Ihre Microsoft-Cloud
vor dem Audit —
systematisch bewertet, prüffest dokumentiert.
Microsoft-Umgebungen wachsen schneller als die Sicherheitskontrolle mitkommt. Wir analysieren Konfiguration, Berechtigungen und Architekturentscheidungen in Azure, Microsoft 365 und Entra ID — und liefern einen audit-ready Befundbericht je Control mit priorisierten Maßnahmen für Ihre TISAX-, DORA- oder NIS2-Anforderungen. Ihre Ansprechpersonen kennen Ihre Umgebung — kein Projektleiter, der sich erst einarbeiten muss.
Was ein Cloud Security Assessment abdeckt
Wir analysieren alle sicherheitsrelevanten Schichten Ihrer Cloud-Umgebung — systematisch, nicht stichprobenartig.
Identitäten
Rollen, MFA, Conditional Access
Netzwerk
Ports, Firewall, Segmentierung
Daten
Verschlüsselung, Backup, Zugriff
Monitoring
Logs, SIEM, Alerting
Compliance
Secure Score, CIS, NIS2
Architektur
Strukturelle Risiken, Design
Für wen ist dieses Assessment geeignet?
Das Assessment richtet sich an Automotive-Zulieferer mit TISAX-Anforderungen, FinTech-Unternehmen unter DORA- und BaFin-Aufsicht sowie regulierte Unternehmen, die wissen wollen, wo sie in ihrer Cloud-Sicherheitslage wirklich stehen.
TISAX-Vorbereitung
Sie stehen vor einem TISAX-Assessment oder re-Assessment und brauchen eine belastbare Bestandsaufnahme Ihrer Microsoft-Azure- und M365-Umgebung — bevor der externe Prüfer kommt.
DORA- und NIS2-Anforderungen
DORA verlangt nachgewiesene IKT-Risikokontrollen, NIS2 eine dokumentierte Sicherheitslage. Unser Assessment liefert die Grundlage für beide Nachweise — mit priorisiertem Maßnahmenkatalog.
Nach einem Vorfall
Es hat einen Sicherheitsvorfall gegeben, und Sie möchten verstehen, wie es dazu kommen konnte und was geändert werden muss — mit einem schriftlichen Befund, der auch für Versicherungen und Behörden verwertbar ist.
Neue Zielarchitektur
Sie möchten Ihre Cloud-Umgebung auf eine neue Zielarchitektur vorbereiten — und müssen dabei TISAX-, DORA- oder NIS2-Anforderungen von Anfang an berücksichtigen. Wir liefern den klaren Ist-Zustand als prüffeste Entscheidungsgrundlage.
Das Assessment ist keine Prüfung — es ist eine Grundlage für fundierte Entscheidungen.
Was wir prüfen
Das Assessment umfasst alle sicherheitsrelevanten Schichten — nicht nur Konfiguration, sondern auch Zugriffsmodelle, Prozesse und Architekturentscheidungen.
Entra ID und Zugriffsrechte
Benutzerkonten, Servicekonten, privilegierte Rollen, Conditional Access Policies, MFA-Durchsetzung
Netzwerk und Perimeter
Netzwerksegmentierung, offene Ports, Firewall-Regeln, VPN-Konfiguration, DNS-Einstellungen
Datenspeicherung und -übertragung
Verschlüsselung at rest und in transit, Backup-Konfiguration, Zugriffsschutz auf Speicherebene
Sentinel und Protokollierung
Aktivierung von Diagnose-Logs, SIEM-Integration, Alerting auf kritische Ereignisse
Compliance-Posture
Abgleich mit Microsoft Secure Score, CIS Benchmarks und branchenspezifischen Anforderungen
Architekturentscheidungen
Identifikation von strukturellen Risiken, die sich durch Einzelmaßnahmen nicht beheben lassen
Unser Vorgehen
Drei Phasen — mit klarer Erwartung an jeder Stelle und ohne unnötige Projektkomplexität.
- 01
Kick-off und Scope-Definition
1 Woche- Systeme und Umgebungen im Scope festlegen
- Regulatorische Anforderungen identifizieren
- Ihre wichtigsten Fragen erfassen
- Untersuchungsrahmen gemeinsam definieren
-
- 02
Technische Analyse
2–3 Wochen- Read-only-Zugriff oder Konfigurationsexporte
- Kein Deployment, keine Agenten
- Kein Eingriff in produktive Systeme
- Systematische Prüfung aller Schichten
-
- 03
Befund und Maßnahmenkatalog
1 Woche- Schriftlicher Befundbericht
- Priorisierte Maßnahmenliste nach Risiko
- Umsetzungsaufwand pro Maßnahme
- Gemeinsames Abschlussgespräch
-
Circa 4–5 Wochen bis zum vollständigen Befund
Jede Phase baut auf der vorherigen auf und liefert eigenständigen Mehrwert.
Was Sie erhalten
Nach Abschluss des Assessments haben Sie eine belastbare Grundlage für Ihre nächsten Schritte.
Befundbericht
Vollständiger Bericht mit dokumentierten Schwachstellen und ihrer Risikoklassifikation
Maßnahmenkatalog
Priorisierte Handlungsempfehlungen mit geschätztem Umsetzungsaufwand
Abschlussgespräch
Erläuterung der Ergebnisse und Beantwortung offener Fragen
Entscheidungsbasis
Belastbare Grundlage für Ihre nächste Zielarchitektur oder Zertifizierungsvorbereitung
Für Automotive-Zulieferer bieten wir als Einstieg ein TISAX-Readiness-Assessment an, das die relevanten Kontrollen aus dem VDA ISA direkt prüft. Sie arbeiten mit festen Ansprechpersonen, die Ihre Umgebung kennen. Wir unterstützen Sie auch bei der Umsetzung der identifizierten Maßnahmen — im Rahmen unserer Security-Architektur-Leistung.
Häufig gestellte Fragen
Welche Microsoft-365-Konfiguration ist nötig, um die NIS2-Anforderungen zu erfüllen?
NIS2 nennt keine Produkte, sondern Schutzziele: Zugriffskontrolle, Multi-Faktor-Authentifizierung, Protokollierung, Vorfallbehandlung und Business Continuity. In einer Microsoft-Umgebung werden diese Ziele über Conditional Access und Privileged Identity Management in Entra ID, Compliance-Richtlinien in Intune, Defender-Richtlinien in Microsoft 365 und die Protokollierung in Microsoft Sentinel umgesetzt. Entscheidend ist nicht, welche Schalter aktiv sind, sondern ob sich je Control belegen lässt, für wen eine Regel gilt, wer sie genehmigt hat und seit wann sie greift.
Wie weise ich gegenüber einem Prüfer nach, dass MFA flächendeckend aktiv ist?
Ein Screenshot der Conditional-Access-Richtlinie genügt nicht. Ein Prüfer fragt nach Geltungsbereich und Ausnahmen: Welche Konten sind ausgenommen, wer hat die Ausnahme genehmigt, wann läuft sie aus. Belastbar ist die Kombination aus der Richtlinienkonfiguration, einem Bericht über die tatsächlichen Anmeldungen und einer dokumentierten Ausnahmeliste mit Genehmiger und Frist.
Was unterscheidet ein Assessment von einem Audit?
Ein Audit prüft gegen eine Norm und endet mit einem Urteil. Das Assessment ist eine Bestandsaufnahme: Es zeigt den Ist-Zustand je Control, bewertet die Lücken nach Risiko und liefert einen priorisierten Maßnahmenkatalog. Es ersetzt kein Zertifizierungsaudit, sondern bereitet darauf vor.
Assessment anfragen
Schreiben Sie uns kurz, was Sie prüfen möchten — wir melden uns innerhalb eines Werktages mit einem Vorschlag für das weitere Vorgehen. Persönlich, verbindlich, ohne Umwege.
Keine Verpflichtung. Kein Verkaufsgespräch. Nur Klarheit.