Cyber Audit für Unternehmen – Schwachstellen erkennen, Risiken minimieren

Hände tippen

Ihr Experte für Fragen

Jörg Botsch ist Partner, Risk & Regulatory bei PwC Deutschland

Jörg Botsch
Partner, Risk & Regulatory | Cyber

Kontaktieren Sie mich

Sind Ihre Cyber-Sicherheitsmaßnahmen in der Praxis wirksam oder nur auf dem Papier?

Cyberangriffe gehören heute zu den größten Risiken für Unternehmen – mit teuren Ausfällen, Datenverlust und Reputationsschäden als Folge.

Viele Organisationen verlassen sich auf Richtlinien, Dokumentationen und Zertifizierungen der Informationssicherheits-Management-Systeme, doch die entscheidende Frage bleibt: Funktionieren Ihre Cyber-Maßnahmen tatsächlich?

Unser Cyber Audit beziehungsweise Schwerpunktprüfung liefert Antworten. Wir prüfen nicht nur das Design Ihrer Sicherheitsprozesse, sondern auch deren Wirksamkeit in der Praxis.

Mit der einzigartigen Kombination aus erfahrenen IT-Prüfer:innen und tiefgehender technischer Cyber-Expertise decken wir systemische Schwachstellen auf, bevor Angreifer dies tun.

So schaffen wir Transparenz, Sicherheit und Vertrauen – für Ihre Cybersicherheits-Organisation, Ihre Systeme und Ihre Prozesse.

„Heute ist es leider keine Frage, ob Unternehmen erfolgreich angegriffen werden, sondern nur wann. Dabei interessieren sich Angreifer nicht für die Dokumentation ihrer Prozesse oder ihrer Sicherheitszertifikate. Das einzige, was sie wirklich schützt, sind wirksame Maßnahmen: Angriffsschutz, Angriffserkennung und Wiederherstellungspläne. Wir helfen Organisationen dabei, Lücken in ihrer Verteidigung aufzudecken, damit sie bestmöglich aufgestellt sind.“

Jörg Botsch,Partner, Risk & Regulatory | Cyber

Cyber‑Schwerpunktprüfung: Transparenz und Entscheidungsgrundlagen für Ihre Rolle

Unsere Cyber-Schwerpunktprüfung ist kein klassisches Audit. Sie ist ein technischer Deep-Dive, der die tatsächliche Wirksamkeit Ihrer ausgewählten, kritischen Prozesse und Systeme aufdeckt. Wir gehen dorthin, wo Standardprüfungen aufhören, und geben Ihnen eine faktenbasierte Sicht auf die realen Risiken – fokussiert auf die Bereiche, die für Sie am wichtigsten sind. Wählen Sie Ihre Perspektive und erfahren Sie, wie wir Sie gezielt unterstützen.

Unabhängige Einschätzung der relevanten Cyber‑Risiken.

Objektive Bewertung der Wirksamkeit zentraler Cyber‑Maßnahmen.

Neutrale Datengrundlage zu technischen Risiken.

Technische Tiefeneinblicke und revisionssichere Wirksamkeitsnachweise.

< Back

< Back
[+] Read More

Unser Ansatz: Mehr als eine Prüfung– wir stärken die IT-Sicherheit Ihres Unternehmens

Unser Ansatz kombiniert die Erfahrung und Prüfungskompetenz einer großen Wirtschaftsprüfungsgesellschaft mit tiefgehender technischer Cyber-Security-Expertise.

Das bedeutet: Wir betrachten Organisation, Prozesse und Systeme ganzheitlich und führen zusätzlich toolgestützte technische Prüfungen durch. So decken wir auch systemische Schwachstellen in der operativen Umsetzung auf, die in reinen Dokumentationsprüfungen verborgen bleiben.

Gerade in komplexen Systemumgebungen spielen dabei mehrere Faktoren mit Wechselwirkung eine entscheidende Rolle, unter anderem

  • Die individuelle, technisch-prozessuale Umsetzung der Einzelmaßnahmen
  • Die Implementierung der Maßnahmen in der Breite
  • Das Zusammenspiel der Maßnahmen im integrierten Kontrollumfeld
  • Risikomanagement von Drittparteien (Third Party Risk Management)

Um aussagekräftige Ergebnisse zu erhalten, liegt unserem Cyber Audit ein vielfach bewährtes und robustes Prüfungsvorgehen zu Grunde.

Mit einem strukturierten Ansatz schaffen wir Transparenz und decken systemische Schwachstellen auf zur Stärkung Ihrer Cyber-Resilienz.

  1. Schwerpunktauswahl und Scoping

    Zu Beginn definieren wir gemeinsam mit Ihnen die relevanten Sicherheitsmaßnahmen und den Betrachtungsgegenstand. So stellen wir sicher, dass die Prüfung auf Ihre individuellen Risiken und Prioritäten zugeschnitten ist.
  2. Aufnahme und Design-Prüfung

    Wir führen Experteninterviews, Befragungen und Dokumentenreviews durch. Dabei bewerten wir, ob Ihre Prozesse und Kontrollen im Design („Soll-Zustand“) angemessen gestaltet sind, um die Cyber Sicherheitsziele zu erreichen.
  3. Wirksamkeitsprüfung

    Hier gehen wir in die Tiefe: Durch Systemeinsichten, Stichprobenprüfungen und Toolgestützte technische Analysen überzeugen wir uns von der operativen Umsetzung der Maßnahmen. So erkennen wir, ob diese auch tatsächlich im Betrieb funktionsfähig sind.
  4. Validierung und Management-Reporting

    Wir konsolidieren unsere Ergebnisse, validieren die Erkenntnisse und bereiten ein Management-Report auf, der Transparenz über den Status Quo schafft und klare, priorisierte Handlungsempfehlungen enthält, als belastbare Grundlage die Weiterentwicklung Ihrer Informationssicherheit.

Eine Auswahl unserer Cyber-Prüfbereiche – mit Fokus und Tiefgang

SIEM

Security Information and Event Management

Warum ist das relevant? 

Ein SIEM sind die Ohren und Augen in der IT, ohne ein SIEM können verdächtige Ereignisse nicht erkannt werden und keine Maßnahmen abgeleitet werden, die IT ist „blind“.

Was betrachten wir? 

Werden tatsächlich alle relevanten Systeme überwacht und die richtigen Daten erhoben? Wird tatsächlich auch auf die richtigen Muster/Indikatoren analysiert? Wie geht das Sicherheitsteam tatsächlich mit erkannten Abweichungen um?

Active Directory/Identity Management Security

Warum ist das relevant?

Das Active Directory ist die wesentliche Komponente zur Steuerung des Zugriffs auf die Infrastruktur. Schwächen in diesen Systemen bedeuten ein hohes Risiko, gleichzeitig führt ein Ausfall/Fehler zu weitreichenden Störungen. 

Was betrachten wir? 

Konfiguration und Design des Active Directory, Vergabe und Nutzung von Administratorenberechtigungen, Synchronisation und Schnittstellen sowie Überwachung und Monitoring.

Netzwerksicherheit

Warum ist das relevant?

Umgesetzte Maßnahmen der Netzwerksicherheit (Firewalls, Netzwerksegmentierung, Netzwerkübergänge) sind wesentliche Komponenten, um einen Angriff zu verhindern oder eine Ausbreitung in der Organisation einzuschränken.

Was betrachten wir? 

Aufbau des Netzwerks, und eingerichtete Maßnahmen zur Sicherung des Netzwerks. Reglementierung des Netzwerkverkehrs sowohl an Schnittstellen nach außen aber auch innerhalb des Netzwerks.

Schwachstellen- und Patchmanagement

Warum ist das relevant?

Die Überwachung des Softwarestands auf bekannte Schwachstellen und die zeitnahe Aktualisierung sind wesentliche Maßnahmen, um das Ausnutzen von Schwachstellen im Rahmen von Angriffen zu verhindern.

Was betrachten wir? 

Wir analysieren, ob tatsächlich alle Systeme dauerhaft überwacht und auch regelmäßig und zeitnah aktualisiert werden. Sofern es Ausnahmen gibt, vollziehen wir nach, ob ausreichend alternative Sicherheitsmaßnahmen ergriffen werden.

IT Service Continuity/IT-Notfallmanagement

ITSCM

Warum ist das relevant?

Ein IT-Ausfall sorgt schnell für massive Störungen im Geschäftsbetrieb und erzeugt Finanz- aber auch Reputationsschäden. Eine umfassende IT Service Continuity und Notfallplanung senkt das Risiko für IT-Unterbrechungen und sorgt für eine angemessene Wiederherstellungszeit.

Was betrachten wir? 

Wir analysieren im Detail wie die Verfügbarkeit der IT-Services technisch sichergestellt wird und wesentliche Risiken berücksichtigt werden. Darüber hinaus betrachten wir IT-Notfallpläne im Detail, ob diese realistisch in der geplanten Zeit umgesetzt werden können und die technischen Voraussetzungen hierfür auch tatsächlich gegeben sind.

Change- & Testmanagement

Anwendungsentwicklung

Warum ist das relevant?

Die Entwicklung von Software und deren Übernahme in den produktiven Betrieb beinhalten zahlreiche Risiken, welche durch umfangreiche Maßnahmen kontrolliert werden müssen. 

Was betrachten wir? 

Für kritische Applikationen vollziehen wir den Entwicklungspfad anhand konkreter Fälle nach und evaluieren, inwiefern relevante Risiken bestehen. Beispielsweise ob genutzte Bibliotheken oder Open-Source-Software ausreichend auf Sicherheit geprüft wurden oder eine ausreichende (Sicherheits-)Testdurchführungen erfolgte.

Follow us

Contact us

Jörg Botsch

Jörg Botsch

Partner, Risk & Regulatory | Cyber, PwC Germany

Tel.: +49 160 5363 994

Robert Eberhard

Robert Eberhard

Senior Manager, IT Reliability, Risk & Compliance, PwC Germany

Hans Michael Koch

Hans Michael Koch

Manager, PwC Germany

Tel.: +49 1516 7802822

Hide