Ja. Wir passen Umfang, Zeitplan und Sicherheitsregeln an die Kritikalität der gesteuerten Prozesse an. Risikoreichere Szenarien führen wir nur nach vorheriger Vereinbarung, während einer geplanten Abschaltung oder in einer separaten Testumgebung durch.

Wir planen die Tests so, dass das Risiko eines Ausfalls oder eines Eingriffs in physische Prozesse minimiert wird. Potenziell gefährliche Aktionen führen wir in aktiven Produktionsumgebungen nicht ohne ausdrückliche Zustimmung durch.

Ja. Wir überprüfen die IT-Infrastruktur, industrielle Netzwerke, Steuerungssysteme und deren Verbindungen. Dadurch können wir auch mögliche Angriffswege vom Unternehmensnetzwerk in die OT-Umgebung aufdecken.

Ja. Wir passen den Testansatz an das Alter, die Sensibilität und die Verfügbarkeit des Systems an. Bei Geräten, die nicht sicher aktiv getestet werden können, nutzen wir Konfigurationsprüfungen, Kommunikationsanalysen oder Tests in einer isolierten Umgebung.

Ja. Wir testen VPNs, Fernverwaltung, Servicekonten und Zugänge externer Dienstleister. Dabei überprüfen wir, ob ein kompromittierter Zugang einen Weg in das industrielle Netzwerk oder zu Steuerungssystemen eröffnen könnte.

Ja. Wir überprüfen PLCs, HMIs, SCADA- und DCS-Systeme, Engineering-Stationen, Industrieprotokolle, Zugriffsrechte und Möglichkeiten zur unbefugten Änderung von Konfigurationen oder gesteuerten Prozessen.

Ja. Die Ergebnisse können technische Nachweise für das Management von Cyberrisiken und die Überprüfung von Sicherheitsmaßnahmen nach NIS2 oder IEC 62443 liefern. Die Tests ersetzen jedoch weder eine rechtliche Bewertung noch eine Zertifizierung oder ein umfassendes Compliance-Audit.

Zunächst erfassen wir die IT- und OT-Architektur, kritische Prozesse, Kommunikationsflüsse, Fernzugänge und betriebliche Einschränkungen. Auf Grundlage der Risiken bestimmen wir die zu testenden Systeme, zulässigen Szenarien und eine sichere Vorgehensweise.

Sie erhalten einen technischen Bericht mit einer Beschreibung der Schwachstellen, Nachweisen, Risikobewertungen und konkreten Empfehlungen zur Behebung. Die Befunde bewerten wir auch nach ihren möglichen Auswirkungen auf Produktion, Versorgung und physische Prozesse.

Ja, ein Retest kann Teil des vereinbarten Projektumfangs sein. Nach der Behebung überprüfen wir, ob die Schwachstellen korrekt geschlossen wurden und ob die Änderungen neue Sicherheitsrisiken verursacht haben.