Informationssicherheit wird planbar, wenn sie System hat.
Ich begleite mittelständische Unternehmen bei ihrer Informationssicherheit — von der Standortbestimmung über Strategie und Architektur bis zum laufenden Programm. Dazu gehört heute auch der sichere Umgang mit künstlicher Intelligenz: Bedrohungen durch KI erkennen und KI gezielt für Ihre Sicherheit nutzen. Beratung von einer Hand — aus der Schweiz und für die Schweiz.
Eine kurze E-Mail genügt — Antwort innerhalb eines Werktags, direkt von mir.
Sechs Leistungen entlang eines klaren Weges.
Die Leistungen bauen aufeinander auf. Sie können einzeln gebucht werden oder als durchgängige Begleitung von der Analyse bis zum Betrieb — aus der Schweiz und für die Schweiz.
Maturitätsanalyse
Die Maturitätsanalyse bestimmt den heutigen Stand Ihrer Informationssicherheit. Ich bewerte Ihre Prozesse und Massnahmen entlang eines anerkannten Reifegradmodells und zeige nachvollziehbar auf, wo Sie stehen und wo die grössten Lücken liegen.
Ergebnis: Reifegradbericht mit Bewertung je Themenfeld und benannten Lücken.
Wir gehen Themenfeld für Themenfeld durch — Organisation und Zuständigkeiten, Prozesse, Technik, Notfallvorsorge — und halten für jedes fest, was heute belegbar gelebt wird und nicht bloss auf dem Papier steht. Dazu gehört die Frage, woran Sie Sicherheit überhaupt messen: Ohne ein paar wenige, ehrliche Kennzahlen bleibt jede Aussage über den Reifegrad Geschmackssache. Am Ende steht eine Standortbestimmung, die Sie der Geschäftsleitung und einem Auditor gleichermassen vorlegen können.
Risikoanalyse
Die Risikoanalyse erfasst Bedrohungen und Schwachstellen und bewertet deren Auswirkung auf Ihr Geschäft. Als Ergebnis erhalten Sie ein priorisiertes Risikoregister, das die wichtigsten Handlungsfelder klar benennt.
Ergebnis: Priorisiertes Risikoregister mit Massnahmenvorschlägen.
Zuerst benennen wir, was Ihr Unternehmen wirklich trägt: Daten, Systeme, Abläufe — und Lieferanten, denn ein erheblicher Teil des Risikos sitzt heute ausserhalb der eigenen Mauern. Erst danach kommen die Bedrohungen dazu, von der bekannten, aber ungepatchten Schwachstelle bis zum Ausfall eines Dienstleisters, auf den Sie sich verlassen. So entsteht eine Rangfolge nach möglichem Geschäftsschaden statt nach technischer Schwere — und Sie wissen, welche drei Dinge zuerst an die Reihe kommen.
Strategieprozess
Im Strategieprozess leite ich aus den Analysen eine belastbare Sicherheitsstrategie ab. Sie ist auf Ihre Geschäftsziele und Ihr Budget abgestimmt und beschreibt einen realistischen Weg über die nächsten Jahre.
Ergebnis: Sicherheitsstrategie und mehrjährige Roadmap, abgestimmt auf Ihr Budget.
Aus Reifegrad und Risiken wird ein Weg: Was tun wir dieses Jahr, was im nächsten, was bewusst gar nicht. Jede Massnahme bekommt eine verantwortliche Person, eine Grössenordnung an Aufwand und einen erkennbaren Nutzen — damit die Strategie auch einen Budgetantrag übersteht. Und sie bekommt eine Fassung, die im Verwaltungsrat funktioniert: wenige Seiten, in der Sprache des Geschäfts statt in der der Technik.
Sicherheits-Architektur
Die Sicherheitsarchitektur überführt die Strategie in konkrete Zielbilder für Cloud, Identitäten und Netzwerk. Alle Entscheidungen werden dokumentiert, sodass Ihr Team sie nachvollziehen und selbst weiterführen kann.
Ergebnis: Dokumentierte Zielarchitektur für Cloud, Identitäten und Netzwerk.
Hier wird aus Absicht Technik: Wer darf woran, wie werden Identitäten über ihren ganzen Lebenszyklus verwaltet — vom ersten Tag bis zum Austritt — wie sind Netze und Cloud-Umgebungen voneinander getrennt, und was passiert im Fehlerfall. Statt einem Netz zu vertrauen, nur weil es das interne ist, wird jeder Zugriff einzeln geprüft. Ich arbeite dabei mit wiederverwendbaren Entwurfsmustern statt mit Einzelfalllösungen; das macht Entscheidungen nachvollziehbar und später änderbar.
Sicherheits-Programm
Das Sicherheitsprogramm steuert die Umsetzung der Massnahmen über die Zeit. Ich behalte Verantwortlichkeiten, Fortschritt und Wirkung im Blick und berichte regelmässig an die Geschäftsführung.
Ergebnis: Programmplan, Kennzahlen und regelmässiges Reporting an die Geschäftsführung.
Massnahmen scheitern selten am Konzept, sondern an der Umsetzung über Monate. Ich halte das Programm zusammen: Fortschritt, Abhängigkeiten, Kennzahlen — und ein Bericht, den die Geschäftsleitung in zehn Minuten versteht. Dazu gehört die unbequeme Frage, wer eigentlich merkt, wenn etwas passiert, und wer in der ersten Stunde danach was tut. Ein Notfallplan, den nie jemand geübt hat, ist keiner.
KI-Sicherheit
Künstliche Intelligenz verändert die Bedrohungslage und eröffnet zugleich neue Möglichkeiten für die Verteidigung. Ich mache beide Seiten für Ihr Unternehmen greifbar und leite daraus klare Regeln ab — vom Umgang mit öffentlichen KI-Diensten bis zum Schutz Ihrer eigenen KI-Anwendungen.
Ergebnis: Verbindliche Nutzungsregeln und eine Einschätzung Ihrer KI-Risiken.
Beide Seiten werden konkret. Auf der Risikoseite: KI-Phishing und Deepfakes für den Chef-Betrug, Schatten-KI, über die vertrauliche Daten in öffentliche Dienste abfliessen, und Prompt Injection gegen Ihre eigenen Anwendungen — besonders heikel dort, wo eine KI selbstständig handeln und Werkzeuge aufrufen darf. Auf der Werkzeugseite: Auffälligkeiten früher erkennen, Routine bei Auswertung und Reporting abnehmen, verbindliche Nutzungsregeln entlang EU AI Act und ISO/IEC 42001 — und Mitarbeitende, die KI sicher und produktiv einsetzen.
Wer hinter Kanobi steht.
Entwurfsmuster für Sicherheitsarchitektur — offen für alle.
opensecurityarchitecture.orgKlar strukturiert, in drei Phasen.
Häufige Fragen — und ehrliche Antworten.
Die Fragen, die in einem ersten Gespräch fast immer kommen. Ist Ihre nicht dabei, schreiben Sie mir einfach.
Ja — die meisten Gespräche beginnen genau dort. Sie brauchen keine Vorarbeit und kein Fachvokabular. Der erste Schritt ist eine Standortbestimmung: Wir schauen gemeinsam an, welche Daten und Systeme Ihr Geschäft tragen, was heute bereits geschützt ist und wo die grössten Lücken liegen. Daraus entsteht eine kurze, priorisierte Liste — verständlich genug, um sie in der Geschäftsleitung zu besprechen, und konkret genug, dass Ihre IT oder Ihr Dienstleister sie umsetzen kann.
Bei den wenigen Dingen, die im Ernstfall den grössten Schaden verhindern. In fast allen Unternehmen sind das dieselben: Zugänge absichern, besonders die von Administratoren und die Anmeldung von aussen; Sicherungskopien, die regelmässig geprüft und vom Netz getrennt sind; bekannte Schwachstellen zeitnah schliessen; und ein Ablauf, der festhält, wer im Ernstfall in welcher Reihenfolge informiert wird. Das kostet vor allem Entscheidungen und Disziplin — nicht in erster Linie Geld.
Nicht zwingend. Eine Zertifizierung ist ein Nachweis nach aussen — sinnvoll, wenn Kunden, Ausschreibungen oder Aufsichtsstellen sie verlangen. Für den Schutz Ihres Unternehmens zählt das Managementsystem dahinter, nicht das Zertifikat selbst. Ich arbeite entlang anerkannter Rahmenwerke wie ISO 27001 und dem NIST Cybersecurity Framework, damit Ihnen der Weg zur Zertifizierung offensteht — empfehlen würde ich sie aber erst, wenn sie einen erkennbaren Zweck erfüllt.
Die Standortbestimmung dauert in der Regel zwei bis vier Wochen. Danach liegen ein Reifegradbericht und ein priorisiertes Risikoregister vor. Sicherheitsarchitektur und Roadmap brauchen weitere drei bis sechs Wochen. Die Umsetzung läuft anschliessend über Monate — dort begleite ich Ihr Team mit Reviews und Wissenstransfer, statt dauerhaft Teil des Betriebs zu werden.
Das hängt vom Umfang ab: von der Grösse Ihres Unternehmens, der Zahl der Standorte und Systeme und davon, wie viel Vorarbeit bereits vorhanden ist. Nach einem ersten Gespräch, in dem wir den Umfang klären, erhalten Sie ein Angebot mit festem Rahmen — damit Sie wissen, woran Sie sind, bevor etwas beginnt.
Das ist Ihre Entscheidung — aber sie sollte bewusst getroffen und aufgeschrieben sein. Ohne Regel wird sie trotzdem getroffen, nur unkontrolliert. Bewährt hat sich weniger eine Verbotsliste als eine klare Einteilung: welche Art von Information darf in welche Art von Dienst. Dazu gehören ein geprüfter Dienst, den das Unternehmen bezahlt und dessen Bedingungen die Weiterverwendung Ihrer Eingaben ausschliessen, und eine kurze Schulung. Ein Verbot ohne Alternative führt dazu, dass Mitarbeitende private Zugänge verwenden — das ist der schlechtere Zustand.
IT-Sicherheit schützt die Technik: Server, Netze, Geräte. Informationssicherheit ist weiter gefasst — sie schützt Informationen unabhängig davon, wo sie liegen, also auch auf Papier, im Wissen von Mitarbeitenden und bei Lieferanten, und bezieht Organisation und Prozesse mit ein. Datenschutz ist eine rechtliche Anforderung an den Umgang mit Personendaten. Die drei überschneiden sich, sind aber nicht dasselbe: Ein Unternehmen kann die Datenschutzvorgaben erfüllen und trotzdem schlecht geschützt sein.
Leider nein. Die meisten Unternehmen, die einen Vorfall erleben, hatten vorher ebenfalls keinen — und ein erheblicher Teil der Angriffe wird erst Wochen später bemerkt. Ein ausgebliebener Schaden sagt vor allem, dass Sie bisher Glück hatten oder dass es Ihnen noch nicht aufgefallen ist. Aussagekräftiger sind zwei andere Fragen: Würden Sie einen Vorfall überhaupt bemerken? Und wie lange bliebe Ihr Betrieb ohne die wichtigsten Systeme arbeitsfähig?
Sprechen wir über Ihre Sicherheitslage.
Schreiben Sie mir kurz, worum es geht. Ich melde mich innerhalb eines Werktags.