Mandate, in denen es gehalten hat.

Wir haben die Umgebung zuerst aus Angreifersicht geprüft und daraus Szenarien abgeleitet, wie sie gezielte Angreifer in der Luftfahrt tatsächlich nutzen. Auf dieser Basis haben wir die Umstellung auf eine neue Plattform zur Angriffserkennung an Endgeräten und Servern begleitet, die Testfälle geschrieben, die Prüfungen automatisiert und alles an das zentrale Sicherheitsmonitoring angebunden. Erkennung wurde nicht angenommen, sondern gegen reale Angriffstechniken getestet.

Für eine Plattform, die eingestufte Informationen verarbeitet, verantworten wir die Sicherheitsarchitektur. Ergänzend haben wir für die öffentliche Hand Penetrationstests durchgeführt. Mehr dürfen wir dazu nicht sagen, und genau so soll es sein.

In drei aufeinanderfolgenden Mandaten haben wir die Sicherheit des Konzerns neu aufgestellt. Zuerst eine mandantenfähige Sicherheitsarchitektur für das Rechenzentrum, als Code umgesetzt und an das Sicherheitsmonitoring angebunden. Dann die Ausschreibung und technische Bewertung von Cloud-Sicherheitsplattformen für die weltweite Kommunikation. Zuletzt die Ablösung der klassischen Perimeter-Sicherheit durch Schutz auf Anwendungsebene, ausgelegt auf die KRITIS-Anforderungen. Die Entscheidungsvorlagen für die Geschäftsleitung kamen von uns.

Ein Energiekonzern wollte seine Sicherheitsarchitektur von klassischen Perimeter-Konzepten auf eine Hybrid-Cloud umstellen. Wir haben den Umstieg entworfen und jede Entscheidung gegen die regulatorischen Vorgaben für kritische Infrastrukturen geprüft, statt sie im Nachgang begründen zu müssen. Der Umbau betraf den gesamten Konzern, nicht einen Standort.

Klassische Signaturen sehen in industriellen Protokollen wenig. Wir haben die Sicherheitsarchitektur für die OT entworfen und ein lernendes Verfahren entwickelt, das Kommunikationsbeziehungen im Leitsystem am Verhalten erkennt und Abweichungen meldet. Dazu gehörte, die Fälle zu benennen, die das Monitoring in der Produktion tatsächlich erkennen soll, und die automatische Erkennung unberechtigter Zugriffe vom Prototyp in den Live-Betrieb zu bringen, unter den Verfügbarkeitsanforderungen der Prozess-IT.

Eine gewachsene Altanwendung tauschte Daten aus der Prozess-IT aus. Wir haben ihr Protokoll per Reverse Engineering analysiert und einen kryptografisch gesicherten Relay-Dienst gebaut, der die Leittechnik mit Cloud-Speicher verbindet, mit eigener Authentisierung zwischen beiden Welten, Verschlüsselung bei Speicherung und Übertragung und als hochverfügbarer Cluster.

Der Konzern nutzt drei Hyperscaler, einen davon in China. Wir haben die Cloud-Sicherheit über alle drei hinweg entworfen, damit nicht jede Plattform ihr eigenes Schutzniveau mitbringt, und die Unterschiede dort sichtbar gemacht, wo sie sich nicht auflösen lassen. Wer in mehreren Clouds arbeitet, braucht einen Maßstab, der für alle gilt.

Über Jahre gewachsene Firewall-Regelwerke lassen sich von Hand kaum noch bewerten: niemand weiß, welche Regel noch gebraucht wird und welche nur überlebt hat. Wir haben die Regelwerke maschinell ausgewertet, die tatsächlich genutzten Beziehungen von den toten getrennt und darauf eine Migration geplant, die ohne Ausfallzeit auskommt. Aus dieser Arbeitsweise ist hervorgegangen, was wir heute AI-first nennen.

Für einen Factoring-Anbieter und einen weiteren Finanzdienstleister haben wir Plattformen und Anwendungen per Penetrationstest geprüft und an den Sicherheitsstandards der Branche gemessen. Bei einem Finanzinstitut folgte die Migration der Sicherheitskomponenten; der Betrieb läuft seitdem automatisiert, über heterogene Plattformen hinweg.

Wir haben SD-WAN-Lösungen dreier Hersteller in Proof-of-Concepts gegeneinander getestet, die Bewertungskriterien vorher festgelegt und die Sicherheitsfunktionen nach SASE-Maßstab bewertet. Die Entscheidungsvorlage für die Leitung kam von uns, mit der Begründung, warum die unterlegenen Lösungen unterlegen waren.