Managementberatung für Informationssicherheit

Wir sind die Experten für Information Security und Business Continuity Management.

Aufbau, Weiterentwicklung und Betrieb für Ihr ISMS

Sie brauchen Hilfe und Unterstützung wenn es um Informationssicherheit oder Business Continuity Management geht? Ihre Kunden verlangen von Ihnen eine Zertifizierung nach ISO 27001? Wir beraten und unterstützen Sie, Ihre Ziele zu erreichen. Egal, ob Sie fachliche Hilfe bei speziellen Themen benötigen oder ob Sie ihr gesamtes ISMS extern betreiben lassen möchten, sind wir der richtige Partner.

Informationssicherheit nach ISO 27001

Das Information Security Management System (ISMS) steuert alle Maßnahmen zur Informationssicherheit. Wenn es nach ISO 27001 zertifiziert ist, beweisen Sie Ihren Kunden, dass Sicherheit für Ihr Unternehmen kein Fremdwort ist. Wie machen Ihr ISMS reif für die Zertifizierung – Garantiert!

Wir entwickeln Strategien zur Einführung eines Information Security Management Systems (ISMS).
Wir helfen, die optimale Aufbau- und Ablauforganisation für das ISMS passend zu Ihrem Unternehmen zu finden.
Wir analysieren die bestehenden Managementsysteme und zeigen Stärken und Schwächen sowie Chancen und Risiken auf.
Wir beraten und begleiten die Verantwortlichen für Informationssicherheit (Chief Information Security Officers – CISO, Informationssicherheitsbeauftragte – ISB) bei der Um- und Durchsetzung ihrer Ideen und Vorhaben.
Wir unterstützen Ihr Zertifizierungsvorhaben und begleiten Sie bei Ihrer Zertifizierung nach ISO 27001 oder ISO 27019 (§11 Abs. 1a EnWG).
Wir prüfen Ihr Information Security Management System im Rahmen eines Internen Audits (First Party Audit) auf Basis von ISO 27001 mit Hilfe erprobter Checklisten. Auch helfen wir bei der Beurteilung Ihrer Lieferanten zum Beispiel mit Lieferantenaudits (Second Party Audits).

Business Continuity Management nach ISO 22301

Not- und Krisenfälle können die Existenz von Unternehmen bedrohen. Das Business Continuity Management (BCM) bereitet eine Organisation vor, auf Not- und Krisenfälle schnell zu reagieren, Schäden abzuwenden und die Geschäftsfortführung zu ermöglichen. Die Wiederherstellung der IT-Infrastruktur und der IT-Anwendungen ist eine eigene Teildisziplin des BCM: das IT-Service Continuity Management (ITSCM).

Wir verbinden das Business Continuity Management mit dem Information Security Management und ermöglichen, Synergien zu heben.
Wir unterstützen Sie beim Aufbau eines ISO 22301 konformen Business Continuity Management Systems.
Wir identifizieren mit Ihnen Ihre geschäftskritischen Prozesse, IT-Systeme und Rollen.
Wir helfen beim Erstellen von Notfallplänen, Krisenmanagementorganisationen und Testkonzepten, damit Sie für den Ernstfall gut vorbereitet sind.
Wir zeigen verschiedene Notfallstrategien und technische Lösungen auf, und bewerten sie gemeinsam mit Ihnen.

Branchenfokus

Das deutsche Finanzaufsichtsrecht kennt klare Vorgaben für die Ausgestaltung des ISMS. Wichtigste Quelle für Banken und Finanzdienstleister sind die MaRisk, die die Einhaltung von anerkannten Standards wie die ISO 27000-Normenreihe fordern, und die Konkretiesierungen in den BAIT, VAIT bzw. KAIT. Wir kennen und verstehen diese Anforderungen aus langjähriger praktischer Erfahrung und sind mit den branchentypischen Prozesse und Regeln sehr gut vertraut.

Kritische Infrastrukturen (KritisVO)

Unternehmen, die zu den kritschen Infrastrukturen gerechnet werden, müssen umfangreiche Sicherheitsanforderungen erfüllen. Die Anforderungen gehen dabei über die der ISO 27001 hinaus. Wir unterstützen Unternehmen, die an ihre Branche gestellten Anforderungen zu bewerten und angemessen zu erfüllen. Dabei können wir auch auf unsere Expertise zurückgreifen, die wir selbst als durch das BSI zugelassene Prüfer nach §8a BSIG erworben haben.

IT-Sicherheitskatalog (§11 Abs. 1a EnWG)

Die Anforderungen für Betreiber von Energieversorgungsnetzen gehen über den Katalog der ISO 27001 Anhang A deutlich hinaus. Zudem stellt der Betrieb von Alt-(Legacy-)Systemen und über viele Jahre gewachsene IT-Landschaften besondere Herausforderungen an ein ISMS. Wir helfen, diese Herausforderungen zu bestehen und aus der vermeintlichen Mehrbelastung einen Mehrwert zu schaffen.

Damit Ihr Unternehmen geschützt ist – und Sie auch

Informationssicherheit bedeutet nicht Sicherheit um jeden Preis. Nur wer die Risiken kennt, kann die richtigen Entscheidungen treffen. Auch wenn Technik und Organisation im Unternehmen immer angreifbar sein wird, Ihre Entscheidungen sollten es nicht sein. Mit einem guten ISMS sind es auch nicht.

Fragen Sie uns!

Wer wir sind

Die thinkSec GmbH ist eine inhabergeführte Unternehmensberatung, die sich auf das Themenfeld Informationssicherheit fokussiert hat. Hinter dem Unternehmen stehen über 20 Jahre praktische Erfahrung in IT- und in Informationssicherheit. So können wir ohne Umwege und Experimentieren schnell jedes Problem lösen. Bei großen Projekten können wir auf zuverlässige und kompetente Partner zurückgreifen und Ihre Projekte mit speziellen Fachkenntnisse und zusätzlichen Ressourcen unterstützen. Auch kennen wir die Prozesse und Ansprechpartnern bei Zertifizieren genau, so dass Ihr Zertifizierungsprojekt nicht mit unnötigen Abstimmungen und Rückfragen verzögert wird.

N

Langjährige Erfahrung

N

Detaillierte Branchenkenntnisse

N

Bewährtes Partnernetz

N

Direkte Verbindung zu Zertifizierungsstellen

Mission

Informationssicherheit ist keine Frage der Größe des Unternehmens. Wir schaffen für Sie ein maßgeschneidertes ISMS und helfen Ihnen, sich richtig zu schützen.

Unser Anspruch ist es, Ihrem Unternehmen ein System an die Hand zu geben, mit dem Sie jederzeit die Kontrolle über die Informationssicherheit und über Ihre Risiken haben.

Vision

Sicherheit ist nur dann gegeben, wenn Menschen, Technik und Organisation zusammenpasst. Unsere Vision ist es, hier eine Einheit zu schaffen:

Eine Organisation, die zur Technik passt und die die Kultur des Unternehmens trägt.
Technologien, die Mitarbeiter effektiv unterstützen und Prozesse effizient werden lassen.
Mitarbeiter, die sich wertgeschätzt und geschützt, aber nicht Maßnahmen ausgebremst und durch Richtlinien bedroht fühlen.

Werte

Unser Anspruch ist es, unseren Kunden die bestmögliche Qualität zu bieten. Die Basis hierzu bilden:

Ehrlichkeit
Zu sagen, was sich vermeintlich gefällig anhört, ist zwar einfach. Andere Standpunkte einzunehmen und unterschiedliche Ansichten zu diskutieren, halten wir aber für den besseren Weg.
Zuverlässigkeit
Ein Projekt wird nur dann zum Erfolg, wenn jeder sich auf den Anderen verlassen kann. Wir stehen zu unseren Zusagen sowohl zu Terminen als auch zu Qualität.
Vertraulichkeit
Der Schutz aller uns anvertrauten Informationen ist uns sehr wichtig. Wir wollen für Informationssicherheit immer ein guten Beispiel sein.

Jürgen Wutschka

Seit über 20 Jahren ist Jürgen Wutschka auf dem Gebiet der Informationssicherheit tätig. Seine Karriere startete er 1997 bei der Commerzbank AG und wechselte 2001 zu Union Investment. Als Chief Information Security Officer (CISO) war er für den Aufbau des Information Security und Business Continuity Managements verantwortlich. 2014 gründete er die thinkSec GmbH und berät seit dem Unternehmen beim Aufbau und bei der Weiterentwicklung ihrer Managementsysteme zur Informationssicherheit bzw. zur Business Continuity und in allen Fragen zur IT-Sicherheit. Als ISO 27001 Lead Auditor führt er Zertifizierungsaudits im Auftrag von Zertifizierungsstellen durch.

Der Diplom Wirtschaftsinformatiker (Univ.) ist als CISSP und Cyber Security Practitioner (ISACA) zertifiziert.

Wenn Sie denken, dass Technologie Ihre Sicherheitsprobleme lösen kann, dann verstehen Sie die Probleme nicht und Sie verstehen die Technologie nicht.

Bruce Schneier, Vorwort von Secrets and Lies, 2000

Verschlüsselung wird nicht gebrochen, sie wird umgangen.

Adi Shamir

Zusammen mit Ron Rivest und Leonard Adleman hat Adi Shamir als Kryptologieexperte das asymmetrische Kryptographische Verfahren RSA entwickelt.

Um die Denkweise von jemandem zu ändern, musst du verstehen, wie Menschen denken und in welchen Weisen sie denken.

Kevin Mitnick – Aus dem Buch “Social Engineering: The Art of Human Hacking“

Fragen und Antworten

u

Wir brauchen eine ISO 27001-Zertifizierung. Was müssen wir tun?

Der Weg zum Zertifikat hat drei wesentliche Meilensteine. Zuerst muss das ISMS spezifiziert sein, d.h. Prozesse, Richtlinien und Vorlagen sind zu entwickeln. Der zweite Meilenstein ist ein erfolgreicher initialer Betrieb. Prozesse, Richtlinien und die Vorlagen kommen zur Anwendung und durchlaufen den ersten Verbesserungszyklus. Dritter und wichtigster Meilenstein ist die Zertifizierung durch eine Zertifizierungsgesellschaft (Certification Body). Wir leiten Sie an, das Richtige zum richtigen Zeitpunkt zu machen, damit Sie schnell und ohne Umwege zum Ziel kommen.

u

Mit welchem Aufwand ist eine Zertifizierung verbunden?

Der Aufwand hängt von sehr vielen Faktoren ab und lässt sich pauschal leider so nicht abschätzen. Damit Ihr Zertifizierungsprojekt sowohl von der Dauer als auch vom Aufwand verlässlich planbar wird, empfehlen wir, zuerst eine Reifegradanalyse durchzuführen. So können Sie genau bestimmen, wo Sie stehen, welche Handlungsfelder anzugehen sind und mit welchem zeitlichen und personellen Aufwand zu rechnen ist. Sprechen Sie uns für eine Reifegradanalyse und Projektplanung gerne an.

u

Inwieweit können Sie uns bei technischen Projekten unterstützen?

Unser Schwerpunkt sind zwar Managementsysteme, aber Technik und Organisation bilden immer eine Einheit. Sicherheitstechnik ist nur so gut, wie deren Einbindung in bestehende Prozesse und Steuerungssysteme. Wir unterstützen Sie bei der Entwicklung und Überprüfung der Netzwerkkonzeptionen und Systemarchitekturen mit den dazugehörigen Anforderungen. Die technische Implementierung überlassen wir den Spezialisten. Wir verstehen aber deren Sprache, können so die technische Umsetzung begleiten und das Sicherheitsniveau sicherstellen.

u

Führen Sie selbst Audits und Pentests durch ?

Wir machen viel, aber nicht alles. Technische Schwachstellentests (Pentests) ist ein eigenes Aufgabengebiet, das wir nicht anbieten. Wir helfen jedoch, bei der Planung, Konzeption und Auswahl von Spezialisten für Pentests. Unser Fachgebiet ist die Beurteilung des Managementsystems. Wir führen wir gerne ein Audit nach Ihren Wünschen bei Ihnen selbst als internes Audit (1st party audit) oder bei Ihren Lieferanten als Lieferantenaudit (2nd party audit) durch. Zertifizierungsaudits (3rd party audit) dürfen jedoch nur Zertifizierungsgesellschaften anbieten. Hier sind wir immer Auftrag dieser Gesellschaften als Auditor tätig.

Nachrichtenüberblick

12.11.2026

9

Sachsen: Massive Datenpanne bei Notrufdiensten

Spiegel Online 11.11.2026 14:31
Unbefugte konnten offenbar jahrelang Funkmeldungen sächsischer Rettungsdienste und Feuerwehren mitlesen. Nach SPIEGEL-Informationen enthielten sie Diagnosen, Namen und Adressen von Patienten. Das LKA ermittelt.

9

Patchday Adobe: Kritische Lücken mit Höchstwertung bedrohen Connect

Heise Security 11.11.2026 10:02
Angreifer können mehrere Softwareprodukte von Adobe attackieren und die volle Kontrolle über PCs erlangen.

9

November-Patchday: Microsoft stopft erneut mehr als 1.000 Sicherheitslöcher

Golem 11.11.2026 09:24
Darunter ist eine Zero-Day-Lücke in Outlook. Hacker nehmen die Schwachstelle bereits ins Visier. (Patchday, Microsoft)

9

Microsoft Fixes 1235 Flaws in Another Record Patch Tuesday

Infosecurity Magazine 11.11.2026 09:15
Microsoft patched a record-breaking 1235 CVEs in November’s Patch Tuesday

9

3.900 kompromittierte Datensätze: Uni Tübingen meldet Sicherheitsvorfall

Golem 11.11.2026 08:54
Als Einfallstor dient eine Sicherheitslücke, die sich aus einer empfohlenen Softwarekonfiguration ergibt. Betroffen sind Mitarbeiter der Uni. (Cybercrime, Datenschutz)

9

Microsoft-Patchday: Attacken auf Outlook beobachtet

Heise Security 11.11.2026 08:33
Aus Microsofts Security Update Guide geht hervor, dass die Entwickler knapp 1100 Sicherheitslücken in Office, Windows & Co. geschlossen haben.

11.11.2026

9

Microsoft Fixes Nearly 1,100 Security Vulnerabilities

Krebs Security 10.11.2026 21:55
Microsoft did another four-digit patch drop today, releasing updates to fix almost 1,100 security vulnerabilities in its Windows operating systems and supported software. This month's Patch Tuesday addresses 63 critical flaws — including a zero-day in Microsoft Outlook — and comes amid important security updates from other software makers, including Adobe, Apple, Google and Mozilla.

9

Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clones

The Hacker News 10.11.2026 19:23
A flaw in Git can let a malicious repository run an attacker's code on a computer that clones it recursively, together with its submodules. The Git project fixed it this week in Git 2.56.1, with matching fixes for the 2.50 through 2.55 series in 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 and 2.55.1.

The flaw, tracked as CVE-2026-111760, is an integer truncation in how Git handles its index. An

9

Uni Tübingen: Hacker erbeuten Daten von Beschäftigten

Spiegel Online 10.11.2026 19:04
Namen, Geburtsdaten, dienstliche E-Mail-Adressen: All das erbeuteten Unbekannte von Beschäftigten der Uni Tübingen. Möglich machte es eine Sicherheitslücke. Ähnliche Fälle gab es unlängst an anderen Hochschulen.

9

SAP-Patchday bringt Korrekturen für Codeschmuggel-Lücken

Heise Security 10.11.2026 13:33
Der November-Patchday bei SAP stopft Code-Injection- und Speicherkorrumpierungslücken. Neun Sicherheitslecks gelten als kritisch.

9

Microsoft Paint: Codeschmuggel-Lücke im Malprogramm

Heise Security 10.11.2026 12:58
In dem rudimentären Zeichenprogramm Paint von Windows können Angreifer Schadcode einschleusen. Jetzt gibt es ein Update dagegen.

9

Angriffswarnung für GPUStack, FreeSwitch, OpenSSH und IBM Aspera Faspex

Heise Security 10.11.2026 10:33
Die US-amerikanische IT-Sicherheitsbehörde CISA warnt vor Angriffen auf GPUStack, FreeSwitch, OpenSSH und IBM Aspera Faspex.

9

SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Execution

The Hacker News 10.11.2026 10:02
Four flaws that attackers could exploit without logging in were fixed today as part of SAP's monthly Security Patch Day—the vendor rates all four 10.0, the maximum CVSS score.

Three are in the SAP NetWeaver application server, the software SAP systems run on, and one is in the Web Dispatcher, which receives web requests from the internet and passes them on to that server.

The flaws in the Web

9

Zahlreiche Sicherheitslücken bedrohen IBM App Connect Enterprise

Heise Security 10.11.2026 10:02
Patches schließen Schwachstellen in IBM App Connect Enterprise, der Log Source Management App for IBM QRadar SIEM und der TS4500 Tape Library.

9

Able2Shell: Geleakte N-central-Exploits gefährden unzählige Unternehmen

Golem 10.11.2026 09:37
Nach einem Leak von über 30 N-central-Exploits hat N-able seine Server offline genommen – mit Folgen für die IT-Verwaltung zahlreicher Unternehmen. (Sicherheitslücke, Server)

9

Außer der Reihe: Sicherheitsupdates für fast alle Apple-Geräte

Heise Security 10.11.2026 09:12
Apple hat iOS 27.2.1, macOS 27.2.1 und diverse weitere Updates veröffentlicht. Gestopft werden unter anderem Lücken in Bluetooth und der Nachrichten-App.

9

Chrome-Update stopft attackiertes Sicherheitsleck

Heise Security 10.11.2026 07:57
Google hat ein Update für den Webbrowser Chrome veröffentlicht. Die Entwickler warnen, dass eine Lücke bereits angegriffen wird.

9

Dringend patchen: Attackierte Chrome-Lücke gefährdet unzählige Nutzer

Golem 10.11.2026 07:25
Ein neues Chrome-Update adressiert mehrere gefährliche Sicherheitslücken. Eine wird bereits aktiv ausgenutzt. Nutzer sollten zügig patchen. (Sicherheitslücke, Google)

10.11.2026

9

SonicWall releases patches for 7 flaws in its firewalls, most involving unauthenticated access

CSO Online 10.11.2026 02:36
SonicWall on Monday updated its advisory about seven cybersecurity holes affecting its Gen 7 and Gen 8 firewalls, five of which allow unauthenticated remote attacks, to warn that it is aware of “potential” active exploitation of at least one of the bugs, CVE-2026-19868, a bypass of SAML authentication controls in its SonicOS SSL VPN service.
And Frank Dickson, principal analyst at Dickson Research, pointed out that these flaws involve different SonicWall product lines to those recently reported.

9

Hackers Compromise Ethersphere's bee-js and Swarm Desktop to Deliver Wallet-Stealing Malware

The Hacker News 09.11.2026 17:36
Attackers used the Ethersphere project's own release automation to publish malicious versions of two of its tools for the Swarm decentralized storage network: bee-js 13.3.0 and Swarm Desktop 0.56.2.

Both releases download and run code built to steal the wallet key that Swarm Desktop keeps for its node, along with the stored password that unlocks it. The code is also built to install a backdoor

9

Frankreich beschuldigt Iran nach Angriffen auf Kühlanlagen in Supermärkten

Spiegel Online 09.11.2026 17:20
Verdorbenes Fleisch, geschmolzenes Eis: Mittels Cyberattacken wurden in Frankreich Supermarkt-Kühlanlagen manipuliert und aufgeheizt. Paris sieht iranische Revolutionswächter hinter der Aktion, der französische Außenminister kündigt Konsequenzen an.

9

Frankreich: Iran steckt hinter Cyberangriffen auf Kühlsysteme

Heise Security 09.11.2026 17:19
Für die Sabotage von Kühlsystemen in mehreren europäischen Ländern ist nach Erkenntnissen der französischen Regierung der Iran verantwortlich.

9

Web3Auth Flaw Exploited to Steal Keplr Crypto, Provider Empties Other Wallets for Safety

The Hacker News 09.11.2026 10:56
Some people who set up a Keplr crypto wallet with their Google or Apple account have had money stolen by an attacker.

Keplr uses a company called Web3Auth to run that Google and Apple sign-in. The attacker used a security flaw at that company to reach the wallets, both companies said late last week.

Web3Auth then used the attacker's own route to empty other at-risk wallets before the attacker

9

Crédit Mutuel Arkéa Targeted in Reported $133m Heist

Infosecurity Magazine 09.11.2026 10:30
French co-operative bank Crédit Mutuel Arkéa has reported a cyber-attack enabling fraudulent transactions

9

Fernzugriff auf Türen und Motoren: Forscher demonstrieren folgenschwere Auto-Hacks

Golem 09.11.2026 10:19
Angreifer hätten durch eine Lücke in der Zugriffsverwaltung für App-Konten unzählige Autos zweier Hersteller aus der Ferne entriegeln und starten können. (Sicherheitslücke, API)

9

Notepad++: Update schließt Rechteausweitungslücke und mehr

Heise Security 09.11.2026 10:18
Mit dem Update auf Notepad++ 8.9.9 bessert Don Ho sechs Schwachstellen aus. Es gibt aber auch Verbesserungen etwa in der Performance.

9

LNbits Urges All Operators to Shut Down Their Bitcoin Lightning Wallet Servers Amid Attacks

The Hacker News 09.11.2026 10:01
Everyone running LNbits, a free, open-source Bitcoin Lightning wallet system, should shut down their servers now because of a wave of attacks, the project said yesterday.

It has several security fixes to release and asked operators to be careful until they are out. One operator said new accounts used an exploit to withdraw 2,285,545 satoshis, about 0.023 bitcoin, from his server before he could

9

Legen wir heute los

Aufschieben ist manchmal eine Lösung. Lassen Sie uns eine bessere finden. Wir stellen Ihnen gerne unseren Ansatz für Ihre Herausforderungen vor – selbstverständlich kostenfrei.

Lassen Sie uns jetzt über Ihr Anliegen sprechen

Nehmen Sie Kontakt auf