Verfügbar für neue Mandate in DACH

Schwachstellen finden ist einfach.
Sie nachhaltig schließen ist die Kunst.

Vulnerability Management as a Service - vom strukturierten Aufbau über Scanner-Implementierung und Agenten-Rollout bis zum monatlichen Reporting. Senior-Validierung statt Tool-Lärm. Aufgebaut nach NIS2 (Art. 21 Maßnahme 10) und DORA-Anforderungen.

Quick-Check buchen Leistungen ansehen
NIS2 Art. 21 DORA Art. 8 / 24 ISO 27001 A.8.8 BSI IT-Grundschutz
Vulnerability Scan · Beispiel
Live
Critical
12
High
47
Medium
183
Low
412
< 90T
Bis zum produktiven VM-Programm
12+J
Senior-Erfahrung in regulierten Branchen
Vertraut von Spezialisten in
Energie / KRITIS
Versicherung
Verteidigung
FMCG
Die Realität

Sie haben einen Scanner.
Sie haben aber kein Programm.

In den meisten Unternehmen ist Vulnerability Management ein Excel-Anhang mit 4.000 offenen CVEs. Niemand weiß, was kritisch ist. Niemand schließt sie. NIS2 und DORA verlangen jetzt nachweisbare Prozesse.

Berichte ohne Wirkung

Der Scanner spuckt 4.000 Findings aus. Niemand priorisiert nach Geschäftsrisiko. Patches verfallen, die Liste wächst.

NIS2- & DORA-Druck

NIS2 Art. 21 Maßnahme 10 verlangt strukturiertes Patch- und Schwachstellen­management. DORA fordert kontinuierliche Risiko­bewertung. „Wir scannen" reicht im Audit nicht.

Keine Senior-Validierung

Junior-Analysten triagieren auf Basis von CVSS-Scores. Kontext fehlt - also wird alles eskaliert oder alles ignoriert.

Unser Modell

Zwei Tracks. Klar getrennt.

Erst das Programm aufbauen - Prozesse, Scanner, Agenten, Reporting. Danach im monatlichen Service betreiben oder selbst weiterführen. Kein Lock-in.

EINMALIG
AUFBAU

Wir etablieren Ihr VM-Programm in 6-12 Wochen: Asset-Inventar, Scanner, Agenten-Rollout, Triage-Prozess, KPI-Reporting - vollständig dokumentiert und übergabefähig. Aufgebaut nach NIS2 und DORA.

  • Asset-Discovery & Scope-Definition
  • Scanner-Implementierung (Ihre Tools oder OSS)
  • Agenten-Rollout für authentifizierte Scans
  • Triage- & Patch-Prozess inkl. SLAs
  • Risiko-Scoring nach Geschäftskontext
  • NIS2-/DORA-Nachweise & KPI-Dashboard
Ab €18.900 · Fixpreis nach Umfang · 3 Größen unten
MONATLICH
BETRIEB

Wir übernehmen das Schwachstellen­management als Managed Service: regelmäßige Scans, Senior-Triage, monatliche Reports an Geschäftsführung und IT. Audit-bereit nach NIS2/DORA.

  • Geplante Scans (monatlich / wöchentlich)
  • Senior-Validierung & Priorisierung
  • Monatliches Report-Paket (Exec + Tech)
  • Ticket-Sync mit Ihrem ITSM
  • Eskalation bei Zero-Days innerhalb 24 h
  • Quartals-Review mit Trend-Analyse
Auf Anfrage · Indikativ ab €1.690/Monat · 3 Größen unten
SECHOTEC Logo
Unser VM-Programm ist nach NIS2 und DORA aufgebaut. Jedes Aufbau-Projekt liefert die geforderten Nachweise: Policy, Asset-Inventar, dokumentierten Triage-Prozess, KPI-Reporting und Eskalations­wege - direkt mappbar auf NIS2 Art. 21 Maßnahme 10, DORA Art. 8 (ICT-Risiko­management) und DORA Art. 24 (Test- und Schwachstellen­programme).
NIS2 DORA ISO 27001
Selbst-Check · 60 Sekunden

Wie audit-fähig ist Ihr
Vulnerability-Management-Prozess?

10 Fragen entlang der Anforderungen aus NIS2 Art. 21, DORA Art. 8/24 und ISO 27001 A.8.8. Markieren Sie, was bei Ihnen heute schon konsistent, nachvollziehbar und wiederholbar läuft.

Die 10 Punkte

Klicken Sie an, was bei Ihnen erfüllt ist. Der Score rechts aktualisiert sich live.

  • Scope & Asset-Inventar sind definiert (und aktuell) Systeme/Anwendungen/Cloud-Accounts im VM, Kritikalität (Tiering) und Ownership dokumentiert.
  • Datenquellen sind konsolidiert Scanner, Pentests, Advisories, Tickets - zentral erfasst, dedupliziert, einheitliches Finding-Format.
  • Scanning-Grundlage ist sauber (Agent & Agentless) Agent-Rollout/Policies und Scan-Scopes definiert. Scan-Health wird überwacht (Coverage, Fehler, Ausfälle).
  • Credentialed Scanning & Berechtigungen sind geregelt Zugriffe/Secrets dokumentiert, Least-Privilege umgesetzt, Prozess für Rotation/Änderungen vorhanden.
  • Priorisierung ist risikobasiert (nicht nur CVSS) Ausnutzbarkeit, Exposure, Asset-Kritikalität, Business-Impact und bekannte Exploits fließen ein.
  • Rollen & Verantwortlichkeiten sind eindeutig (RACI) Security, IT-Betrieb, Fachbereiche: Wer triagiert, fixed, akzeptiert Risiko, schließt?
  • Remediation-Workflow ist standardisiert Definierte Status, SLAs pro Kritikalität, Eskalationswege und wiederverwendbare Ticket-Templates.
  • Exception / Risk Acceptance ist kontrolliert Ausnahmen mit Begründung, Owner, Kompensation, Ablaufdatum und Review-Zyklus - nachvollziehbar genehmigt.
  • Verifikation ist Pflicht (Rescan/Validierung) Jede Schließung mit Nachweis: Rescan, Konfig-Check, Patch-Verifikation. False Positives sauber dokumentiert.
  • Reporting & Audit-Trail sind etabliert KPIs (Critical Open, MTTR, SLA-Compliance), Management-Summary und vollständiger Audit-Trail.
Ihr Reifegrad
0 / 10
Noch nichts angeklickt
Markieren Sie links, was bei Ihnen heute schon funktioniert - wir zeigen Ihnen, wo Sie stehen.
Termin vereinbaren
Aufbau-Pakete

Fixpreise. Nach Asset-Größe.

Sie wissen vorher, was es kostet. Wir liefern fertige Prozesse, eingerichtete Scanner und Audit-Nachweise - keine Beratertage auf Verdacht.

Quick-Check: VM-Reifegrad in 2 Tagen

Bestandsaufnahme Ihrer Scanner-Landschaft, Prozesse und NIS2-/DORA-Lücken. Mit 12-Seiten-Auswertung und konkretem Maßnahmenplan. Wird bei Beauftragung des Aufbau-Pakets verrechnet.

€2.990
Fixpreis · netto
Compact
Aufbau Compact
≤ 50 Assets · Ein-Standort-Setup
€18.900 netto
≈ 15 Beratertage · 6 Wochen
  • Asset-Discovery & Klassifizierung
  • 1 Scanner einrichten
  • Agenten-Rollout bis 50 Endpunkte
  • Triage-Prozess & SLA-Definition
  • Monats-Report-Template
  • NIS2-/DORA-Nachweispaket
Anfrage stellen
Standard
Aufbau Standard
≤ 250 Assets · Multi-Standort
€32.900 netto
≈ 27 Beratertage · 8-10 Wochen
  • Alles aus Compact
  • Bis zu 3 Scanner-Quellen konsolidieren
  • Agenten-Rollout bis 250 Endpunkte
  • Risiko-Scoring nach Geschäftskontext
  • ITSM-Integration (Jira / ServiceNow)
  • Exec-Dashboard + Tech-Reporting
  • 2-Tage Workshop für Ihr Team
Anfrage stellen
Enterprise
Aufbau Enterprise
≤ 1.000 Assets · Konzern / KRITIS
€54.900 netto
≈ 44 Beratertage · 10-12 Wochen
  • Alles aus Standard
  • Komplexe Netzwerk-Topologien
  • OT/IoT-Asset-Integration
  • Authentifizierte Scans (SSH/SMB/Web)
  • Automatisierungs-Workflows (n8n)
  • Quarterly Business Review
  • Audit-Begleitung inklusive
Anfrage stellen
Betriebs-Pakete

Managed Vulnerability Service

Nach dem Aufbau übernehmen wir den Betrieb - oder Sie holen uns nach einem bestehenden Aufbau dazu. Senior-Triage, monatliche Reports, Audit-Bereitschaft. Mindestlaufzeit 12 Monate.

Compact
Betrieb Compact
ab €1.690/Monat
Auf Anfrage · Mindestlaufzeit 12 Monate
  • Monatlicher Scan-Zyklus
  • ≤ 50 Assets
  • Monats-Report Exec + Tech
  • E-Mail-Eskalation bei Critical
Standard
Betrieb Standard
ab €3.990/Monat
Auf Anfrage · Mindestlaufzeit 12 Monate
  • Wöchentlicher Scan-Zyklus
  • ≤ 250 Assets
  • Senior-Triage aller Critical/High
  • ITSM-Ticket-Sync
  • Quartals-Review (1 Tag)
  • Zero-Day-Watch <24 h
Enterprise
Betrieb Enterprise
ab €9.900/Monat
Auf Anfrage · Mindestlaufzeit 12 Monate
  • Kontinuierliches Scanning
  • ≤ 1.000 Assets
  • Dedicated Security Analyst
  • Threat-Intel-Integration
  • Monatlicher Steering-Call
  • Audit-Begleitung inkludiert

Sie brauchen einen anderen Schnitt? Sprechen wir kurz darüber.

Add-Ons

Ergänzende Bausteine.

Punktuelle Erweiterungen rund um Compliance und Pen-Testing - separat buchbar, auch ohne laufenden Service.

NIS2 Readiness Check
2-Tages-Assessment Ihrer Gesamt-Compliance (alle 10 Maßnahmen). Gap-Analyse, priorisierte Roadmap, Management-Präsentation.
€8.900 Fixpreis
Pen Test extern
Externer Black-Box-/Grey-Box-Pen-Test auf öffentlich erreichbare Systeme. Methodik nach OWASP & PTES. Bericht in Deutsch mit Re-Test.
€6.900 Fixpreis · bis 5 Targets
Pen Test intern
Interne Penetrationstests, Active-Directory-Assessments, Lateral-Movement-Szenarien. Scope-abhängige Kalkulation.
Auf Anfrage
VM-Automatisierung (n8n)
Workflows für Ticket-Erstellung, Slack/Teams-Alerts, automatische Eskalation. Direkt an Scanner und ITSM gekoppelt.
Auf Anfrage
So läuft ein Aufbau-Projekt

In 4 Phasen zum produktiven VM.

Standard-Vorgehen für ein Aufbau-Standard-Projekt. Compact ist kürzer, Enterprise länger - die Phasen bleiben gleich.

1
Discovery
Woche 1-2
Stakeholder-Workshops, Asset-Inventar, vorhandene Scanner sichten, Scope & SLAs definieren.
2
Implementierung
Woche 3-6
Scanner einrichten oder konsolidieren, Agenten ausrollen, authentifizierte Scans konfigurieren, Tickets anbinden.
3
Prozess & Nachweise
Woche 6-8
Triage- und Patch-Prozess dokumentieren, KPI-Reports aufsetzen, NIS2-/DORA-Nachweise erstellen.
4
Übergabe & Betrieb
Woche 8-10
Team-Training, erster Live-Zyklus, Übergabe-Dokumentation. Optional: Wechsel in den Managed Service.
Methodik & Tools

Hybrider Scan-Stack. Pragmatisch.

Wir bauen kein Tool-Imperium. Wenn Sie schon Scanner haben, nutzen wir sie. Wenn nicht, setzen wir einen quelloffenen Stack auf, der Sie nichts an Lizenzen kostet.

Ihre Tools (bevorzugt)

Sie betreiben bereits Qualys, Tenable, Rapid7, MS Defender oder Greenbone? Wir konsolidieren Findings, richten den Prozess drumherum ein und übernehmen die Senior-Validierung.

Qualys VMDR Tenable Nessus Rapid7 InsightVM MS Defender VM Ivanti XM Cyber

OSS-Stack (wenn nötig)

Kein Scanner-Budget? Wir bauen mit einem geprüften Open-Source-Stack auf - authentifizierte Scans inklusive, agentenbasiert, ohne Lizenzkosten.

Greenbone CE Wazuh (Agenten) Nuclei Trivy OWASP ZAP

Reporting & Automatisierung

Klar getrennte Berichte für Geschäftsführung und IT. Ticket-Sync mit Ihrem ITSM. Optionale Workflows über n8n - inkl. Anbindung an REST-/API-Endpunkte, SOAP-Schnittstellen und SharePoint.

n8n Jira ServiceNow Slack / Teams

KI-Unterstützung im Hintergrund

Wir nutzen KI-Modelle, um Findings vor-zu-priorisieren, Exploit-Wahrscheinlichkeit einzuschätzen und Berichte zu strukturieren. Die finale Bewertung kommt vom Senior-Analysten - KI ersetzt keine Entscheidung, sie beschleunigt sie.

Claude MCP-Integration EPSS-Scoring

Keine Kundendaten an externe KI ohne explizite Freigabe. AVV-konform.

Wer dahintersteht

Senior-Validierung. Keine Junior-Triage.

Hinter schwachstellen-service.de steht ein Team mit 12+ Jahren operativer Erfahrung im Vulnerability Management - bei einem führenden Versicherungskonzern, im Energiesektor, in der Verteidigungs­industrie und in der Konsumgüter­branche. Wir haben VM-Programme aufgebaut, die heute noch laufen.

Unsere Hypothese: Sie brauchen keinen weiteren Scanner. Sie brauchen jemanden, der den vorhandenen Scanner endlich in einen Prozess überführt - und dabei nachweisbar nach NIS2 und DORA arbeitet.

Energie / KRITIS Versicherung Verteidigung FMCG
75 % weniger kritische Schwachstellen
Führender Versicherungskonzern - 3-Jahres-VM-Programm.
Von 0 auf produktives VM in < 12 Wochen
Energie- und Verteidigungssektor - wiederholt erprobt.
Vertraulichkeit
AVV nach Art. 28 DSGVO inklusive. NDA selbstverständlich. Server in Deutschland.
FAQ

Häufige Fragen.

Ist das DSGVO-/AVV-konform?
Ja. Wir schließen mit jedem Mandanten einen Auftragsverarbeitungs­vertrag nach Art. 28 DSGVO ab. Scan-Ergebnisse werden in der EU verarbeitet, vorzugsweise auf Ihrer Infrastruktur.
Erfüllt das die NIS2- und DORA-Anforderungen?
Unser Aufbau-Programm ist explizit nach NIS2 Art. 21 (Maßnahme 10) und DORA Art. 8 / Art. 24 strukturiert. Sie erhalten alle Dokumente, die Sie in einem Audit oder gegenüber der BaFin/BSI vorlegen müssen.
Was ist mit Scanner-Lizenzen?
Sie behalten Ihre bestehenden Lizenzen. Wenn Sie keine haben, bauen wir mit einem kostenfreien OSS-Stack auf (Greenbone CE, Wazuh, Nuclei). Lizenzempfehlungen geben wir herstellerneutral.
Wie viele Assets können Sie abdecken?
Compact bis 50, Standard bis 250, Enterprise bis 1.000 Assets. Größere Setups sprechen wir individuell ab - Erfahrung mit 10.000+-Asset-Umgebungen vorhanden.
Wer ist mein Ansprechpartner?
Sie bekommen einen festen Senior-Ansprechpartner - kein Account-Manager, sondern jemand, der den Stoff selbst beherrscht. Bei Betrieb Enterprise zusätzlich einen dedizierten Analysten.
Was passiert bei einem Zero-Day?
In allen Betriebs-Paketen ist eine Zero-Day-Watch enthalten. Bei Critical-CVEs mit aktiver Exploitation melden wir innerhalb 24 h mit Impact-Bewertung und Sofortmaßnahmen.
Können wir nur den Quick-Check kaufen?
Ja, der Quick-Check ist auch ohne anschließenden Auftrag wertvoll. Bei Beauftragung eines Aufbau-Pakets innerhalb 90 Tagen wird er angerechnet.
Wie kommt KI bei Ihnen zum Einsatz?
KI hilft bei Vor-Priorisierung, Report-Strukturierung und Threat-Intel-Korrelation. Jede Empfehlung wird vom Senior-Analysten validiert. Kundendaten gehen nur mit Freigabe an externe Modelle.

NIS2 / DORA rückt näher.
Sie sind nicht fertig.

Buchen Sie den Quick-Check für €2.990. In 2 Tagen wissen Sie, wo Sie stehen - und was Ihr Aufbau-Programm konkret kostet.

Quick-Check buchen → Erst die Leistungen ansehen
Kein Risiko. Wird bei Aufbau-Beauftragung verrechnet.
Kontakt

Sprechen wir 20 Minuten.

Kein Verkaufsgespräch. Wir hören, wo Sie stehen, und sagen Ihnen offen, ob wir helfen können - und wenn ja, welches Paket passt.

info@schwachstellen-service.de +49 30 4397923720 Termin direkt buchen (Cal.com)
Wir melden uns innerhalb 1 Werktag. Vertraulich behandelt.