Ein Betrieb mit 40 Mitarbeitenden kann kein eigenes Sicherheitsteam stellen. Einer mit 400 in aller Regel auch nicht. Wir betreiben die IT-Sicherheit für Sie oder gemeinsam mit Ihrer IT: Endpunktschutz, Erkennung und Reaktion, Überwachung und ein Notfallkonzept, das vor dem Ernstfall geschrieben wird.
Der übliche Zustand im Mittelstand: ein Router vom Anbieter, ein Virenschutzprogramm auf einzelnen Rechnern, keine Absicherung gegen Angriffe, Datendiebstahl oder Ausfall. Ein Werkzeug, dessen Meldungen niemand liest, erhöht die Sicherheit nicht. Der Unterschied liegt nicht in der Software, sondern darin, ob jemand hinschaut und im Ernstfall handelt.
Durchgehende Überwachung lässt sich mit einer oder zwei Personen nicht abbilden. Angriffe laufen auch außerhalb der Arbeitszeiten. Gleichzeitig steigen die Anforderungen von außen — und sie kommen inzwischen schriftlich.
Was ein Stillstand kostet, rechnen wir in der Bestandsaufnahme mit Ihren Zahlen: Ausfalltage mal Tagesumsatz, plus die Zeit für den Wiederanlauf. Diese Zahl steht im Angebot neben dem Preis — damit Sie eine Entscheidung treffen können statt einer Vermutung.
Wir arbeiten für Betriebe mit 2 bis 499 Mitarbeitenden. Oberhalb von rund 500 beginnt das Revier der großen Systemhäuser, dorthin zielen wir nicht. Darunter liegt der Bereich, in dem die Großen zu groß und die Punktlösungen zu klein sind.
Quellen: BSI, Die Lage der Bedrohungen · Bitkom, Wirtschaftsschutz 2025
Managed Security bedeutet, dass wir den Sicherheitsbetrieb vollständig übernehmen. Co-Managed Security bedeutet, dass Ihre IT die Hoheit behält und wir Überwachung und Erstreaktion übernehmen. Der Leistungsumfang unterscheidet sich nicht, nur die Verteilung der Aufgaben.
Wir sind die IT-Abteilung auf Zeit, von der Aufnahme bis zum laufenden Betrieb. Sie haben einen Ansprechpartner und einen Vertrag, nicht fünf.
Wir ersetzen keine IT-Abteilung. Wir bringen die Kapazität, für die intern die Zeit fehlt — und eine zweite Meinung, wenn eine Meldung unklar ist.
In beiden Modellen gilt: dieselben Werkzeuge, ein Notfallkonzept vor dem Ernstfall, ein regelmäßiger Bericht und ein schriftlich festgelegtes Erreichbarkeitsfenster. Wer welche Entscheidung trifft, steht vor dem Start fest.
Vier Teile, die nur zusammen wirken. Schutz verhindert das Bekannte. Erkennung findet das Unbekannte. Reaktion begrenzt den Schaden. Überwachung sorgt dafür, dass jemand die Meldung sieht, bevor aus ihr ein Schaden wird.
Software auf jedem Gerät mit Betriebssystem. Blockiert bekannte Schadsoftware und setzt Ihre Regeln durch.
Auffälliges Verhalten, auch ohne bekanntes Muster. Der Verlauf wird aufgezeichnet: welcher Prozess was gestartet hat.
Betroffene Geräte lassen sich aus der Ferne vom Netz nehmen, ohne dass jemand vor Ort sein muss.
Wir sichten die Meldungen, trennen Fehlalarm von Vorfall und leiten die Erstreaktion ein.
Die drei Begriffe werden häufig synonym verwendet und bezeichnen drei verschiedene Dinge. Antivirus ist ein Produkt, EDR ist ein Produkt, MDR ist eine Dienstleistung auf einem Produkt.
Erkennt bekannte Schadsoftware anhand von Mustern und blockiert sie.
Was noch nicht bekannt ist, wird nicht erkannt.
bedient von: läuft mitErkennt verdächtiges Verhalten, zeichnet den Verlauf auf und ermöglicht Gegenmaßnahmen.
Ohne jemanden, der die Meldungen bewertet, ist es eine Aufzeichnung ohne Konsequenz.
bedient von: jemand muss hinsehenEin Team überwacht diese Erkennung rund um die vereinbarten Zeiten und handelt im Ernstfall.
Umfang und Reaktionszeiten stehen im Vertrag, nicht im Produkt.
bedient von: wirEin Virenschutzprogramm vergleicht Dateien und Programme mit bekannten Schadmustern und blockiert, was es erkennt.
Software auf dem Endgerät, die verdächtiges Verhalten erkennt, aufzeichnet und Gegenmaßnahmen ermöglicht.
Ein externes Team überwacht diese Erkennung und handelt im Ernstfall. MDR setzt auf EDR auf.
Ob Sie selbst unter NIS2 fallen, hängt von Branche und Größe ab. Mittelbar trifft es deutlich mehr Betriebe: Betroffene Unternehmen müssen ihre Lieferkette absichern und geben die Anforderungen vertraglich weiter.
Eine unmittelbare Pflicht setzt zwei Dinge gleichzeitig voraus: Zugehörigkeit zu einem der im Gesetz genannten Sektoren und Überschreiten der dort festgelegten Größenschwelle. Sektorkatalog und Schwellenwerte stehen im Gesetzestext; für die Einordnung ist das Bundesamt für Sicherheit in der Informationstechnik zuständig.
NIS2 verpflichtet Zulieferer nicht unmittelbar. Verpflichtet werden die betroffenen Einrichtungen, ihre Lieferkette abzusichern — und sie reichen die Anforderungen vertraglich weiter. Wer an Industrie, Energie, Gesundheit, Verkehr oder öffentliche Auftraggeber liefert, bekommt sie als Fragebogen oder Vertragsanlage. Der praktische Aufwand ist derselbe, die Rechtsgrundlage ist eine andere.
Wir nehmen technisch und organisatorisch auf, wo Sie stehen, und liefern einen Befund mit priorisierter Maßnahmenliste. Ob Sie unter NIS2 fallen, ist eine Rechtsfrage — diese Bewertung treffen wir nicht. Und eine Zusage, dass ein Betrieb NIS2-konform ist, kann kein Dienstleister geben.
Der Sektorkatalog steht im Gesetzestext, nicht in unserer Einschätzung.
Beides muss gleichzeitig zutreffen — Sektor und Größe.
Unmittelbare Pflicht. Registrierung, Meldewege und Nachweise richten sich nach Ihrer Einstufung.
Keine eigene gesetzliche Pflicht — aber dieselben Anforderungen kommen als Fragebogen oder Vertragsanlage. Der Aufwand ist derselbe. Das ist der häufigste Fall.
Keine Pflicht aus NIS2. Versicherer und Auftraggeber fragen trotzdem — nur auf anderer Grundlage.
Bis hierhin reicht eine technische Aufnahme. Ob eine Pflicht tatsächlich besteht, ist eine Rechtsfrage — die beantwortet Ihre Rechtsberatung, nicht Ihr IT-Dienstleister.
Stand: 10. August 2026. Maßgeblich sind Gesetzestext und die Einordnung des BSI.
Cyberversicherer prüfen zweimal: vor Vertragsschluss über einen Fragebogen und im Schadenfall über die Frage, ob die Angaben gestimmt haben.
Diese Punkte tauchen in Risikofragebögen regelmäßig auf. Haken Sie ab, was tatsächlich läuft — nicht, was einmal eingerichtet wurde. Die Auswahl bleibt in Ihrem Browser.
Noch nichts abgehakt. Die meisten Betriebe erfüllen drei bis vier Punkte, ohne es zu wissen.
Angaben im Antrag sind Vertragsgrundlage. Wer Maßnahmen bestätigt, die im Betrieb nicht laufen, riskiert im Schadenfall den Versicherungsschutz. Wir liefern deshalb den Nachweis, dass eine Maßnahme läuft — nicht nur die Aussage, dass sie einmal eingerichtet wurde.
Was wir nicht zusagen: dass ein Versicherungsschutz zustande kommt oder im Schadenfall greift. Darüber entscheidet der Versicherer. Wir bringen die technische Seite in einen Zustand, den Sie im Fragebogen wahrheitsgemäß bestätigen können.
Der Markt für Endpunktsicherheit wird von US-Anbietern dominiert. Bei Endpunktschutz und Erkennung arbeiten wir bewusst mit Herstellern außerhalb der USA. Welches Produkt zum Einsatz kommt, entscheiden wir nach Ihrer Ausgangslage, nicht nach Herstellerbindung — die konkrete Auswahl legen wir im Angebot offen.
Sicherheitsprodukte aus unterschiedlichen Rechtsräumen bedeuten Unabhängigkeit von einem einzigen. Im öffentlichen Sektor, im Gesundheitswesen und in der Zulieferindustrie wird die Herkunft von Sicherheitsprodukten zunehmend abgefragt. Ein Anbieter, der ausschließlich US-Produkte vertreibt, hat auf diese Frage keine Antwort.
Endpunktsicherheit gibt es als Cloud-Dienst des Herstellers und als lokale Installation im eigenen Haus. Wir wählen Produkte, die beides beherrschen. Betriebe mit lokalen Servern und ohne Cloud-Strategie sind damit nicht ausgeschlossen; die Entscheidung treffen wir gemeinsam anhand von Anforderung, Aufwand und Kosten.
Bei Sicherheitsprodukten setzen wir auf Hersteller außerhalb der USA. Bei Anwendungen und Modellen richten wir uns nach Ihrer Anforderung. Wo ein US-Dienst zum Einsatz kommt, benennen wir ihn und die Grundlage der Übermittlung, bevor Sie entscheiden. Das Verkaufsargument ist nicht die Herkunft — es ist, dass wir es machen.
Erkennung erzeugt Daten: welche Programme starten, welche Verbindungen aufgebaut werden, wer sich wann anmeldet. Diese Telemetrie ist der Rohstoff der Erkennung — und sie ist personenbeziehbar. Wer Sicherheit einkauft, kauft immer auch eine Datenverarbeitung ein.
Das hängt am Produkt und an der Betriebsart: Cloud-Dienst des Herstellers oder Installation in Ihrem Haus. Für das konkrete Produkt legen wir vor Vertragsschluss offen, wo verarbeitet wird und wer Zugriff hat. Wo ein Produkt Daten außerhalb der EU verarbeitet, benennen wir das, bevor Sie entscheiden.
Der Sicherheitsbetrieb ist eine Auftragsverarbeitung nach Art. 28 DSGVO. Umfang, Speicherdauer, Löschung und Unterauftragsverarbeiter stehen im Auftragsverarbeitungsvertrag — nicht auf dieser Seite.
Erkennungssoftware auf Arbeitsgeräten berührt Fragen der Mitbestimmung. Wo ein Betriebsrat besteht, gehört er früh in das Verfahren, nicht nach der Einführung. Wir liefern die technische Beschreibung, die dafür gebraucht wird — die arbeitsrechtliche Bewertung gehört zu Ihrer Rechtsberatung.
Es gibt kein Sicherheitsprodukt, das einen Vorfall ausschließt. Die entscheidende Größe ist deshalb nicht, ob etwas passiert, sondern wie lange es dauert, bis jemand handelt. Das Notfallkonzept legt das vorher fest.
Fehlalarm oder Vorfall? Bewertung im vereinbarten Zeitfenster, dann Nachricht an die benannte Person.
Geräte aus der Ferne vom Netz. Protokolle sichern, BEVOR aufgeräumt wird.
Zugänge sperren, Passwörter wechseln, aus geprüften Sicherungskopien zurückholen — in der vorher festgelegten Reihenfolge.
Wie kam der Angreifer herein, was hat funktioniert, was fehlte. Ergebnis ist ein Bericht, keine Präsentation.
Das Notfallkonzept beantwortet vorab, wer über eine Abschaltung entscheidet, wer Kundschaft und Belegschaft informiert, welche Meldewege gegenüber Behörden und Versicherer gelten und welche Ersatzwege für Telefon und E-Mail bestehen. Der Meldeweg wird vor dem Regelbetrieb einmal geprobt.
Angriffe auf kleine und mittelständische Betriebe beginnen regelmäßig mit einer E-Mail, einem Anruf oder einer gefälschten Rechnung. Technik greift erst, nachdem jemand geklickt hat. Mit KI erzeugte Nachrichten sind sprachlich fehlerfrei und auf den Empfänger zugeschnitten — die alte Faustregel, dass schlechtes Deutsch den Betrug verrät, trägt nicht mehr.
Seit dem 2. Februar 2025 gilt Artikel 4 der EU-KI-Verordnung. Er richtet sich an Anbieter und Betreiber von KI-Systemen — praktisch jedes Unternehmen, dessen Mitarbeitende KI-Werkzeuge beruflich nutzen. Sicherheitsverhalten und KI-Kompetenz lassen sich in denselben Terminen abdecken.
Vor dem ersten Angebot wissen wir, welche Geräte es gibt, wer worauf zugreift, was gesichert wird und was ein Ausfall kosten würde. Managed Security wird je Endpunkt und Monat abgerechnet — ein Angebot ohne Bestandsaufnahme ist eine Schätzung, kein Preis.
Mindestlaufzeit und Kündigungsfrist stehen im Angebot und sind verhandelbar. Wir gewinnen Kunden über Leistung, nicht über Vertragsbindung.
Für die vorgelagerte Beratung kommt eine Förderung über das BAFA-Programm in Betracht. Diese Beratung erbringt Sergiy Esposito als Einzelunternehmen Schoonnect Consulting, das im Beraterverzeichnis des BAFA gelistet ist; Vertragspartner ist insoweit das Einzelunternehmen, nicht die Schoonnect UG (haftungsbeschränkt). Über die Bewilligung entscheidet das BAFA. Der laufende Sicherheitsbetrieb ist eine Betriebsleistung und keine Beratung. Mehr zur Förderung
Ein Virenschutzprogramm erkennt bekannte Schadsoftware anhand von Mustern und blockiert sie. Endpoint Detection and Response (EDR) ist Software auf dem Endgerät, die verdächtiges Verhalten erkennt, aufzeichnet und Gegenmaßnahmen ermöglicht — auch ohne bekanntes Muster. Managed Detection and Response (MDR) bedeutet, dass ein externes Team diese Erkennung überwacht und im Ernstfall handelt. Antivirus und EDR sind Produkte, MDR ist eine Dienstleistung auf einem Produkt.
Managed Security wird in der Regel je Endpunkt und Monat abgerechnet; ein Endpunkt ist jedes Gerät mit Betriebssystem, also Notebook, Arbeitsplatzrechner oder Server. Der Preis hängt an vier Größen: Zahl der Endpunkte, Betriebsmodell, Erreichbarkeitsfenster und Umfang der Reaktion im Ernstfall. Ein Angebot ohne Bestandsaufnahme ist eine Schätzung, kein Preis. Wir nennen den Preis je Endpunkt im Angebot, nachdem wir die Geräte gezählt und die Ausgangslage gesehen haben.
Co-Managed bedeutet, dass die interne IT die Hoheit behält und ein externer Dienstleister Überwachung und Erstreaktion übernimmt. Die IT entscheidet weiterhin über Systeme, Regeln und Freigaben; ausgelagert wird die Schicht, die intern niemand besetzen kann. Wir ersetzen keine IT-Abteilung, wir bringen die Kapazität, für die intern die Zeit fehlt. Wer welche Entscheidung trifft, wird vor dem Start schriftlich festgelegt.
Eine unmittelbare Pflicht setzt zwei Dinge gleichzeitig voraus: Der Betrieb gehört zu einem der im Gesetz genannten Sektoren, und er überschreitet die dort festgelegte Größenschwelle. Welche Sektoren erfasst sind und wie besonders wichtige von wichtigen Einrichtungen abgegrenzt werden, ergibt sich aus dem Gesetzestext und der Einordnung des Bundesamts für Sicherheit in der Informationstechnik. Ob eine Pflicht besteht, ist eine Rechtsfrage: Wir liefern die technische Bestandsaufnahme, die rechtliche Bewertung gehört zu Ihrer Rechtsberatung.
NIS2 verpflichtet Zulieferer nicht unmittelbar. Verpflichtet werden die betroffenen Einrichtungen, ihre Lieferkette abzusichern — und sie geben diese Anforderungen vertraglich an ihre Dienstleister und Lieferanten weiter. Wer an Industrie, Energie, Gesundheit, Verkehr oder öffentliche Auftraggeber liefert, erhält sie deshalb als Fragebogen oder als Vertragsanlage, auch ohne eigene gesetzliche Pflicht. Der praktische Aufwand ist derselbe, die Rechtsgrundlage ist eine andere.
Welche Nachweise verlangt werden, unterscheidet sich je Versicherer und Vertrag. Wiederkehrend abgefragt werden Mehrfaktor-Anmeldung für Fernzugriffe und Postfächer, Sicherungskopien getrennt vom Betriebsnetz, Endpunktschutz mit Erkennung, ein aktueller Patchstand, ein Rechtekonzept, ein Notfallplan und Schulungen der Mitarbeitenden. Die Angaben im Antrag sind Vertragsgrundlage: Wer Maßnahmen bestätigt, die nicht laufen, riskiert im Schadenfall den Schutz. Über Annahme und Leistung entscheidet der Versicherer; eine Zusage dazu kann kein Dienstleister geben.
Wo die Daten der Erkennung verarbeitet werden, hängt am eingesetzten Produkt und an der Betriebsart: Cloud-Dienst des Herstellers oder Installation im eigenen Haus. Bei Endpunktschutz und Erkennung arbeiten wir bewusst mit Herstellern außerhalb der USA, und wo Sie eine Verarbeitung ausschließlich in der EU oder lokal verlangen, richten wir das so ein. Für das konkrete Produkt legen wir vor Vertragsschluss offen, wo verarbeitet wird und wer Zugriff hat. Umfang, Speicherdauer und Unterauftragsverarbeiter stehen im Auftragsverarbeitungsvertrag.
Reaktionszeiten gehören in den Vertrag, nicht auf eine Website: Sie hängen am gebuchten Erreichbarkeitsfenster und am Betriebsmodell. Vereinbart werden zwei Zeiten getrennt — die Zeit bis zur ersten Rückmeldung und die Zeit bis zur ersten technischen Maßnahme, etwa dem Isolieren eines Geräts. Wichtiger als die Zahl ist, dass der Meldeweg vor dem Ernstfall einmal geprobt wurde. Welche Zeiten für Sie gelten, halten wir im Angebot und im Notfallkonzept fest.
In vielen Fällen ja. Ob eine vorhandene Lösung bleibt, entscheidet sich an drei Fragen: Erkennt sie Verhalten oder nur bekannte Muster, lässt sie sich aus der Ferne bedienen, und liefert sie auswertbare Meldungen. Wir sind an kein eigenes Sicherheitsprodukt gebunden und haben deshalb keinen Grund, etwas Funktionierendes zu ersetzen. Wenn ein Wechsel sinnvoll ist, begründen wir ihn mit dem Befund aus der Bestandsaufnahme.
Ja. Sicherheitsprodukte für Endpunkte gibt es als Cloud-Dienst des Herstellers und als lokale Installation im eigenen Serverraum oder Rechenzentrum. Wir wählen Produkte, die beides beherrschen. Eine lokale Installation verlagert Betrieb und Aktualisierung zu Ihnen oder zu uns und ist in der Regel aufwendiger als der Cloud-Betrieb. Welche Variante passt, entscheiden Anforderung, vorhandene Hardware und Kosten.
Im ersten Gespräch klären wir, wie viele Endpunkte es gibt, was heute geschützt ist und welche Anforderungen von außen an Sie gestellt werden. Kostenfrei und unverbindlich. Ergebnis ist eine erste Einschätzung, keine Präsentation.
