Ihre Angriffsfläche von außen, laufend geprüft.
Onvara. Bevor es andere sehen.
Was ein Unternehmen im Internet öffentlich sichtbar macht, wächst mit der Zeit und wird selten regelmäßig überprüft: Subdomains aus abgeschlossenen Projekten, abgelaufene Zertifikate, offen erreichbare Verwaltungszugänge. Dort setzt ein Angriff zuerst an.
Für den Erstcheck genügt Ihre Domain. Kein Zugang, kein Vertrag, keine Installation.
Vier Bausteine, ein Ergebnis
Sie beauftragen nicht nur einen Bericht, sondern die Sicherheit, dass Ihre öffentlich erreichbare Angriffsfläche regelmäßig geprüft wird. Dazu erhalten Sie eine verständliche Erklärung, was jeder Befund für Ihr Unternehmen bedeutet.
Die Erhebung
Domains, Subdomains, erreichbare Dienste, TLS-Zertifikate, Mail-Konfiguration, Datenlecks mit Ihrer Domain. Die Auswertung erfolgt passiv, Ihre Systeme werden dabei nicht angetastet.
Die Einordnung
Ein Managementbericht in Klartext: was neu ist, was Vorrang hat und welche Folgen es hätte, wenn ein Punkt liegen bleibt. Formuliert in der Sprache der Geschäftsführung.
Die Umsetzungsliste
Technischer Anhang für die Umsetzung, nach Aufwand sortiert: betroffenes System, Fund, Grundlage des Funds, konkreter Handgriff. So aufbereitet, dass Ihre IT, intern oder extern, direkt damit arbeiten kann.
Die Besprechung
Ein Quartalsgespräch mit der Person, die den Bericht erstellt hat. Ihre Fragen werden dort direkt beantwortet.
Welches Modell zu Ihnen passt
Nicht Mitarbeiterzahl oder Branche entscheiden über den richtigen Zuschnitt, sondern die Frage, wofür Sie das Ergebnis brauchen: für Ihre eigene Beurteilung oder als Nachweis gegenüber Dritten.
Diese Grenze ist bei uns nicht kaufmännisch, sondern technisch gezogen: Prüfungen, die einen Nachweis gegenüber Dritten tragen sollen, laufen in einem eigenen, schriftlich vereinbarten Rahmen ab.
| Ausgangslage | Modell | Was Sie erhalten |
|---|---|---|
| Sie brauchen einmalig eine fundierte Standortbestimmung. | Assessment | Ein vollständiger Prüfungsdurchlauf mit schriftlichem Bericht und einem Auswertungsgespräch. Keine laufende Bindung. |
| Sie wollen laufende Kontrolle mit einer Berichtslinie an die Geschäftsführung. | Abo | Wiederkehrender Prüflauf, Quartalsbericht, Vergleich zum Vorquartal und eine priorisierte Umsetzungsliste. |
| Sie müssen Ergebnisse gegenüber Dritten belegen. | Nachweis | Für Anforderungen von Behörden, Prüfern oder Versicherern: aktive Prüfung im schriftlich vereinbarten Rahmen, dokumentiert in einem Prüfprotokoll. |
Wie ein Befund zustande kommt
Bei jedem Fund steht im Bericht, auf welcher Grundlage er beruht. Wir identifizieren Schwachstellen und bewerten ihr Risiko anhand etablierter Standards. So können Sie jede Aussage im Bericht nachvollziehen und selbst gewichten.
Von außen beobachtet
Öffentlich sichtbar, ohne Ihre Systeme zu berühren. Im Bericht als Beobachtung ausgewiesen, mit Angabe der Quelle und des Erhebungszeitpunkts.
Aktiv geprüft
Gezielte technische Prüfung innerhalb eines schriftlich vereinbarten Prüfrahmens und eines abgestimmten Zeitfensters. Im Bericht als aktive Prüfung ausgewiesen und in einem Prüfprotokoll dokumentiert.
So kommt ein Bericht zustande
Die Erhebung nutzt ausschließlich öffentlich verfügbare Quellen. Die Bewertung folgt etablierten Standards, damit jede Priorität begründbar bleibt und nicht auf einer selbst erfundenen Punktzahl beruht.
Erhebung
- Ihre Domains, die darunter erreichbaren Systeme und die Dienste, die von außen antworten
- Zertifikats- und E-Mail-Konfiguration Ihrer Domains
- Abgleich Ihrer Domain gegen bekannte Datenlecks
Bewertung
- Einordnung nach dem SSVC-Entscheidungsbaum der CISA statt eigener Risikopunkte
- Abgleich gegen die Liste nachweislich ausgenutzter Schwachstellen der CISA und gegen EPSS
- Zuordnung der Funde zu Techniken aus MITRE ATT&CK
Beleg
- Quelle und Erhebungsdatum an jedem einzelnen Fakt
- Widersprüchliche Quellen werden ausgewiesen, nicht geglättet
- Jeder Lauf wird als Momentaufnahme gespeichert, der Bericht zeigt die Veränderung
Wir sind ausschließlich auf Analyse und Beratung spezialisiert. Da wir keine Umsetzungsleistungen verkaufen, bleibt unser Befund unabhängig und sachlich.
Unabhängigkeit ist hier kein Werbewort, sondern eine Folge des Geschäftsmodells.Konkret heißt das: Der Preis richtet sich nach dem gemessenen Umfang Ihrer Außenfläche, nicht nach der Anzahl der Funde. Wir vermitteln keine Produkte, sind an keinem Hersteller beteiligt und erhalten für keine Empfehlung eine Provision. Die Umsetzungsliste ist so aufgebaut, dass Ihr bestehender IT-Dienstleister damit arbeiten kann.
Der Unterschied zu Pentest und Scanner
Alle drei prüfen Sicherheit, aber jedes beantwortet eine andere Frage. Der Unterschied liegt vor allem darin, wer den Umfang festlegt und was das kostet: Ein Penetrationstest ist ein Projekt, das Sie je Durchführung bezahlen und dessen Ergebnis ab der Übergabe altert. Der Außencheck läuft weiter.
| Penetrationstest | Schwachstellenscanner | Onvara Außencheck | |
|---|---|---|---|
| Beantwortet | Wie weit käme ein Angreifer in einem definierten Bereich? | Welche technischen Mängel hat ein bekanntes System? | Was ist von außen überhaupt sichtbar und was davon hat Vorrang? |
| Häufigkeit | Punktuell, meist jährlich. Das Ergebnis altert ab dem Tag der Übergabe | Laufend, im hinterlegten Bestand | Monatlich, über die gesamte sichtbare Außenfläche |
| Umfang | Der Bereich, den Sie vorher benennen | Die Systeme, die Sie im Werkzeug hinterlegen | Alles, was von außen sichtbar ist, auch was niemand hinterlegt hat |
| Ausnutzbarkeit belegen | Ja, innerhalb des beauftragten Projekts | Nein, meldet nur Hinweise | Ja, gezielt für einzelne Funde nach schriftlicher Freigabe, ohne eigenes Projekt |
| Ergebnis | Ausführlicher technischer Bericht | Liste von Meldungen, oft unpriorisiert | Eine Seite Klartext plus technischer Anhang |
| Aufwand bei Ihnen | Vorbereitung, Begleitung, Nachbereitung | Konfiguration und Sichtung der Meldungen | Bericht lesen und Quartalsgespräch |
| Kosten | Projektpreis je Durchführung, steigt mit dem geprüften Bereich | Lizenz je System, dazu der interne Aufwand für die Sichtung | Planbarer Betrag nach gemessener Außenfläche, unabhängig von der Anzahl der Funde |
Der Außencheck findet die Systeme, die ein Penetrationstest gar nicht im Umfang hätte, weil niemand von ihnen wusste. Muss ein solcher Fund belegt werden, prüfen wir seine Ausnutzbarkeit im Modell Nachweis gezielt nach, nach schriftlicher Freigabe und mit Prüfprotokoll. Ein eigenes Projekt braucht es dafür nicht.
Was Sie damit belegen können
Das NISG verlangt nachweisbares Risiko- und Schwachstellenmanagement, schreibt aber kein bestimmtes Verfahren vor. Maßgeblich ist, dass Sie Ihre Risiken kennen, Ihre Maßnahmen dokumentieren und beides über die Zeit belegen können.
Ob Ihr Unternehmen in den Anwendungsbereich fällt, beurteilen Sie mit Ihrer Rechtsberatung. Der Außencheck ist kein NIS-Audit und keine Zertifizierung. Er liefert Unterlagen, die Sie in Ihrer eigenen Nachweisführung verwenden können.
| Anforderung | Was der Außencheck dazu liefert |
|---|---|
| Risikomanagementmaßnahmen | Eine datierte Erhebung Ihrer öffentlich erreichbaren Systeme mit Risikoeinordnung nach SSVC, KEV und EPSS, dazu eine priorisierte Maßnahmenliste. |
| Dokumentation und Nachvollziehbarkeit | Quelle und Erhebungsdatum an jedem Fakt, jeder Lauf als Momentaufnahme gespeichert, Veränderungen zum Vorlauf ausgewiesen. |
| Umgang mit Schwachstellen | Wiederkehrender Prüflauf, Meldung binnen 24 Stunden bei dringenden Funden, Nachverfolgung offener Punkte über die Quartale. |
| Wirksamkeit der Maßnahmen | Der Vergleich zum Vorquartal zeigt, ob eine Maßnahme tatsächlich gewirkt hat: Behobene Punkte verschwinden aus dem Bericht, offene stehen erneut darin. |
Vier Schritte
Kein Anforderungsworkshop, kein Einführungsprojekt, keine Software in Ihrem Netz.
Ihre Domain
Eine E-Mail mit Ihrer Hauptdomain genügt. Kein Zugang, keine technische Vorbereitung, keine Vertragsunterschrift.
Der Erstcheck
Wir führen den Prüflauf vollständig durch und stellen Ihnen die wesentlichen Funde kompakt zusammen. Danach entscheiden Sie in Ruhe.
Laufende Prüfung
Die Prüfung läuft wiederkehrend im Hintergrund, ohne Aufwand auf Ihrer Seite. Duldet ein Fund keinen Aufschub, erhalten Sie die Meldung innerhalb von 24 Stunden.
Bericht und Gespräch
Managementbericht für Sie, technischer Anhang für die Umsetzung, dazu das Quartalsgespräch für alles, was Erklärung braucht.
Fragen vor der Beauftragung
Ihre Frage ist nicht dabei? Schreiben Sie uns. Sie erhalten eine persönliche Antwort, in der Regel am nächsten Werktag.
Schicken Sie uns Ihre Domain.
Eine E-Mail mit Ihrer Hauptdomain genügt. Wir führen den Prüflauf durch und senden Ihnen eine kompakte Rückmeldung.