Bedrohungsanalysen, Schwachstellenmanagement und Sicherheitsvorfallsbearbeitung
Seit mehr als 20 Jahren unterstützt Zentric flexibel und unkompliziert bei Bedrohungsanalysen, Schwachstellenmanagement sowie der Bewertung und Bearbeitung von Sicherheitsvorfällen bis hin zur forensischen Analyse und Koordination bei Sicherheitsvorfällen.

Sicherheitsvorfall?

Produkte

Software-Plattformen und Tools für professionelle Informationssicherheit

Im Falle eines IT-Sicherheitsvorfalls benötigen Sie schnelle Unterstützung.
Zeit ist ein kritischer Faktor, und schnelles Handeln ist gefragt.
Rufen Sie uns an oder senden Sie eine E-Mail per Glocke.
   

Services

Business Continuity Management

Business Continuity Management (BCM) ist ein kritischer Aspekt der Unternehmensführung, der sicherstellt, dass Ihre Organisation auch in Zeiten von Krisen, Naturkatastrophen oder Cyberangriffen weiterhin funktionsfähig bleibt. Wir unterstützen Sie beim Aufbau eines umfassenden BCM-Frameworks, das Ihre wertvollen Geschäftsprozesse schützt und die Kontinuität Ihrer Dienste gewährleistet.

Was ist Business Continuity Management?

Business Continuity Management ist ein ganzheitlicher Ansatz zur Gewährleistung, dass Ihre Organisation ihre kritischen Geschäftsfunktionen aufrechterhalten oder schnell wiederherstellen kann, wenn eine Störung auftritt. Dies umfasst die Identifikation kritischer Prozesse, die Bewertung von Risiken und die Entwicklung von Strategien zur Risikominderung und Wiederherstellung.

Unsere BCM-Dienstleistungen umfassen:

1. Business Impact Analysis (BIA):
Wir analysieren Ihre Geschäftsprozesse und deren Abhängigkeiten, um kritische Funktionen zu identifizieren und die Auswirkungen einer potenziellen Unterbrechung zu quantifizieren. Dies hilft Ihnen, Prioritäten bei der Wiederherstellung zu setzen.

2. Risikoanalyse und -bewertung:
Wir führen eine umfassende Analyse durch, um potenzielle Bedrohungen für Ihre Geschäftskontinuität zu identifizieren und zu bewerten. Dazu gehören Szenarien wie IT-Ausfälle, Naturkatastrophen, Cyber-Bedrohungen, Lieferkettenunterbrechungen und mehr.

3. Strategie und Planung:
Basierend auf unserer Analyse entwickeln wir maßgeschneiderte BCM-Strategien, einschließlich Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO), um sicherzustellen, dass Ihre Organisation schnell und effektiv reagieren kann.

4. Plan- und Dokumentationsentwicklung:
Wir helfen Ihnen, detaillierte Business Continuity und Disaster Recovery Pläne zu erstellen und zu dokumentieren, die Ihre Organisation in Krisensituationen handlungsfähig halten.

5. Training und Awareness:
Wir bieten Schulungen für Ihre Mitarbeiter, um Bewusstsein für Business Continuity zu schaffen und sicherzustellen, dass alle über ihre Rollen und Verantwortungen in Krisensituationen informiert sind.

6. Testing und Übungen:
Wir führen regelmäßige Tests und Übungen durch, um die Effektivität Ihrer BCM-Pläne zu überprüfen und Verbesserungspotenziale zu identifizieren.

Standards und Best Practices:

ISO/IEC 27031: Dieser Standard bietet Richtlinien für Informations- und Kommunikationstechnologie (ICT) Readiness für Business Continuity und schließt Anforderungen an IT-basierte Geschäftskontinuitätsfähigkeiten ein.

ISO 22301:2019: Dieser Standard legt internationale Anforderungen für Managementsysteme für Business Continuity Management fest. Er schafft einen Rahmen für die Vorbereitung auf, Reaktion auf und Wiederherstellung von Unterbrechungen der Geschäftstätigkeit.

NIST Business Continuity Planning Guide: Dieser Leitfaden bietet umfassende Richtlinien für die Entwicklung und Implementierung effektiver BCM-Programme in Organisationen.

Warum ist BCM wichtig?

In der heutigen vernetzten und digitalen Welt können Unterbrechungen der Geschäftstätigkeit erhebliche finanzielle und reputationsmäßige Auswirkungen haben. Ein solides BCM-Programm hilft Ihnen, die Sicherheit Ihrer Daten zu gewährleisten, die Betriebskontinuität zu sichern und schneller auf Krisen zu reagieren, um Verluste zu minimieren.

Digitale Forensik

Wir bieten umfassende digitale Forensik-Dienstleistungen an, um Sicherheitsvorfälle zu untersuchen und zu analysieren. Unsere Experten nutzen fortschrittliche Techniken, um digitale Beweise zu sichern, die Ihnen helfen, das Ausmaß von Angriffen zu verstehen und Ihre Systeme gegen zukünftige Angriffe zu schützen.

Incident Handling und Vulnerability Management

Wir unterstützen Sie beim Aufbau robuster Rahmenwerke für Incident Handling und Vulnerability Management. Unser Ansatz stellt sicher, dass Ihre Organisation effektiv Bedrohungen identifizieren, darauf reagieren und diese mindern kann, um potenzielle Schäden und Ausfallzeiten zu minimieren.

Incident Response

Bedrohungsidentifikation:
Wir helfen Ihnen, potenzielle Bedrohungen frühzeitig zu erkennen, indem wir Ihre Systeme und die jeweilige Peripherie kontinuierlich überwachen und auf Schwachstellen prüfen.

Beispiel: Durch regelmäßige Überprüfungen Ihrer Komponenten auf Schwachstellen, steigt die Wahrscheinlichkeit, das diese Schwachstellen in Ihren Softwarekomponenten entdeckt und behoben werden, bevor Angreifer diese ausnutzen können. Nicht behobene Schwachstellen entsprechen in Etwa einer weit geöffneten Handtasche mit Blick auf die Geldbörse.

Reaktionsstrategien:
Wir entwickeln maßgeschneiderte Reaktionspläne (Incident Response Plan), die helfen, dass Ihre Organisation schnell und effizient auf Sicherheitsvorfälle reagieren kann.

Beispiel: Im Falle eines Datenlecks haben Sie sofortigen Zugang zu einem klar definierten Plan, der Schritte zur Eindämmung, Untersuchung und Benachrichtigung der betroffenen Parteien enthält. Im Ereignisfall steht keine Zeit zur Verfügung derartige Pläne zu entwerfen oder gar zu diskutieren.

Risikominderung:
Durch die Implementierung bewährter Prozesse und Praktiken reduzieren Sie die Wahrscheinlichkeit und nehmen Schaden von Ihren Komponenten bei Sicherheitsvorfällen.

Beispiel: Die Einführung einer Zwei-Faktor-Authentifizierung oder Verschlüsselung an der richtigen Stelle, kann das Risiko unbefugten Zugriffs erheblich verringern.

Schulung und Sensibilisierung:
Wir bieten Schulungen für Ihre Mitarbeiter an, um das Bewusstsein für Sicherheitsbedrohungen zu schärfen, aber auch die Fertigkeit zu erlangen, damit praktisch umzugehen.

Beispiel: Regelmäßige Schulungen und Übungen über den Umgang mit Angriffen verringert die Wahrscheinlichkeiteines Erfolgs von Angreifern.

Vorfallanalyse und Forensik:
Im Falle eines Sicherheitsvorfalls unterstützen wir Sie bei der forensischen Koordination und Analyse, um die Ursache des Vorfalls zu ermitteln und zukünftige Angriffe zu verhindern. Dazu gehört auch der Umgang mit Angreifern, Behörden und Anwaltskanzleien.

Beispiel: Nach einem Cyberangriff analysieren unsere Experten die Spuren des Angriffs, um zu verstehen, wie der Angreifer in das System eingedrungen ist und welche Maßnahmen ergriffen werden müssen, um ähnliche Vorfälle in Zukunft zu verhindern.

Standards, Frameworks und Best Practice:
Wir nutzen gern Standards bei der Planung und Einführung neuer Prozesse. Für die Themen Incident Response und Vulnerability Handling bieten sich hierbei folgende an:

Incident Handling
ISO/IEC 27035: Dieser Standard bietet eine umfassende Anleitung für das Management von Informationssicherheitsvorfällen und umfasst die Phasen Planung und Vorbereitung, Erkennung und Meldung, Bewertung und Entscheidung, Reaktion sowie Lernprozesse. Weitere Informationen finden Sie auf der Webseite des ISO/IEC 27035-Standards.

NIST Special Publication 800-61: Dieser Leitfaden des National Institute of Standards and Technology (NIST) beschreibt detailliert den Prozess des Incident Handlings in den USA. Er umfasst die Phasen Vorbereitung, Erkennung und Analyse, Eindämmung, Ausrottung, Wiederherstellung und Nachbearbeitung. Mehr dazu auf der NIST-Webseite.

SANS Incident Handler’s Handbook: Dieses Handbuch bietet praxisorientierte Anweisungen und Best Practices für das Incident Handling und deckt alle Phasen von der Vorbereitung bis zur Nachbearbeitung ab. Es ist eine häufig genutzte Ressource für Sicherheitsfachleute weltweit. Mehr finden sie hier. 

FIRST (Forum of Incident Response and Security Teams) Best Practices: FIRST bietet globale Best Practices und Richtlinien für Incident Response Teams und fördert die Zusammenarbeit und den Informationsaustausch zwischen verschiedenen Teams. Mehr finden Sie hier. 


Vulnerability Handling

NIST SP 800-216: Diese spezielle Publikation bietet Empfehlungen für die Einrichtung eines Bundesrahmens für die Offenlegung von Schwachstellen. Sie betont die Wichtigkeit eines strukturierten Prozesses zur Annahme, Bestätigung, Analyse und Lösung von Schwachstellenberichten. Dies umfasst auch klare Kommunikationswege, um Sicherheitslücken zu minimieren oder zu beseitigen. Weitere Informationen finden Sie hier.


ISO/IEC 30111:2019: Dieser Standard bietet Richtlinien für die Bearbeitung und Behebung gemeldeter potenzieller Schwachstellen in Produkten oder Dienstleistungen. Er richtet sich an Anbieter, die mit Schwachstellen umgehen müssen. Weitere Details finden Sie hier. 


ISO/IEC 29147:2018: Dieser Standard konzentriert sich auf die Offenlegung von Schwachstellen und stellt sicher, dass Informationen über Schwachstellen effektiv und sicher zwischen den beteiligten Parteien ausgetauscht werden. Mehr Informationen finden Sie hier. 


OWASP Vulnerability Management Guide (VMG): Dieser Leitfaden bietet umfassende Anweisungen zur Einrichtung eines effektiven Schwachstellenmanagementprogramms. Er deckt den gesamten Lebenszyklus des Schwachstellenmanagements ab, einschließlich Vorbereitung, Erkennung, Berichtswesen und Behebung. Der Leitfaden betont die Bedeutung eines kontinuierlichen Prozesses, der auf Risikoentscheidungen basiert, und hilft dabei, die richtigen Fragen zu stellen und ein robustes Programm zu integrieren. Weitere Informationen finden Sie hier.


Das OWASP Vulnerability Management Center (VMC) bietet umfassende Ressourcen und Anleitungen zur Verwaltung von Sicherheitslücken. Es umfasst den gesamten Lebenszyklus des Schwachstellenmanagements, einschließlich Erkennung, Priorisierung, Behebung und Berichterstattung. Das VMC zielt darauf ab, Organisationen dabei zu unterstützen, Schwachstellen systematisch und effizient zu handhaben, indem es bewährte Verfahren und Tools bereitstellt. Es richtet sich sowohl an technische als auch nicht-technische Fachleute und ihre Manager, um ein robustes Sicherheitsprogramm zu gewährleisten. Mehr finden Sie hier. 

Durch diese umfassenden Dienstleistungen stellen wir sicher, dass Ihre Organisation nicht nur auf aktuelle Bedrohungen vorbereitet ist, sondern auch langfristig eine starke Sicherheitskultur entwickelt.

Incident Response Dry Run / Drill

Ein Incident Response Dry Run oder Drill ist eine Simulation eines realen Cybersicherheitsvorfalls, die es Ihrer Organisation ermöglicht, ihre Reaktionsfähigkeit zu testen und zu verbessern, ohne dabei echte Systeme oder Prozesse zu gefährden. Diese proaktive Übung ist essentiell, um sicherzustellen, dass Ihr Team im Krisenfall schnell und effektiv handeln kann.

Was ist ein Incident Response Dry Run?

Ein Incident Response Dry Run ist eine kontrollierte Übung, bei der ein Incident Response Plan unter realistischen Bedingungen getestet wird. Im Gegensatz zu einem vollständigen Penetration Test liegt der Fokus nicht auf der technischen Ausnutzung von Sicherheitslücken, sondern auf der Evaluation der organisatorischen und prozessualen Reaktion auf einen Sicherheitsvorfall.

Unsere IR Dry Run / Drill Dienstleistungen umfassen:

1. Szenarioentwicklung:
Wir entwickeln realistische Angriffsszenarien basierend auf den spezifischen Risiken Ihrer Organisation. Dies können Ransomware-Angriffe, Datenlecks, Insider-Bedrohungen oder andere relevante Szenarien sein.

2. Planung und Durchführung:
Wir planen die Übung im Detail, legen Timeline fest, definieren die beteiligten Teams und stellen sicher, dass alle notwendigen Kommunikationswege etabliert sind. Die Durchführung erfolgt in kontrollierten Schritten mit vordefinierten "Injects" (Informationen oder Ereignisse, die während der Übung eingeführt werden).

3. Teamevaluierung:
Wir beobachten und dokumentieren, wie Ihr Team auf die simulierten Vorfälle reagiert. Dies umfasst die Bewertung von Reaktionsgeschwindigkeit, Entscheidungsfindung, Kommunikation und Koordination zwischen verschiedenen Abteilungen.

4. Schwachstellenerkennung:
Während des Drills identifizieren wir Lücken in Ihren Prozessen, fehlende Ressourcen, unklare Verantwortlichkeiten und andere Verbesserungsmöglichkeiten in Ihrem Incident Response Plan.

5. Feedback und Nachbesprechung (After-Action Review):
Nach dem Drill führen wir eine detaillierte After-Action Review durch, in der wir die Ergebnisse analysieren, Erkenntnisse vermitteln und konkrete Verbesserungsmaßnahmen empfehlen.

6. Bericht und Handlungsempfehlungen:
Wir erstellen einen umfassenden Bericht mit Findings, Best Practices und priorisierten Empfehlungen zur Stärkung Ihrer Incident Response Fähigkeiten.

Typen von IR Dry Runs:

Tabletop Exercise: Eine informelle Diskussionsrunde, bei der Szenarien besprochen werden, ohne vollständige technische Implementierung. Ideal für kleine Teams oder Einsteigerorganisationen.

Partial Drill: Ein ausgewählter Bereich oder eine spezifische Phase des Incident Response wird simuliert, z.B. nur die Detection- und Analysis-Phase.

Full-Scale Drill: Eine vollständige Simulation des gesamten Incident Response Prozesses mit allen beteiligten Teams und Systemen.

Warum sind IR Dry Runs wichtig?

- Identifikation von Lücken: Zeigt Schwachstellen im Incident Response Plan, bevor ein echter Vorfall auftritt
- Teampräparation: Trainiert Ihre Teams und schafft Vertrauen in ihre Fähigkeiten
- Prozeßverbesserung: Hilft, Prozesse und Abläufe zu optimieren
- Compliance: Erfüllt regulatorische Anforderungen, die regelmäßige Tests fordern (z.B. NIS2, GDPR)
- Reduktion von Reaktionszeit: Mit geübten Prozessen reagiert Ihr Team schneller auf echte Vorfälle

Standards und Best Practices:

NIST SP 800-61 (Rev. 2): Empfiehlt regelmäßige Übungen und Tests des Incident Response Plans als Teil des kontinuierlichen Verbesserungsprozesses.

ISO/IEC 27035: Schreibt regelmäßige Überprüfung und Tests von Incident Response Prozessen vor.

SANS Incident Handler's Handbook: Betont die Wichtigkeit von Simulationen und Trainingsmaßnahmen zur Verbesserung der Response Fähigkeiten.

NIST Cybersecurity Framework: Die "Respond" Funktion enthält die Anforderung zur regelmäßigen Überprüfung und Verbesserung von Response Prozessen.

Unsere IR Drill Plattform - Advanced Features:

Wir nutzen eine moderne Incident Response Trainingsplattform, die folgende fortgeschrittene Funktionalitäten bietet:

1. Echtzeit Dashboard & Überwachung:
Ein zentrales Dashboard für die Echtzeit-Überwachung und Koordination des Drills mit:
- Übersicht über alle laufenden und geplanten Übungen
- Live-Statusanzeigen für jeden Teilnehmer und jede Phase
- Echtzeit-Updates mit WebSocket-Technologie (< 100ms Latenz)
- Fallback-Mechanismen für zuverlässige Übertragung auch bei Netzwerkproblemen

2. Scenario Management & Szenario-Generator:
Professionelle Verwaltung von Trainingsszenarien:
- Bibliothek mit vordefinierten Szenarien (Ransomware, Phishing, DDoS, Datenlecks, Insider-Bedrohungen)
- Möglichkeit zur Erstellung benutzerdefinierter Szenarien basierend auf Ihrer spezifischen Bedrohungslandschaft
- Schwierigkeitsstufen und zeitliche Eskalation
- Filteroptionen nach Angriffstyp, Schwierigkeitsgrad und beteiligten Systemen

3. Automatisierte "Inject" Verwaltung:
Intelligente Steuerung von Zwischenereignissen während des Drills:
- Vordefinierte Injects (Nachrichten, Updates, neue Bedrohungen) werden zeitgesteuert eingespielt
- Automatische Anpassung der Angriffsmuster basierend auf Teamreaktionen
- Notifikationssystem (Toast-Benachrichtigungen in Echtzeit)
- Protokollierung aller Injects und Reaktionen für spätere Analyse

4. Kommunikations- & Kollaborationstools:
Integrierte Kommunikation für verteilte Teams:
- Echtzeit-Chat für schnelle Abstimmung zwischen Teams
- Getrennte Kanäle für verschiedene Rollen (Management, IT-Security, Netzwerk, etc.)
- Video-Call Integration für Echtzeit-Besprechungen
- Dokumentation aller Entscheidungen und Kommunikation während des Drills

5. Erweiterte Beobachtung & Dokumentation:
Umfassende Erfassung aller Aktivitäten:
- Automatische Zeitstempel für alle Aktionen und Reaktionen
- Video-Aufzeichnung des gesamten Drills (optional)
- Detaillierte Logs aller Inject-Ausführungen
- Kommentarfunktion für Beobachter zur Echtzeitnotizen
- Bewertungsskalen für Performance-Metriken während des Drills

6. Rollen- & Aufgabenverwaltung:
Realistische Rollenverteilung und Aufgabenverfolgung:
- Zuweisung spezifischer Rollen zu Teilnehmern (Incident Commander, Security Team, Communication, Executive Management)
- Dynamische Rollenanpassungen während des Drills
- Individuelle Aufgaben und Checklisten für jede Rolle
- Verfolgung der Leistung einzelner Personen und Teams

7. Automatisierte Berichterstellung & Analyse:
Detaillierte Auswertung nach dem Drill:
- Automatische Erstellung von Berichten mit Key Performance Indicators (KPIs)
- Visualisierungen und Diagramme:
  - Reaktionszeit-Analyse pro Phase
  - Eindämmungsrate und -geschwindigkeit
  - Wiederherstellungszeit (Recovery Time)
  - Teamleistungs-Scores und individuelle Bewertungen
- Vergleich mit früheren Drills und Branchenbenchmarks
- Export-Optionen (PDF, Excel) für verschiedene Stakeholder

8. After-Action Review (AAR) & Nachbereitung:
Strukturierte Lessons-Learned Sessions:
- Interaktive AAR-Meetings mit geleiteten Diskussionen
- Automatische Generierung von Talking Points basierend auf beobachteten Lücken
- Empfehlungen für Verbesserungen priorisiert nach Kritikalität
- Zuweisung von Verbesserungsmaßnahmen an verantwortliche Personen
- Follow-up Tracking zur Sicherstellung der Umsetzung

9. Archivierung & Historische Analyse:
Langfristige Verwaltung und Trendanalyse:
- Archivierung aller Drill-Daten für Compliance und Audit-Zwecke
- Vergleichende Analyse über mehrere Drills hinweg
- Identifikation von Trends und wiederkehrenden Schwachstellen
- Messung von Verbesserungen über Zeit
- Datenexporte für externe Audits

10. Flexible Durchführungsmodi:
Verschiedene Formate je nach Organisationsreife:
- Tabletop Exercise: Diskussionsbasiert, ideal für strategisches Training
- Simulated (Partial) Drill: Teilweise automatisiert, Tests spezifischer Funktionen
- Full-Scale Exercise: Vollständige Simulation mit echten Systemen und Prozessen
- Hybrid Mode: Kombination verschiedener Ansätze

Praktische Beispiele von Drill-Szenarien:

Szenario 1: Ransomware-Angriff
Ziel: Test der Erkennung, Eindämmung und Wiederherstellung
- Inject 0': Verdächtige Dateien auf File-Server entdeckt
- Inject 5': Ransomware verschlüsselt Daten, Lösegeldforderung erscheint
- Inject 10': Weitere Systeme werden infiziert
- Inject 15': Externe Benachrichtigung von betroffenen Kunden erhalten
- Messung: Reaktionszeit, Eindämmungserfolg, Geschwindigkeit der Isolation

Szenario 2: Datenleck / DSGVO-Incident
Ziel: Test von Erkennung, Benachrichtigung und Compliance-Response
- Inject 0': Anomale Datenzugriffe auf Kundendatenbank
- Inject 5': Bestätigung: 50.000 Kundendatensätze exfiltriert
- Inject 10': Anwalt und Behörden müssen benachrichtigt werden
- Inject 15': Mediendruck und öffentliche Ankündigung erforderlich
- Messung: Zeit bis Behördenbenachrichtigung, Kommunikationseffektivität, Compliance-Einhaltung

Szenario 3: Supply-Chain-Angriff
Ziel: Test der Lieferkettenresilienz und Eskalation
- Inject 0': Kritischer Softwareanbieter geknackt
- Inject 5': Updates enthalten Malware
- Inject 10': Mehrere interne Systeme infiziert
- Inject 15': Feststellung: Produktionsumgebung ist betroffen
- Messung: Patch-Management-Effektivität, Auswirkungsanalyse, Geschäftskontinuität

Messbarer Erfolg:
- Reaktionszeit: Durchschnittliche Zeit von Detektion bis erste Aktion (Ziel: < 10 Minuten)
- Eindämmungsquote: Prozentsatz der infizierten Systeme, die isoliert wurden (Ziel: > 95%)
- Eskalations-Effektivität: Korrekte Escalation an richtige Personen (Ziel: 100%)
- Kommunikations-Timing: Zeit bis externe Benachrichtigung (Ziel: < 72 Stunden gemäß GDPR)
- Team-Koordination: Qualität der Zusammenarbeit zwischen Teams (Ziel: High-Performance Score)

Cyber Security Risk Management

Jegliche Sicherheitsbemühungen entspringen unserer Sorge über die Gefährdung unserer Unversehrtheit. Unsicherheit bedeutet Gefährdung. Wie gravierend ist diese Gefährdung? Wie wahrscheinlich ist sie? Können wir sie erkennen, wenn sie sich abzeichnet? Sind wir in der Lage, den potenziellen Schaden korrekt einzuschätzen, und was können wir gegen die Bedrohung und die daraus resultierenden Risiken unternehmen? Sicherheit zu gewährleisten bedeutet stets, Risiken zu erkennen, zu bewerten und irgendwie unter Kontrolle zu bringen.

Standards, Frameworks und Best Practise:

ISO/IEC 27005: Dieser Standard bietet Richtlinien für das Informationssicherheits-Risikomanagement und ist ein integraler Bestandteil des ISO/IEC 27001-Standards für Informationssicherheitsmanagementsysteme (ISMS). Er unterstützt Organisationen dabei, Risikobewertungen im Kontext ihrer Informationssicherheitsziele durchzuführen. Weitere Details finden Sie hier.


NIST Risk Management Framework (RMF): Der RMF-Standard von NIST integriert Sicherheits- und Datenschutzrisikomanagement in den Systementwicklungslebenszyklus. Es umfasst die Schritte Vorbereitung, Kategorisierung, Auswahl, Implementierung, Bewertung, Autorisierung und kontinuierliche Überwachung. Mehr dazu erfahren Sie hier.

Warum ist es wichtig?
In der heutigen digitalen Wirtschaft können Sicherheitslücken erhebliche finanzielle und operationelle Auswirkungen haben. Ein gründliches Cybersecurity Due Diligence Assessment hilft Unternehmen:
- Risiken zu identifizieren und zu minimieren: Frühzeitige Erkennung von Sicherheitslücken, die die Geschäftskontinuität und den Ruf beeinträchtigen könnten.
- Wert zu bewahren und zu steigern: Sicherstellen, dass das Zielunternehmen oder Produkt den Sicherheitsstandards entspricht, um potenzielle Investitionen zu schützen.
- Regulatorische Konformität zu gewährleisten: Sicherstellen, dass das Unternehmen den relevanten gesetzlichen und regulatorischen Anforderungen entspricht, um rechtliche und finanzielle Konsequenzen zu vermeiden.

Bestandteile eines Cybersecurity Due Diligence Assessments

1. Technische Bewertung:
- Überprüfung der Netzwerksicherheit, inklusive Firewalls, Intrusion Detection/Prevention Systeme (IDS/IPS) und Verschlüsselungsmethoden.
- Durchführung von Penetrationstests und Schwachstellenanalysen.
- Bewertung des Zugriffsmanagements und der Identitätssicherung.

2. Richtlinien und Verfahren:
- Analyse bestehender Sicherheitsrichtlinien und -protokolle.
- Bewertung der Incident-Response- und Disaster-Recovery-Pläne.
3. Compliance-Prüfung:
- Überprüfung der Einhaltung von Standards wie ISO 27001, GDPR, NIST und branchenspezifischen Vorschriften.
4. Bewertung der Sicherheitskultur und Schulungen:
- Bewertung der Schulungsprogramme zur Sensibilisierung der Mitarbeiter für Cybersicherheit.
- Analyse der allgemeinen Sicherheitskultur im Unternehmen.
5. Analyse früherer Sicherheitsvorfälle:
Untersuchung und Bewertung vergangener Sicherheitsvorfälle und der getroffenen Abhilfemaßnahmen.

Vorteile für Unternehmens- und Produktentwicklungskäufe
- Risikominimierung: Durch die Identifizierung von Sicherheitslücken vor dem Kauf können Maßnahmen ergriffen werden, um diese zu beheben und potenzielle Risiken zu mindern.
- Fundierte Entscheidungen: Ein detailliertes Verständnis der Cybersecurity-Lage des Zielunternehmens ermöglicht fundiertere Kaufentscheidungen.
- Verbesserte Verhandlungsmacht: Die Kenntnis der Cybersicherheitsrisiken kann bei der Verhandlung des Kaufpreises und der Vertragsbedingungen von Vorteil sein.
- Sicherstellung der Geschäftskontinuität: Vermeidung von Unterbrechungen und finanziellen Verlusten durch nicht erkannte Sicherheitslücken nach der Übernahme.

Beispiel einer erfolgreichen Integration
Ein führendes Technologieunternehmen plante die Übernahme eines Startups, das innovative IoT-Produkte entwickelt. Durch ein gründliches Cybersecurity Due Diligence Assessment konnten sie erhebliche Sicherheitslücken in der IoT-Plattform des Startups identifizieren. Diese Erkenntnisse führten zu gezielten Sicherheitsverbesserungen vor der Integration, wodurch das Risiko von Cyberangriffen erheblich reduziert und der langfristige Erfolg der Akquisition gesichert wurde.

Kontaktieren Sie uns
Sind Sie an einem Cybersecurity Due Diligence Assessment interessiert, um Ihre nächsten Unternehmens- oder Produktentwicklungskäufe abzusichern? Kontaktieren Sie uns noch heute, um eine Beratung zu erhalten und sicherzustellen, dass Ihre Investitionen geschützt sind.

Incident Response Übungen

In der heutigen digitalen Welt sind Cyberangriffe eine ständige Bedrohung für Organisationen aller Größen und Branchen. Um sicherzustellen, dass Ihr Team auf solche Angriffe optimal vorbereitet ist, bieten wir maßgeschneiderte Cybersecurity Incident Response Übungen an. Diese Übungen sind speziell auf die Bedürfnisse Ihrer Organisation zugeschnitten und simulieren reale Angriffsszenarien. Dadurch helfen wir Ihrem Team, Reaktionsstrategien zu üben und zu verfeinern, um die allgemeine Bereitschaft und Widerstandsfähigkeit zu verbessern.

Was wir bieten:

• Planung und Koordination: Unsere Experten planen und koordinieren umfassende Incident Response Übungen, die auf Ihre spezifischen Anforderungen und Risiken abgestimmt sind. Wir berücksichtigen dabei Ihre bestehenden Sicherheitsrichtlinien, Infrastrukturen und potenziellen Bedrohungen.
• Realistische Szenarien: Wir simulieren eine Vielzahl von realistischen Angriffsszenarien, die verschiedene Arten von Cyberbedrohungen abdecken. Dazu gehören unter anderem Phishing-Angriffe, Ransomware-Attacken, Insider-Bedrohungen und Advanced Persistent Threats (APTs).
• Umfangreiche Injects und Techniken: Unsere Übungen beinhalten eine breite Palette von Injects und Techniken, um unterschiedliche Aspekte Ihrer Incident Response Fähigkeiten zu testen. Dies umfasst technische Herausforderungen, kommunikative Anforderungen und organisatorische Reaktionsprozesse.
• Evaluation und Feedback: Nach jeder Übung bieten wir eine umfassende Auswertung und detailliertes Feedback an. Dies umfasst die Bewertung der Erkennungs- und Reaktionsgeschwindigkeit, die Effektivität der Maßnahmen und die Kommunikation innerhalb des Teams.

Bewertungskriterien:

Um die Effektivität und Effizienz Ihrer Incident Response Fähigkeiten zu bewerten, verwenden wir eine strukturierte Methodik basierend auf folgenden Kriterien:

• Erkennung und Identifizierung: Schnelligkeit und Genauigkeit bei der Erkennung und Identifizierung von Vorfällen.
• Analyse und Bewertung: Gründlichkeit und Richtigkeit der Analyse sowie die Dokumentation der Vorfälle.
• Reaktion und Eindämmung: Geschwindigkeit und Effektivität der Reaktions- und Eindämmungsmaßnahmen sowie die interne und externe Koordination.
• Behebung und Wiederherstellung: Vollständigkeit der Behebung, Geschwindigkeit der Wiederherstellung und Verifizierung der Maßnahmen.
• Kommunikation: Effektivität der internen und externen Kommunikation sowie die Transparenz gegenüber Stakeholdern.
• Lehren und Verbesserungen: Erkenntnisgewinn aus Vorfällen und Umsetzung von Verbesserungsmaßnahmen zur Stärkung der Sicherheitslage.
• Einhaltung von Richtlinien und Protokollen: Befolgung interner und externer Sicherheitsrichtlinien sowie Einhaltung rechtlicher und regulatorischer Vorgaben.
• Technische Aspekte: Einsatz geeigneter Tools und Technologien sowie Anwendung von technischem Know-how.

Ihr Vorteil:

Durch unsere maßgeschneiderten Incident Response Übungen verbessern Sie die Reaktionsfähigkeit und Widerstandsfähigkeit Ihrer Organisation gegenüber Cyberbedrohungen. Ihr Team wird in der Lage sein, schneller und effektiver auf Angriffe zu reagieren, Schadensbegrenzung zu betreiben und die Kontinuität Ihres Geschäftsbetriebs zu gewährleisten.

Kontaktieren Sie uns noch heute, um mehr darüber zu erfahren, wie unsere Incident Response Übungen Ihre Sicherheitslage stärken können.

Einführung von Cyber Security Standards in Schlüsselindustrien

Wir sind auf die Implementierung von Cyber- und Information Security Standards in verschiedenen Branchen spezialisiert und stellen sicher, dass Ihre Organisation die höchsten Sicherheitsstandards einhält und den Branchenvorschriften entspricht.

Halbleiter:
- ISO/IEC 27001, ein international anerkannter Standard für Informationssicherheitsmanagementsysteme (ISMS), der einen systematischen Ansatz zum Schutz sensibler Informationen bietet.
- IEC 62443, ein international anerkannter Standard, der sich auf die Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS) konzentriert und Best Practices für den Schutz kritischer Infrastrukturen und Industrieanlagen bietet.
- ISO/IEC 15408, auch bekannt als Common Criteria, ist ein international anerkannter Standard für die Evaluierung der Sicherheitseigenschaften von Informationstechnologie-Produkten. Der Standard bietet einen Rahmen für die Bewertung und Zertifizierung der Sicherheitseigenschaften von IT-Systemen und -Produkten, um sicherzustellen, dass sie bestimmte Sicherheitsanforderungen erfüllen.

Automobil:
- ISO/SAE 21434, Ein internationaler Standard, der die Anforderungen an das Management der Cybersicherheit in der Automobilindustrie festlegt. Er bietet Leitlinien für den gesamten Lebenszyklus eines Fahrzeuges.
- ISO 26262,
- TISAX (Trusted Information Security Assessment Exchange)

Gesundheitswesen:
- HIPAA (Health Insurance Portability and Accountability Act),
- ISO/IEC 27799,
- IEC 62304

Zivilluftfahrt:
- DO-326A/ED-202A,
- DO-356A/ED-203A,
- DO-355A/ED-204A,
- ISO/IEC 27001

Eisenbahn:
- TS 50701,
- IEC 62443,
- ISO/IEC 27001

Due Dilligence

Cybersecurity Due Diligence: Was ist ein Cybersecurity Due Diligence Assessment und wie funktioniert es?

In der heutigen digitalen Welt wird die Bedeutung von Cybersicherheit immer zentraler für den Erfolg und das Überleben von Unternehmen. Gerade bei Übernahmen oder Investitionen in andere Unternehmen stellt sich oft die Frage: Wie sicher ist die IT-Infrastruktur und die Daten des Zielunternehmens? Ein Cybersecurity Due Diligence Assessment ist genau der Prozess, der solche Fragen beantwortet.

Was ist ein Cybersecurity Due Diligence Assessment?

Ein Cybersecurity Due Diligence Assessment ist ein umfassender Bewertungsprozess, der darauf abzielt, die Cybersicherheitslage eines Unternehmens oder eines spezifischen Produkts vor einer Akquisition oder Investition zu überprüfen. Ziel ist es, die potenziellen Risiken, Schwachstellen und Gefährdungen zu identifizieren, die sich auf den Wert, die Sicherheit und die Zukunft der Übernahme oder des Investments auswirken könnten.

Gerade bei Übernahmen wird oft großer Wert auf finanzielle und rechtliche Due Diligence gelegt. Doch in unserer zunehmend vernetzten Welt kann das Vernachlässigen von Cybersicherheitsrisiken fatale Folgen haben. Unternehmen, die solche Risiken ignorieren, könnten nach einer Übernahme mit erheblichen Problemen konfrontiert werden, wie z.B. Datenschutzverletzungen, Hacks, unerwartete Bußgelder oder sogar Imageschäden.

Wichtige Komponenten des Cybersecurity Due Diligence Assessments
Ein Cybersecurity Due Diligence Report besteht in der Regel aus mehreren Schritten, die alle kritischen Aspekte der IT-Umgebung des Zielunternehmens beleuchten. Hier sind die vier Hauptkomponenten, die in einem professionellen Assessment enthalten sind:

1. Bedrohungsbewertung (Threat Assessment)
In diesem Schritt werden die potenziellen Bedrohungen identifiziert, die auf das Unternehmen einwirken könnten. Dazu gehört:

- Erfassung exponierter Schnittstellen:
Welche Systeme oder Netzwerkschnittstellen sind nach außen hin sichtbar und möglicherweise Angriffen ausgesetzt?

- Identifizierung sensibler Assets:
Was sind die wertvollsten oder empfindlichsten Daten und Systeme, die geschützt werden müssen?

- Kontroll- und Minderungsstrategien:
Welche Maßnahmen existieren bereits, um Bedrohungen zu kontrollieren, und welche können noch implementiert werden, um das Risiko zu minimieren?

2. Angriffsflächenbewertung (Attack Surface Assessment)
Bei der Angriffsflächenbewertung wird der Umfang potenzieller Angriffswege analysiert. Hierbei werden:

- Angriffsmuster gesammelt:
Potenzielle Angriffsszenarien werden identifiziert, um die Möglichkeiten eines Angreifers zu verstehen.

- Sicherheitskritikalität ermittelt:
Wie kritisch sind die jeweiligen Systeme und Daten im Hinblick auf mögliche Angriffe?

- Sicherheitszonen erstellt:
Das Unternehmen wird in verschiedene Sicherheitszonen aufgeteilt, um spezifische Schutzmaßnahmen für verschiedene Bereiche zu ermöglichen.

3. Penetrations- und Schwachstellentests (Penetration and Vulnerability Testing)
Dieser Schritt ist ein praxisnaher Test, der Schwachstellen in der IT-Umgebung des Unternehmens aufdeckt:

- Cybersicherheitsbewertung:
Eine gründliche Überprüfung der Sicherheitsarchitektur, um Schwachstellen zu identifizieren.

- Risiko-Rating:
Bewertung der Risiken und Festlegung, wie bedrohlich diese Schwachstellen sind.

- Auflistung fehlender Kontrollen und Maßnahmen:
Empfehlung von konkreten Maßnahmen, um die identifizierten Risiken zu mindern.

4. Code- und Setupanalyse (Code and Setup Inspection)
Dieser Schritt ist besonders relevant, wenn das Zielunternehmen z.B. softwarebasierte Produkte anbietet:

- Schwachstellen und mangelnde Härtung:
Analyse der Konfiguration und der Codebasis, um Schwachstellen und potenzielle Risiken zu identifizieren.

- Überprüfung des Quellcodes:
Der Quellcode wird auf Sicherheitslücken und Fehler überprüft, die ausgenutzt werden könnten.

Warum ist ein Cybersecurity Due Diligence Assessment so wichtig?

Die Durchführung eines Cybersecurity Due Diligence Assessments bietet eine Vielzahl von Vorteilen und minimiert die Risiken bei Unternehmensübernahmen oder Investitionen erheblich. Hier sind einige zentrale Gründe, warum es unverzichtbar ist:

Risiken minimieren:
Durch die Identifikation von Cybersicherheitsrisiken vor einer Übernahme oder Investition können Unternehmen teure Nachbesserungen oder Sicherheitsvorfälle nach der Übernahme vermeiden.

Compliance sicherstellen:
Viele Branchen unterliegen strengen gesetzlichen Auflagen in Bezug auf Datenschutz und IT-Sicherheit. Ein Due Diligence Assessment hilft sicherzustellen, dass das Zielunternehmen die notwendigen Compliance-Standards erfüllt, wie z.B. die DSGVO, HIPAA oder ISO 27001.

Vertrauen schaffen:
Sowohl Investoren als auch Kunden und Partner wollen sicher sein, dass ein Unternehmen ihre Daten schützen kann. Eine gute Cybersecurity stärkt das Vertrauen in die IT-Sicherheit des Unternehmens.

Langfristige Einsparungen:
Probleme, die frühzeitig erkannt und behoben werden, sind in der Regel viel günstiger zu lösen als Sicherheitsvorfälle, die erst nach der Übernahme auftreten.

Fazit

Ein Cybersecurity Due Diligence Assessment ist ein entscheidender Bestandteil jedes M&A-Prozesses. Es schützt Unternehmen vor potenziellen finanziellen und sicherheitsrelevanten Katastrophen, indem es Risiken aufdeckt und Maßnahmen zur Abwehr empfiehlt. Der Prozess sorgt dafür, dass sich Unternehmen auf eine sichere Übernahme oder Investition verlassen können, ohne befürchten zu müssen, dass sich im Nachhinein unerwartete Sicherheitsprobleme auftun.

Möchten Sie sicherstellen, dass Ihre Übernahme oder Investition auf einem stabilen, sicheren Fundament steht?
Kontaktieren Sie uns für eine umfassende Cybersecurity Due Diligence Bewertung und sichern Sie sich gegen versteckte Risiken ab.

Datenschutzerklärung

Datenschutz

0. Präampel
Wenn Sie nicht möchten, das Ihre aktuelle IP-Adresse hier oder durch andere mit uns verbundener Softwarebibliotheks-Zulieferer nicht weiter gespeichert wird, verlassen Sie diese Seite oder nehmen Sie generell Abstand von der Benutzung von Internet Web Browsern, Mail-Clients oder anderen Internet Werkzeugen. Allein nach der Bestätigung der Eingabe eine Web-Adresse (DNS-Name), noch vor Aufruf unserer und jeder anderen Webseite, wird Ihre IP-Adresse DNS-Servern, Routern und ggf. Suchmaschinen mitgeteilt und zumindest temporär gespeichert und verwaltet. 


1. Name und Kontaktdaten des Datenschutzbeauftragten
Die Rolle des Datenschutzbeauftragten ist bei Zentric nicht verpflichtend. Ansprechpartner ist Herrn Chris Ditze-Stephan.

2. Erhebung und Speicherung personenbezogener Daten sowie Art und Zweck von deren Verwendung
a) Beim Besuch der Website
Beim Aufrufen unserer Website www.zentric.* werden, durch den auf Ihrem Endgerät zum Einsatz kommenden Browser, automatisch Informationen an den Server unserer Website gesendet. Diese Informationen werden temporär in einem sog. Logfile gespeichert. Folgende Informationen werden dabei ohne Ihr Zutun erfasst und bis
zur automatisierten Löschung gespeichert:
       
- IP-Adresse des anfragenden Rechners,
- Datum und Uhrzeit des Zugriffs,
- die Website, von der aus der Zugriff erfolgt,
- Name und URL der abgerufenen Seite,
- genutzter Web-Browser und ggf. das Betriebssystem Ihres Rechners sowie der DNS Name Ihres
Internetproviders.

Die genannten Daten werden wie folgt verarbeitet:
- erforderlich für das Funktionieren des https-Protokolls
- Auswertung zur Systemsicherheit und -stabilität bei Bedarf sowie
- zu administrativen Zwecken, zum Beispiel: bei Angriffen zum Sperren von Angreifer-IP-Adressen.
Die Rechtsgrundlage für die Datenverarbeitung ist Artikel 6 Abs. 1 DSGVO. Unser berechtigtes Interesse folgt aus oben aufgelisteten Zwecken zur Datenerhebung.
Keinesfalls verwenden wir die protokollierten Daten zum Zweck, um Rückschlüsse auf Ihre Person zu ziehen. 

b) Nutzung des Kontaktformulars
Wenn Sie Anfragen über unser Kontaktformular tätigen, sind Name und Mailadresse oder Telefonnummer für eine entsprechende Reaktion unserseits erforderlich.  
Alle anderen Angaben können zusätzlich und  optional getätigt werden.Die Datenverarbeitung, zum Zwecke der Kontaktaufnahme mit uns, erfolgt nach Artikel 6 Absatz 1 DSGVO auf Grundlage Ihrer freiwillig erteilten Einwilligung.

c) Speicherung und Verarbeitung von Formulardaten
Die für die Benutzung des Kontaktformulars von uns erhobenen personenbezogenen Daten werden gespeichert und verarbeitet wie folgt: Ihre Kontaktanfrage wird in unserem SecureManager-System (Threatmanager Cloud) gespeichert, um eine organisierte Verwaltung und zügige Bearbeitung Ihrer Anfrage zu ermöglichen. Die Speicherdauer beträgt maximal 90 Tage nach Beantwortung Ihrer Anfrage, danach werden die Daten automatisch gelöscht. Sie können die Löschung auch jederzeit früher verlangen. Zusätzlich wird Ihnen eine Bestätigung per E-Mail über unser E-Mail-System (Gmail SMTP) zugesandt. Es ist Ihnen zudem jederzeit möglich, den Kontakt zu uns per E-Mail oder Telefon aufzunehmen.

3. Weitergabe von Daten
Eine Übermittlung Ihrer persönlichen Daten aus dem Kontaktformular an Dritte, zu anderen als den
im Folgenden aufgeführten Zwecken, findet ausdrücklich nicht statt. Ihre Daten werden ausschließlich für die interne Bearbeitung Ihrer Anfrage und in unserem SecureManager-System sowie für den Versand von Bestätigungsmails über Gmail verarbeitet. SecureManager ist ein Datenschutzverwaltungssystem mit Sitz in Deutschland. Gmail unterliegt den Datenschutzrichtlinien von Google: https://policies.google.com/privacy

4. Cookies
Wir setzen auf unserer Seite indirekt Cookies über benutzte Bibliotheken ein. 
Anmerkungen zu Cookies (generell): In einem Cookie können Informationen abgelegt werden, die sich jeweils im Zusammenhang mit dem spezifisch eingesetzten Endgerät ergeben.
Die meisten Browser akzeptieren Cookies automatisch. Sie können Ihren Browser jedoch so konfigurieren, dass keine Cookies auf Ihrem Computer gespeichert werden oder stets ein Hinweis erscheint, bevor ein neuer Cookie angelegt wird. Die vollständige Deaktivierung von Cookies kann jedoch dazu führen, dass Sie nicht alle Funktionen einer Website nutzen können.


7. Betroffenenrechte
Sie haben jederzeit das Recht:
- gemäß Artikel 15 DSGVO,  Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Insbesondere können Sie Auskunft über die Verarbeitungszwecke, die Kategorie der personenbezogenen Daten, die Kategorien von Empfängern, gegenüber denen Ihre Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch, das Bestehen eines Beschwerderechts, die Herkunft ihrer Daten, sofern diese nicht bei uns erhoben
wurden sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;
- nach Artikel 16 DSGVO, unverzüglich die Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen;
- nach Artikel 17 DSGVO, die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information zur Erfüllung einer rechtlichen Verpflichtung aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
- nach Artikel 18 DSGVO, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, Sie aber deren Löschung ablehnen und wir die Daten nicht mehr benötigen, Sie jedoch diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen oder Sie gemäß Artikel 21 DSGVO Widerspruch gegen die Verarbeitung eingelegt haben;
- nach Artikel 20 DSGVO, Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesebaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen;
- nach Artikel 7 Abs. 3 DSGVO, Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen und
- nach Artikel 77 DSGVO, sich bei einer Aufsichtsbehörde zu beschweren. In der Regel können Sie sich hierfür an die Aufsichtsbehörde Ihres üblichen Aufenthaltsortes oder Arbeitsplatzes oder unseres Sitzes wenden.

8. Widerspruchsrecht
Sofern Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen gemäß Artikel 6 Absatz 1 DSGVO verarbeitet werden, haben Sie das Recht, gemäß Artikel 21 DSGVO, Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten einzulegen, soweit dafür Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben oder sich der Widerspruch gegen Direktwerbung richtet. Im letzteren Fall haben Sie ein generelles Widerspruchsrecht, das ohne Angabe einer besonderen Situation von uns umgesetzt wird.

Möchten Sie von Ihrem Widerrufs- oder Widerspruchsrecht Gebrauch machen, genügt eine E-Mail an
datenschutzbeauftragter@zentric.de.

9. Datensicherheit
Wir verwenden innerhalb des Website-Besuchs das TLS-Verfahren in Verbindung mit der jeweils höchsten Verschlüsselungsstufe, die von Ihrem Browser unterstützt wird. In der Regel handelt es sich dabei um eine 256-Bit Verschlüsselung. Falls Ihr Browser keine 256-Bit Verschlüsselung unterstützt, greifen wir stattdessen auf 128-Bit v3 Technologie zurück. Ob eine einzelne Seite unseres Internetauftrittes verschlüsselt übertragen wird, erkennen Sie an der geschlossenen Darstellung des Schüssel- beziehungsweise Schloss-Symbols in der unteren Statusleiste Ihres
Browsers. Diese jeweils schwächere Verschlüsselung kann je nach aktueller Entwicklung künftig deaktiviert werden.

Wir bedienen uns im Übrigen geeigneter technischer und organisatorischer Sicherheitsmaßnahmen,
um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

10. Cloudflare
Mit unserer Website werden teilweise auch Elemente von Cloudflare, ein CDN (Content Delivery Network) der Cloudflare Inc. mit Sitz in den USA verarbeitet.
Alle Daten die zu, oder von dieser Website übertragen werden (auch Ihre IP-Adresse), werden über das weltweite Netzwerk von CloudFlare verarbeitet. Cloudflare verwendet dabei sog. "Cookies", Textdateien, die auf Ihrem Computer gespeichert werden können und die eine Erhöhung der Leistungsfähigkeit und Sicherheit der Website ermöglichen. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in- und außerhalb der Europäischen Union zwischengespeichert und protokolliert. Nach Auskunft von CloudFlare werden die zwischengespeicherten Daten grundsätzlich innerhalb von 4 Stunden, spätestens jedoch nach einer Woche, gelöscht. Weitere Informationen finden Sie in der Datenschutzerklärung von CloudFlare unter: https://www.cloudflare.com/security-policy. Was Cloudflare tatsächlich speichert, wird ausßerdem auch hier erläutert: https://blog.cloudflare.com/what-cloudflare-logs/

Durch die Nutzung unserer Website erklären Sie sich mit der Bearbeitung der über Sie erhobenen Daten durch Cloudflare in der zuvor beschriebenen Art und Weise und Zweck einverstanden.

11. Twitter
Innerhalb unseres Onlineangebotes können Funktionen und Inhalte des Dienstes Twitter eingebunden werden. Hierzu können z.B. Inhalte wie Bilder, Videos oder Texte und Schaltflächen gehören, mit denen Nutzer Ihr Gefallen betreffend die Inhalte kundtun, den Verfassern der Inhalte oder unsere Beiträge abonnieren können. Sofern die Nutzer Mitglieder der Plattform Twitter sind, kann Twitter den Aufruf der o.g. Inhalte und Funktionen den dortigen Profilen der Nutzer zuordnen. Twitter ist unter dem Privacy-Shield-Abkommen zertifiziert und bietet hierdurch eine Garantie, das europäische Datenschutzrecht einzuhalten (https://www.privacyshield.gov/participant?id=a2zt0000000TORzAAO&status=Active). Datenschutzerklärung: https://twitter.com/de/privacy, Opt-Out: https://twitter.com/personalization.
(Twitter Inc., 1355 Market Street, Suite 900, San Francisco, CA 94103, USA)

12. Google
Wir benutzen die Javascript-Bibliothek jQuery. Um die Ladegeschwindigkeit unserer Website zu erhöhen und Ihnen damit eine bessere Benutzererfahrung zukommen zu lassen, verwenden wir das CDN (content delivery network) von Google um diese Bibliothek zu laden. Die Wahrscheinlichkeit ist sehr groß, dass sie jQuery bereits auf einer anderen Seite vom Google CDN verwendet haben. In dem Fall kann Ihr Browser auf die im Cache gespeicherte Kopie zurückgreifen und sie muss nicht noch einmal heruntergeladen werden. Sollte Ihr Browser keine Kopie im Cache gespeichert haben oder aus einem anderen Grund die Datei vom Google CDN herunter laden, so werden wiederum Daten von Ihrem Browser an Google Inc. (“Google”) übertragen. Sie stimmen für diesen Fall ebenfalls zu, dass Ihre Daten in die USA überlassen werden.

13. Aktualität und Änderung dieser Datenschutzerklärung
Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Januar 2026. Durch die Weiterentwicklung unserer Website und Angebote darüber oder aufgrund geänderter gesetzlicher beziehungsweise behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern.