. Kein Vorwurf — über Jahre kommen Drucker, Kameras, Steuerungen, Telefonanlagen und Testrechner dazu, und niemand führt Buch. Genau diese Lücke nutzen Angreifer: das vergessene Gerät, das Standardkennwort, der Dienst, von dem niemand mehr wusste, dass er läuft.
Gehen dabei Daten aus dem Haus?
Nein. Die Analyse läuft vollständig auf einem Gerät in Ihrem Netz, die Auswertung bleibt dort. Es gibt keinen Cloud-Dienst, der mitliest, und keinen Anbieter, dem Sie Ihr Netzbild anvertrauen müssten.
Brauche ich das als kleiner Betrieb überhaupt?
Angriffe suchen sich ihre Ziele nicht nach Betriebsgröße aus, sondern nach Gelegenheit. Ein automatisierter Scan findet ein offenes Gerät bei zehn Mitarbeitern genauso wie bei tausend. Der Unterschied ist, dass es bei zehn niemanden gibt, der es bemerkt.
Bekomme ich einen Bericht, den ich auch verstehe?
Ja, das ist der Sinn der Sache. Der Hub sagt im Klartext, was angreifbar ist und in welcher Reihenfolge es angegangen gehört — keine Liste mit tausend Einträgen, aus der niemand eine Entscheidung ableiten kann.
Muss ich dafür etwas auf meinen Rechnern installieren?
Für die Bestandsaufnahme nicht. Sie läuft von einer zentralen Stelle aus über die Verwaltungswege, die Windows und Linux ohnehin mitbringen. Für die laufende Überwachung gibt es einen Sensor, der auf Servern mitläuft — Option, nicht Pflicht, und Sie entscheiden, auf welchen Rechnern. Er nimmt keine Befehle entgegen und läuft nicht als Administrator. Bei der Installation schaltet er die Aufzeichnung ein, die er braucht; im Betrieb liest er nur.
Was passiert, wenn der Hub einen Angriff erkennt?
Zuerst wird gesichert, dann gemeldet, auf Wunsch eingegriffen. Der Hub legt eine Vorfallsakte an — offene Sitzungen, ARP-Tabelle, wer am verdächtigen Gerät angemeldet ist —, meldet per E-Mail, Webhook oder Push-Nachricht und kann die Sitzung des Angreifers kappen oder seinen Switch-Port abschalten. Ob und ab welcher Einstufung er eingreift, legen Sie je Verfahren fest, und jeder Eingriff hat einen Rückweg.
Klingt das nach Ihrem Fall?
Ein erstes Gespräch, in dem Sie mir Ihr Netz schildern, kostet nichts. Daraus ergibt sich meist schon, ob eine Bestandsaufnahme bei Ihnen etwas zutage fördern würde.
