Ein Security Assessment Schweiz ist besonders dann wichtig, wenn Sie nicht wissen, ob Ihre Schutzmassnahmen tatsächlich funktionieren. Viele Unternehmen haben Firewalls, Endpoint-Schutz und Richtlinien eingeführt, kennen aber ihre konkreten Schwachstellen, Angriffswege und regulatorischen Lücken nicht.
Was ist ein Security Assessment?
Ein Security Assessment ist eine systematische Bewertung Ihrer technischen, organisatorischen und personellen Sicherheitsmassnahmen. Es beantwortet die Frage, wie gut Ihr Unternehmen Cyberangriffe verhindern, erkennen und bewältigen kann.
Die Prüfung kann sich auf einzelne Systeme, eine Anwendung, einen Geschäftsprozess oder die gesamte Organisation beziehen. Seriöse Assessments definieren vorab:
- den Prüfgegenstand
- die erlaubten Testmethoden
- den Zeitraum und die Kontaktpersonen
- den Umgang mit sensiblen Daten
- die Kriterien für die Bewertung
- die Form des Berichts und der Nachprüfung
In der Schweiz bildet je nach Branche beispielsweise der IKT-Minimalstandard eine sinnvolle Orientierung. Finanzunternehmen müssen zusätzlich die Erwartungen der FINMA berücksichtigen. Für den Schutz von Personendaten sind das revDSG und die Hinweise des EDÖB relevant. Das NCSC stellt weitere Empfehlungen und Hilfsmittel für die Cybersecurity bereit.
Welche Prüfarten Cybersecurity gibt es?
Die wichtigsten Prüfarten Cybersecurity unterscheiden sich vor allem durch Ziel, Tiefe und Testmethode. Nicht jede Prüfung sucht aktiv nach ausnutzbaren Schwachstellen.
1. Reifegrad Analyse
Eine Reifegrad Analyse bewertet, wie systematisch Ihre Sicherheitsprozesse aufgebaut und umgesetzt sind. Typische Themen sind Governance, Risikomanagement, Identitätsverwaltung, Incident Response, Backup-Schutz, Lieferantenrisiken und Awareness.
Als Referenz dienen beispielsweise der NIST Cybersecurity Framework, ISO 27001 oder der Schweizer IKT-Minimalstandard. Das Ergebnis ist häufig ein aktuelles Reifegradbild mit Zielniveau und priorisierten Massnahmen.
Diese Prüfart eignet sich für Unternehmen, die ihre Sicherheitsstrategie strukturieren oder gegenüber Verwaltungsrat, Kunden und Versicherern nachvollziehbar darstellen möchten.
2. Gap-Assessment und Compliance-Prüfung
Ein Gap-Assessment vergleicht den aktuellen Zustand mit definierten Anforderungen. Das können interne Sicherheitsvorgaben, ISO-27001-Kriterien, FINMA-Erwartungen oder Anforderungen aus Verträgen sein.
Die Prüfung zeigt, welche Kontrollen fehlen, unvollständig dokumentiert oder nicht wirksam umgesetzt sind. Sie ersetzt kein Zertifizierungsaudit, bereitet aber gezielt darauf vor.
3. Vulnerability Assessment
Ein Vulnerability Assessment sucht mit automatisierten Werkzeugen und manueller Validierung nach bekannten technischen Schwachstellen. Geprüft werden können externe IP-Adressen, Netzwerkgeräte, Server, Cloud-Dienste oder Endpunkte.
Die Resultate sollten nach Ausnutzbarkeit, betroffenen Systemen und geschäftlicher Auswirkung priorisiert werden. Ein Scannerbericht allein reicht nicht aus. Falsch positive Meldungen und nicht ausnutzbare Schwachstellen müssen fachlich eingeordnet werden.
4. Penetrationstest
Ein Penetrationstest simuliert kontrollierte Angriffe auf definierte Systeme. Sicherheitsspezialisten versuchen, Schwachstellen unter vereinbarten Bedingungen auszunutzen und den möglichen Zugriffspfad nachzuweisen.
Webanwendungen werden häufig anhand des OWASP Testing Guide geprüft. Für die Planung und Durchführung können PTES oder OSSTMM als methodische Orientierung dienen. Ein Penetrationstest ist aussagekräftiger als ein reiner Schwachstellenscan, deckt aber nur den vereinbarten Umfang und Zeitraum ab.
5. Red-Team-Assessment
Ein Red-Team-Assessment prüft, ob ein Unternehmen einen realistischen, zielgerichteten Angriff erkennen und abwehren kann. Dabei werden technische Angriffe mit Täuschung, physischem Zutritt oder Social Engineering kombiniert, sofern dies ausdrücklich erlaubt ist.
Die Auswertung betrachtet nicht nur gefundene Lücken, sondern auch die Leistung von Security Operations, EDR, SIEM und Incident Response. MITRE ATT&CK kann helfen, verwendete Angriffstechniken strukturiert abzubilden.
6. Konfigurations- und Architekturprüfung
Diese Prüfung bewertet sicherheitsrelevante Einstellungen und Designentscheidungen. Beispiele sind Microsoft-365-Konfigurationen, Cloud-IAM, Netzwerksegmentierung, VPN, Backup-Systeme oder privilegierte Konten.
Sie ist oft sinnvoll, wenn keine vollständige Angriffsprüfung gewünscht ist, aber eine konkrete technische Kontrolle benötigt wird.
Welche Prüfart passt zu welchem Ziel?
Die passende Prüfart hängt vom konkreten Entscheid ab, den Sie mit dem Assessment vorbereiten wollen. Für eine strategische Standortbestimmung ist die Reifegrad Analyse geeignet, für die technische Angriffsfähigkeit ein Penetrationstest.
| Ziel | Geeignete Prüfung | Typischer Aufwand und Kosten |
|---|---|---|
| Sicherheitsstrategie strukturieren | Reifegrad Analyse | Einige tausend CHF, abhängig von Umfang und Workshops |
| Anforderungen vergleichen | Gap-Assessment | Einige tausend CHF bis mittlerer fünfstelliger CHF-Betrag |
| Externe Angriffsfläche prüfen | Vulnerability Assessment | Von einigen tausend CHF aufwärts |
| Anwendung oder Netzwerk testen | Penetrationstest | Häufig mittlerer bis höherer fünfstelliger CHF-Bereich |
| Erkennung und Reaktion testen | Red-Team-Assessment | Meist höherer fünfstelliger CHF-Bereich |
| Cloud- oder IAM-Risiken bewerten | Konfigurationsprüfung | Einige tausend CHF bis mittlerer fünfstelliger CHF-Betrag |
Die Kosten sind grobe Grössenordnungen. Anzahl Systeme, Testtiefe, Datenstandort, Dokumentationsaufwand und benötigte Spezialisten beeinflussen den Preis stark. Verlangen Sie deshalb ein transparentes Angebot mit Scope, Annahmen und Abgrenzungen.
Wann braucht Ihr Unternehmen ein Security Assessment Schweiz?
Ein Security Assessment Schweiz ist besonders sinnvoll vor wichtigen Veränderungen, nach einem Sicherheitsvorfall oder bei erhöhten regulatorischen Anforderungen. Typische Auslöser sind:
- Einführung einer neuen Webanwendung oder Cloud-Plattform
- Migration sensibler Daten an einen neuen Datenstandort
- Übernahme oder Ausgliederung von Geschäftsbereichen
- Vorbereitung auf ein ISO-27001-Audit
- Anforderungen von FINMA, Kunden oder Cyberversicherern
- wiederkehrende Phishing- oder Kontoübernahmevorfälle
- fehlende Transparenz über privilegierte Zugriffe
- wesentliche Änderungen an Netzwerk, Identitäten oder Backup
Bei Personendaten sollte die Prüfung auch Datenschutzrisiken einbeziehen. Das revDSG verlangt unter anderem angemessene technische und organisatorische Massnahmen. Ein Cybersecurity-Assessment ersetzt keine Datenschutz-Folgenabschätzung, kann deren technische Grundlage aber verbessern.
Wie wählen Sie den richtigen Prüfungsumfang?
Sie wählen den Prüfungsumfang am besten anhand des geschäftlichen Risikos und nicht anhand eines möglichst grossen Testpakets. Definieren Sie zuerst, welche Systeme und Prozesse bei einem Ausfall oder einer Kompromittierung den grössten Schaden verursachen.
Berücksichtigen Sie dabei:
- Schutzbedarf bestimmen: Welche Daten, Anwendungen und Geschäftsprozesse sind kritisch?
- Angriffswege erfassen: Prüfen Sie Internetzugänge, Identitäten, Cloud-Dienste, Fernzugriffe und Lieferantenverbindungen.
- Ziel festlegen: Wollen Sie Risiken priorisieren, eine Anwendung testen oder die Reaktion des SOC bewerten?
- Methode auswählen: Kombinieren Sie bei Bedarf Reifegrad Analyse, Konfigurationsprüfung und Penetrationstest.
- Regeln schriftlich vereinbaren: Legen Sie Testfenster, Notfallkontakte, erlaubte Techniken und Ausschlüsse fest.
- Nachweis planen: Vereinbaren Sie einen Retest oder eine Massnahmenkontrolle für kritische Befunde.
Was muss ein guter Assessment-Bericht enthalten?
Ein guter Bericht verbindet technische Befunde mit geschäftlichen Auswirkungen und klaren nächsten Schritten. Er sollte mindestens eine Management-Zusammenfassung, den Scope, die Methode, die Einschränkungen und eine priorisierte Risikobewertung enthalten.
Für jeden relevanten Befund sind folgende Angaben hilfreich:
- betroffene Systeme oder Prozesse
- technische Ursache
- mögliche Auswirkung
- Nachweis oder Beleg
- Risikoeinstufung
- konkrete Empfehlung
- verantwortliche Rolle
- Priorität und Zieltermin
Achten Sie zudem auf einen geschützten Datenstandort und klare Regeln für Berichtsdaten. Bei einem Security Assessment Schweiz können Anforderungen an Datenverarbeitung, Vertraulichkeit und Aufbewahrung vertraglich festgelegt werden.
Wie starten Sie am besten?
Starten Sie mit einem kurzen internen Auftrag, der Ziel, kritische Systeme und erwarteten Entscheid festhält. Danach können Sie Anbieter vergleichbar anfragen.
- Erstellen Sie eine Übersicht der kritischen Anwendungen, Daten und Zugänge.
- Sammeln Sie vorhandene Richtlinien, Prüfberichte und Vorfallinformationen.
- Entscheiden Sie, ob zuerst Strategie, Compliance, Konfiguration oder Angriffsfähigkeit geprüft werden soll.
- Fordern Sie Angebote mit identischem Scope und klarer Methodik an.
- Prüfen Sie Erfahrung, Unabhängigkeit, Referenzen und Umgang mit sensiblen Daten.
- Legen Sie nach der Prüfung Verantwortliche und Termine für die Umsetzung fest.
Im Verzeichnis von Cyberprovider können Sie geprüfte Schweizer Anbieter vergleichen und eine passende Prüfleistung für Ihre Ausgangslage suchen.
Häufige Fragen
Wie oft sollte ein Penetrationstest durchgeführt werden?
Ein Penetrationstest sollte risikobasiert wiederholt werden, insbesondere nach wesentlichen Änderungen, neuen Angriffswegen oder Sicherheitsvorfällen. Für besonders exponierte Anwendungen kann ein regelmässiger Zyklus sinnvoll sein.
Reicht ein Vulnerability Scan für ein KMU?
Ein Scan ist ein guter Einstieg, reicht allein aber meist nicht aus. Er erkennt viele bekannte Schwachstellen, bewertet jedoch Geschäftsrisiken, Fehlkonfigurationen und komplexe Angriffsketten nur begrenzt.
Was ist der Unterschied zwischen Reifegrad Analyse und Penetrationstest?
Die Reifegrad Analyse bewertet Prozesse, Organisation und Kontrollen. Der Penetrationstest prüft dagegen, ob definierte technische Ziele unter kontrollierten Bedingungen angreifbar sind.
Müssen Daten für ein Assessment die Schweiz verlassen?
Nicht zwingend. Sie können vertraglich und technisch festlegen, dass Logs, Berichte und Testdaten in der Schweiz verarbeitet werden. Prüfen Sie dabei auch Unterauftragnehmer und eingesetzte Cloud-Dienste.
Ist ein Security Assessment für eine ISO-27001-Zertifizierung ausreichend?
Nein. Ein Assessment kann Lücken vor einem Audit aufzeigen, ersetzt aber weder das erforderliche Informationssicherheits-Managementsystem noch das formelle Zertifizierungsaudit.
