"Ein Kunde verlangt einen Sicherheitsnachweis von uns. Was brauchen wir?"

"Das kommt darauf an, was gefordert ist. Häufig genügt der Bericht eines aktuellen Schwachstellen-Scans oder einer Angriffsoberflächen-Analyse. Fordert Ihr Kunde einen Penetrationstest, ist unsere [Vorab-Prüfung](/services/pre-pentest-audit) sinnvoll: Sie findet die kritischen Punkte, bevor der externe Prüfer sie findet. Schicken Sie uns die Anforderung Ihres Kunden — wir sagen Ihnen, was dafür nötig ist."

IT-Sicherheit für KMU in Österreich

Q: "Ab welcher Unternehmensgröße lohnt sich das?"

"Wir arbeiten überwiegend für Unternehmen mit **rund 25 bis 500 Mitarbeitenden**. Darunter fehlt meist die IT-Struktur, um aus einem Sicherheitsbericht auch tatsächlich Maßnahmen zu machen — dann ist das Geld schlecht investiert. Darüber gibt es in der Regel eigene Security-Teams mit anderen Anforderungen. Entscheidend ist aber weniger die Mitarbeiterzahl als die Frage, wie sehr Ihr Geschäft von funktionierender IT abhängt."

Q: "Wir haben keine eigene IT-Abteilung, nur einen externen Dienstleister. Geht das?"

"Ja, das ist bei unseren Kunden eher die Regel als die Ausnahme. Wir arbeiten in diesen Fällen direkt mit Ihrem IT-Dienstleister zusammen und liefern Berichte, die dieser abarbeiten kann — priorisiert und mit konkreten Handlungsanweisungen statt einer Rohausgabe des Scanners. Wichtig ist nur, dass jemand auf Ihrer Seite entscheiden darf, was umgesetzt wird."

Q: "Was kostet eine Sicherheitsprüfung?"

"Das hängt vom Umfang ab — wie viele Systeme geprüft werden, ob es um die von außen erreichbare Infrastruktur oder um eine selbst entwickelte Anwendung geht, und ob Sie eine einmalige Prüfung oder eine laufende Überwachung brauchen. Wir arbeiten mit marktüblichen Sätzen und machen Ihnen nach dem Erstgespräch ein konkretes Angebot. Das Erstgespräch selbst ist kostenlos und unverbindlich."

Q: "Wie lange dauert so eine Prüfung und wie sehr stört sie den Betrieb?"

"Ein Schwachstellen-Scan der von außen erreichbaren Systeme läuft im Hintergrund und stört den Betrieb nicht. Aufwendigere Prüfungen wie ein Penetrationstest brauchen einige Tage und werden mit Ihnen abgestimmt — kritische Systeme testen wir auf Wunsch außerhalb der Geschäftszeiten oder in einer Testumgebung. Den Zeitplan legen wir vorab gemeinsam fest, Überraschungen im laufenden Betrieb gibt es keine."

Q: "Sind wir als kleineres Unternehmen überhaupt ein Ziel?"

"Ja, und zwar mehr als früher. Angriffe werden heute weitgehend automatisiert gefahren und suchen nach verwundbaren Systemen, nicht nach bekannten Namen. Der Aufwand pro Ziel ist durch KI-gestützte Werkzeuge so weit gesunken, dass sich auch kleine Beute rechnet. Laut der KPMG/KSÖ-Cybersecurity-Studie 2026 war **jeder achte Angriff** auf österreichische Unternehmen erfolgreich."

IT-Sicherheit für kleine und mittlere Unternehmen

Die meisten Angebote im Bereich IT-Sicherheit sind für Konzerne gemacht: umfangreiche Rahmenwerke, monatelange Projekte, Berichte im Hunderter-Seiten-Format. Für ein Unternehmen mit fünfzig oder zweihundert Mitarbeitenden ist das weder bezahlbar noch umsetzbar — und meistens auch gar nicht nötig.

Wir arbeiten seit über 25 Jahren überwiegend für Betriebe mit rund 25 bis 500 Mitarbeitenden. Also für Unternehmen, die zu groß sind, um IT-Sicherheit nebenbei mitlaufen zu lassen, und zu klein für eine eigene Security-Abteilung.

Die typische Ausgangslage

Unsere Kunden kommen in aller Regel mit einer von vier Situationen zu uns:

Ein Auftraggeber verlangt einen Nachweis. Ein größerer Kunde, eine öffentliche Stelle oder ein Konzern in der Lieferkette will belegt haben, dass Ihre Systeme geprüft sind — oft mit knapper Frist und ohne klare Vorgabe, was genau gefordert ist.
Die Cyber-Versicherung fragt nach. Vor Abschluss oder Verlängerung möchte der Versicherer wissen, wie es um Ihre Absicherung steht. Die Antworten beeinflussen Prämie und Deckung.
Eine Vorschrift greift. NIS2 beziehungsweise das NISG 2026 ab Oktober 2026, der Cyber Resilience Act für Produkte mit digitalen Elementen. Beide verlangen technische Maßnahmen, die sich nicht kurzfristig nachrüsten lassen.
Es ist etwas passiert. Ein Verschlüsselungstrojaner, ein abgeflossenes Postfach, eine auffällige Überweisung. Danach steht die Frage im Raum, was sonst noch offen ist.

Alle vier laufen auf dieselbe Frage hinaus: Was ist bei uns tatsächlich angreifbar? Nicht theoretisch, sondern konkret, an diesem Standort, mit dieser Software, an diesem Tag.

Warum „zu klein als Ziel" nicht mehr stimmt

Das Argument war nie besonders gut, aber inzwischen ist es schlicht falsch. Angriffe laufen automatisiert: Programme durchsuchen ganze Adressbereiche nach verwundbaren Systemen, ohne zu wissen oder sich dafür zu interessieren, wessen Server sie gerade gefunden haben. Wer eine bekannte Lücke offen stehen lässt, wird gefunden — meist innerhalb von Stunden.

Künstliche Intelligenz hat diese Entwicklung beschleunigt. Sie erfindet keine neuen Angriffe, macht die bekannten aber billiger und überzeugender: Phishing-Mails ohne Rechtschreibfehler, in fehlerfreiem Deutsch, mit Bezug auf echte Vorgänge in Ihrem Unternehmen. Laut der KPMG/KSÖ-Cybersecurity-Studie 2026 berichten 47 Prozent der österreichischen Unternehmen von verstärkt KI-gestützten Angriffen, und jeder achte Angriff überwindet die bestehenden Schutzmaßnahmen.

Das eigentliche Risiko für ein mittelständisches Unternehmen ist selten der spektakuläre Einzelangriff. Es ist der Stillstand: zwei Wochen ohne Warenwirtschaft, ohne Auftragsabwicklung, ohne Zugriff auf Konstruktionsdaten.

Was wir konkret tun

Wir beginnen dort, wo das Verhältnis von Aufwand und Erkenntnis am besten ist — bei dem, was von außen sichtbar ist.

Angriffsoberflächen-Analyse — Wir sehen uns Ihr Unternehmen so an, wie ein Angreifer es sieht: erreichbare Dienste, offene Ports, vergessene Subdomains, veraltete Software, Datenlecks aus früheren Vorfällen. Oft der erste Schritt, weil er ohne Zugriff auf Ihre Systeme auskommt.
Schwachstellen-Scan — Wiederkehrende Prüfung Ihrer Infrastruktur mit Berichten, die nach Dringlichkeit sortiert sind. Nicht die Rohausgabe eines Werkzeugs, sondern eine abgearbeitete Liste mit Handlungsanweisungen.
Penetrationstest — Wenn Sie eigene Software entwickeln oder betreiben: manuelle Prüfung aus Angreifer-Sicht, dort wo automatische Werkzeuge nicht hinreichen.
Vorab-Prüfung — Wenn ein externes Audit ansteht und Sie die kritischen Punkte vorher kennen wollen.

So läuft die Zusammenarbeit

Erstgespräch. Kostenlos und unverbindlich, meist eine halbe Stunde. Wir klären, was Sie brauchen und was Sie nicht brauchen. Manchmal endet ein solches Gespräch mit dem Hinweis, dass bei Ihnen gerade etwas anderes wichtiger wäre.
Zuschnitt und Angebot. Sie bekommen einen klar umrissenen Vorschlag: welche Systeme geprüft werden, mit welcher Methode, in welchem Zeitraum, mit welchem Ergebnis. Keine offenen Posten.
Durchführung. Abgestimmt auf Ihren Betrieb. Kritische Systeme prüfen wir auf Wunsch außerhalb der Geschäftszeiten.
Bericht und Besprechung. Nach Dringlichkeit sortiert, mit konkreten Handlungsanweisungen — verständlich für die Geschäftsführung, verwertbar für Ihre IT oder Ihren Dienstleister. Wir gehen ihn gemeinsam durch.
Nachprüfung. Nach der Behebung prüfen wir nach. Erst dann ist eine Schwachstelle erledigt, und erst dann haben Sie einen Nachweis, der etwas wert ist.

„Der regelmäßige Schwachstellen-Scan unserer produktiven Infrastruktur ist sehr wertvoll! Besonders hilfreich waren dabei das gute Briefing und die regelmäßigen Berichte, die übersichtlich nach Priorität geordnet die wichtigsten Lücken mitsamt Handlungsanweisungen aufführen."

— Georg Sorst, CTO bei Findologic

Wer dahinter steht

IT-Wachdienst ist ein österreichisches Unternehmen mit Sitz in Puch bei Salzburg. Geführt wird es von DI(FH) Martin Herfurt, der seit über 25 Jahren in der IT-Sicherheit arbeitet, als Bluetooth-Sicherheitsforscher auf Konferenzen wie BlackHat und DEFCON vorgetragen hat und die Salzburger IT-Security-Konferenz HXZ.ONE organisiert.

Für Sie heißt das: Sie sprechen direkt mit der Person, die die Prüfung durchführt — nicht mit einem Vertrieb, der das Ergebnis später weiterreicht.

Fangen wir mit einem Gespräch an

Sagen Sie uns, was bei Ihnen ansteht — eine Kundenanforderung, eine Frist, ein ungutes Gefühl. Wir sagen Ihnen ehrlich, ob und wie wir helfen können.

Jetzt kostenloses Erstgespräch vereinbaren

Häufig gestellte Fragen

Wir arbeiten überwiegend für Unternehmen mit rund 25 bis 500 Mitarbeitenden. Darunter fehlt meist die IT-Struktur, um aus einem Sicherheitsbericht auch tatsächlich Maßnahmen zu machen — dann ist das Geld schlecht investiert. Darüber gibt es in der Regel eigene Security-Teams mit anderen Anforderungen. Entscheidend ist aber weniger die Mitarbeiterzahl als die Frage, wie sehr Ihr Geschäft von funktionierender IT abhängt.

Ja, das ist bei unseren Kunden eher die Regel als die Ausnahme. Wir arbeiten in diesen Fällen direkt mit Ihrem IT-Dienstleister zusammen und liefern Berichte, die dieser abarbeiten kann — priorisiert und mit konkreten Handlungsanweisungen statt einer Rohausgabe des Scanners. Wichtig ist nur, dass jemand auf Ihrer Seite entscheiden darf, was umgesetzt wird.

Das hängt vom Umfang ab — wie viele Systeme geprüft werden, ob es um die von außen erreichbare Infrastruktur oder um eine selbst entwickelte Anwendung geht, und ob Sie eine einmalige Prüfung oder eine laufende Überwachung brauchen. Wir arbeiten mit marktüblichen Sätzen und machen Ihnen nach dem Erstgespräch ein konkretes Angebot. Das Erstgespräch selbst ist kostenlos und unverbindlich.

Ein Schwachstellen-Scan der von außen erreichbaren Systeme läuft im Hintergrund und stört den Betrieb nicht. Aufwendigere Prüfungen wie ein Penetrationstest brauchen einige Tage und werden mit Ihnen abgestimmt — kritische Systeme testen wir auf Wunsch außerhalb der Geschäftszeiten oder in einer Testumgebung. Den Zeitplan legen wir vorab gemeinsam fest, Überraschungen im laufenden Betrieb gibt es keine.

Das kommt darauf an, was gefordert ist. Häufig genügt der Bericht eines aktuellen Schwachstellen-Scans oder einer Angriffsoberflächen-Analyse. Fordert Ihr Kunde einen Penetrationstest, ist unsere Vorab-Prüfung sinnvoll: Sie findet die kritischen Punkte, bevor der externe Prüfer sie findet. Schicken Sie uns die Anforderung Ihres Kunden — wir sagen Ihnen, was dafür nötig ist.

Ja, und zwar mehr als früher. Angriffe werden heute weitgehend automatisiert gefahren und suchen nach verwundbaren Systemen, nicht nach bekannten Namen. Der Aufwand pro Ziel ist durch KI-gestützte Werkzeuge so weit gesunken, dass sich auch kleine Beute rechnet. Laut der KPMG/KSÖ-Cybersecurity-Studie 2026 war jeder achte Angriff auf österreichische Unternehmen erfolgreich.

Der regelmäßige Schwachstellen-Scan unserer produktiven Infrastruktur ist sehr wertvoll! Besonders hilfreich waren dabei das gute Briefing und die regelmäßigen Berichte, die übersichtlich nach Priorität geordnet die wichtigsten Lücken mitsamt Handlungsanweisungen aufführen. Gemeinsam konnten wir so wichtige Schwachstellen beheben.

Georg Sorst, CTO bei Findologic GmbH

Wir haben bei der Entwicklung einer Web-Anwendung für einen großen, internationalen Kunden mit IT-Wachdienst zusammengearbeitet. Der detaillierte Bericht nach der Durchführung eines Penetrationstests war sehr hilfreich und hat die Sicherheit unserer Software sowie unsere internen Prozesse positiv verändert. Eine klare Empfehlung!

Rainer Burgstaller, Senior Consultant bei eMundo GmbH