Pronix Information Technologies

Pragmatische Sicherheit — OSSTMM, ISO 27001 & BSI Grundschutz

Sicherheit als belegbare Kontrolle, nicht Haken-Setzen — OSSTMM-messbares Testen, ein schlankes ISO-27001-ISMS, BSI-Grundschutz-Baselines und Defense in Depth, pragmatisch umgesetzt.

Gute Sicherheit ist kein Zertifikat an der Wand — sie ist Kontrolle, die man belegen kann. Wir gründen unsere Arbeit auf drei Standards, die sich bewährt haben — OSSTMM (messbares, wiederholbares Testen), ISO 2700x (ein risikobasiertes Managementsystem) und BSI IT-Grundschutz (ein pragmatischer Baseline-Maßnahmenkatalog) — und wir leben Defense in Depth: geschichtete Kontrollen, sodass kein einzelner Ausfall fatal ist. Es geht um die Substanz, nicht um die Papierform: Default-Deny, prüfbar, bedrohungsmodelliert, belegbar.

Wir sind OSSTMM/OPSA-zertifiziert (OSSTMM Professional Security Analyst); bei ISO 27001 und BSI Grundschutz sind wir Praktiker — wir haben ISMS mehrfach aufgebaut und Organisationen durch (Re-)Zertifizierung geführt — und machen euch audit-ready, ob ihr das Plakat je braucht oder nicht.

Die Standards, die wir einsetzen — und was jeder pragmatisch bringt

Standard / AnsatzWas er pragmatisch bringtWo es auftaucht
OSSTMM (ISECOM)Messbares, wiederholbares Security-Testen — Fakten statt Meinung, eine echte operative Sicherheits-Metrik (der rav). Analyse, die Kontrolle belegt, keine Checklisten. Wir sind OSSTMM/OPSA-zertifiziert (Professional Security Analyst).Security-Assessments & Audits · Audit-Nachweise in der Security & Observability Platform
ISO 2700xEin schlankes, risikobasiertes ISMS samt Maßnahmenkatalog — Governance, Risikobehandlung und benannte Verantwortung ohne Bürokratie. Wir haben ISMS gebaut und (Re-)Zertifizierungen begleitet.Rent-a-Security-Officer · Rent-a-Data-Protection-Officer
BSI IT-GrundschutzEine pragmatische Baseline aus Bausteinen und die BSI-200-x-Methodik — ISO-27001-anschlussfähig, Härtung, die ihr Schicht für Schicht anwenden könnt.Host-/Netz-Härtung · Sovereign Edge Firewall
Defense in Depth (gelebt)Das Prinzip, das alles verbindet — geschichtete Default-Deny-Kontrollen, sodass kein einzelner Ausfall fatal ist, jede Schicht unabhängig prüfbar.Sovereign Edge Firewall · Abusive HTTP Watch · Sovereign Certificate Authority · Security & Observability Platform

Die folgenden Fragen sind gruppiert für den CEO (was zu tun ist), den CIO (wie), Standards & Methodik und die Zusammenarbeit.

Für den CEO — was zu tun ist und warum es Chefsache ist

Ist Sicherheit wirklich Chefsache — oder kann ich das an die IT delegieren?
Chefsache. Unter NIS2 (und DSGVO) ist Security-Aufsicht ausdrücklich Sache der Geschäftsleitung — die Leitung kann für unzureichende Governance persönlich haften. Ein Vorfall trifft Umsatz, Reputation und Kontinuität, nicht nur die Serverraum-Ecke. Die Arbeit lässt sich delegieren, die Verantwortung nicht. → Rent-a-Security-Officer · Über uns
Was bringt mir gute Sicherheit konkret?
Belegbare Kontrolle: weniger und kleinere Vorfälle, schnellere Erholung und Nachweise, die ihr Auditoren, Versicherern, Regulatoren und Kunden vorlegen könnt. Das macht Sicherheit von einem Kostenposten und Haftungsrisiko zu etwas, das Ausschreibungen gewinnt und Verkaufszyklen verkürzt. → Security & Observability Platform
Ist nicht ein Zertifikat (ISO 27001) das Ziel?
Das Zertifikat ist die Quittung, nicht die Sicherheit. Wir haben ISMS gebaut und Organisationen durch (Re-)Zertifizierung geführt — und liefern die Substanz, ob ihr das Plakat anstrebt oder nicht. Verlangt eine Ausschreibung oder ein Kunde ISO 27001, machen wir euch zertifizierungs-ready; wenn nicht, habt ihr trotzdem echte, belegbare Kontrolle. Substanz zuerst, Papier nur wo es sich lohnt. → Beratung
Was ist das Risiko, nichts zu tun — bisher ging es doch gut?
Risiko kumuliert lautlos: ungepatchte Angriffsfläche, keine Erkennung, kein Notfallplan — bis zu dem einen Ereignis, von dem ihr euch nicht günstig erholt und für das ihr keine angemessene Sorgfalt belegen könnt. Unter NIS2 ist ‘wir sind noch nicht dazu gekommen’ selbst ein Befund. → Rent-a-Security-Officer
Wo fange ich an — was ist der erste Schritt?
Eine kurze, messbare Standortbestimmung (OSSTMM-Stil), dann ein priorisierter, reversibler Plan — kein einjähriges Programm, bevor sich etwas verbessert. Oft liefert ein fraktionaler CISO oder ein zugeschnittenes Review die erste Risikoreduktion in Wochen. → Beratung · Kontakt
Wie viel sollten wir für Sicherheit ausgeben?
Genug, um euer reales Risiko zu decken, nicht mehr — deshalb messen wir zuerst (OSSTMM) und behandeln Risiko nach Priorität (ISO 27005 / BSI). Defense in Depth lässt euch Schicht für Schicht investieren statt auf eine große Wette zu setzen. Wir modellieren das gegen eure reale Exposition, nicht gegen einen Hersteller-Katalog.

Für den CIO — wie man es umsetzt

Wie bewertet ihr Sicherheit, ohne dass es eine Checkliste wird?
OSSTMM: messbares, wiederholbares Testen der tatsächlichen operativen Sicherheit — was exponiert ist, was kontrolliert ist, was eine reale Einschränkung ist — und liefert eine Metrik (den rav), die ihr über die Zeit verfolgt, statt eines Bestanden/Durchgefallen. Fakten statt Meinung. → Security & Observability Platform
Bekommen wir ein ISMS, ohne in Bürokratie zu ertrinken?
Ja — genau das ist der Punkt. Ein schlankes ISO-27001-ISMS, zugeschnitten auf eure realen Risiken: die Maßnahmen und Nachweise, die ihr wirklich braucht, BSI-Grundschutz-Bausteine für die Baseline, und kein Papier, das kein Risiko senkt. Wir haben mehrere gebaut und betrieben. → Rent-a-Security-Officer
Was bedeutet Defense in Depth konkret in unserem Stack?
Geschichtete Default-Deny-Kontrollen — Perimeter und Segmentierung, Host- und Konfigurations-Härtung, Anwendung und Code, Identität und Trust-Roots, Verschlüsselung sowie Detection/Response — jede unabhängig prüfbar, sodass ein Ausfall nicht fatal ist. → Sovereign Edge Firewall · Sovereign Certificate Authority
Wie erfahren wir von einem Vorfall, bevor es unsere Kunden tun?
Zentralisierte Erkennung und Audit-Trails: SIEM/XDR über Endpoints, Server, Netzwerk und Cloud, mit Alerting und einem getesteten Incident-Response-Pfad — plus die durchsuchbaren Nachweise, um zu rekonstruieren, was passiert ist. → Security & Observability Platform
Wie integriert sich das mit dem, was wir schon betreiben?
Wir holen euren Bestand dort ab, wo er ist — standardbasiert (Syslog, Standard-Identity, APIs), Agents wo sie helfen, Härtung auf bestehende Systeme angewandt. Defense in Depth ist additiv; ihr braucht keine grüne Wiese. → Individualsoftware-Entwicklung
Wer betreibt die Sicherheit nach dem Engagement?
Idealerweise euer Team: wir bauen es betreibbar, dokumentieren alles und können Rollenprofile entwerfen und euer internes Security-/Architektur-Team einarbeiten — oder es übergangsweise betreiben, während ihr aufbaut. → Beratung · Rent-an-Enterprise-Architect

Standards & Methodik

Was ist OSSTMM, in einfachen Worten?
Das Open Source Security Testing Methodology Manual (ISECOM): eine rigorose, herstellerneutrale Art, Sicherheit zu testen, sodass das Ergebnis messbar und wiederholbar ist. Statt der Meinung eines Auditors bekommt ihr Fakten darüber, was exponiert und was tatsächlich kontrolliert ist — und eine Metrik (den rav), die ihr verfolgen könnt. Sicherheit, die per Konstruktion belegbar ist.
Was ist ISO 2700x?
Die internationale Familie für Informationssicherheits-Management: ISO 27001 (das zertifizierbare ISMS — Governance, Risikobehandlung, Annex-A-Maßnahmen), 27002 (Maßnahmen-Leitfaden), 27005 (Risiko). Das Managementsystem, das Sicherheit wiederholbar und verantwortet macht statt heldenhaft.
Was ist BSI IT-Grundschutz?
Der Baseline-Schutz-Ansatz des Bundesamts für Sicherheit in der Informationstechnik: ein Katalog praktischer Bausteine plus die BSI-200-x-Methodik (ISMS, Methodik, Risiko). Pragmatisch und ISO-27001-anschlussfähig — eine konkrete ’tut diese Dinge’-Baseline statt abstrakter Prinzipien.
OSSTMM vs. ISO vs. BSI — warum alle drei?
Sie erfüllen verschiedene Aufgaben und verstärken einander: OSSTMM misst (Testen und Assurance), ISO 27001 steuert (das Managementsystem), BSI Grundschutz liefert die Baseline (die konkreten Maßnahmen). Defense in Depth ist die Architektur, die alles verbindet. Wir nutzen jedes dort, wo es Wert schafft, keines als Haken-Setzen. → siehe Map oben
Seid ihr zertifiziert — OSSTMM, ISO 27001, BSI Grundschutz?
Wir sind OSSTMM/OPSA-zertifiziert (OSSTMM Professional Security Analyst). Bei ISO 27001 und BSI Grundschutz sind wir Praktiker — wir haben ISMS gebaut und Organisationen durch (Re-)Zertifizierung geführt — aber Pronix selbst hält das Firmen-Zertifikat nicht; wir haben das Plakat nie gebraucht, um die Substanz zu liefern, was eher der Punkt ist. Wo ihr das Zertifikat für eine Ausschreibung oder einen Kunden braucht, machen wir euch zertifizierungs-ready und begleiten das Audit. → Beratung
Könnt ihr uns zur ISO-27001-/BSI-Zertifizierung führen?
Ja — genau das haben wir wiederholt getan: das ISMS scopen, die Lücken mit Grundschutz-Baselines schließen, die Nachweise erzeugen und euch auf Audit und Re-Zertifizierung vorbereiten. Ihr bekommt zuerst ein funktionierendes Sicherheitssystem, das Zertifikat als Nebenprodukt. → Rent-a-Security-Officer
Gelten diese Standards auch, wenn wir klein oder nicht reguliert sind?
Ja, proportional. Die Methodik skaliert nach unten: messen, was zählt (OSSTMM), ein richtig dimensioniertes ISMS, eine Grundschutz-Baseline, Defense in Depth in eurer Größe. Regulierung (NIS2, DSGVO) erhöht den Einsatz, aber belegbare Kontrolle ist eine Versicherung für alle. → Rent-a-Security-Officer

Zusammenarbeit mit Pronix

Wie beginnt ein Engagement?
Mit einem kostenlosen 30–60-minütigen Scoping-Gespräch. Ein Absatz zu eurer Lage bringt euch eine Rückfrage, einen Call oder ein ehrliches ‘passt nicht — hier ist, wer passt’. Keine Formulare, keine Nurture-Sequenz. → Kontakt
Was ist ein fraktionaler CISO / Rent-a-Security-Officer?
Eine seniorale Security-Rolle, fraktional engagiert (typisch 1–4 Tage/Monat) statt einer Vollzeit-Einstellung — die benannte, verantwortliche Funktion und die Hands-on-Arbeit, wenn ihr sie braucht, aber eine Vollzeitstelle noch nicht rechtfertigen oder besetzen könnt. → Rent-a-Security-Officer
Remote oder vor Ort — und wo arbeitet ihr?
Remote-first, weltweit; Scoping und der Großteil der Lieferung remote, vor Ort wo es wirklich hilft. Arbeitssprachen u. a. Deutsch und Englisch.
Wie kalkuliert ihr?
Ein fester monatlicher Retainer für vereinbarte Kadenz und Abdeckung — kein Time-and-Materials, das ausufert. Ihr kennt die Zahl; wir managen den Umfang. Incident-Response wird separat gescopet.
Was passiert, wenn das Engagement endet?
Ihr behaltet alles: eine funktionierende Sicherheitslage, dokumentierte Maßnahmen und Entscheidungen, das ISMS und seine Nachweise. Weil wir offen bauen und laufend dokumentieren, ist das Ende eine Übergabe, keine Geiselnahme. → Über uns