Managementberatung für Informationssicherheit
Wir sind die Experten für Information Security und Business Continuity Management.
Aufbau, Weiterentwicklung und Betrieb für Ihr ISMS
Sie brauchen Hilfe und Unterstützung wenn es um Informationssicherheit oder Business Continuity Management geht? Ihre Kunden verlangen von Ihnen eine Zertifizierung nach ISO 27001? Wir beraten und unterstützen Sie, Ihre Ziele zu erreichen. Egal, ob Sie fachliche Hilfe bei speziellen Themen benötigen oder ob Sie ihr gesamtes ISMS extern betreiben lassen möchten, sind wir der richtige Partner.
Informationssicherheit nach ISO 27001
Das Information Security Management System (ISMS) steuert alle Maßnahmen zur Informationssicherheit. Wenn es nach ISO 27001 zertifiziert ist, beweisen Sie Ihren Kunden, dass Sicherheit für Ihr Unternehmen kein Fremdwort ist. Wie machen Ihr ISMS reif für die Zertifizierung – Garantiert!
- Wir entwickeln Strategien zur Einführung eines Information Security Management Systems (ISMS).
- Wir helfen, die optimale Aufbau- und Ablauforganisation für das ISMS passend zu Ihrem Unternehmen zu finden.
- Wir analysieren die bestehenden Managementsysteme und zeigen Stärken und Schwächen sowie Chancen und Risiken auf.
- Wir beraten und begleiten die Verantwortlichen für Informationssicherheit (Chief Information Security Officers – CISO, Informationssicherheitsbeauftragte – ISB) bei der Um- und Durchsetzung ihrer Ideen und Vorhaben.
- Wir unterstützen Ihr Zertifizierungsvorhaben und begleiten Sie bei Ihrer Zertifizierung nach ISO 27001 oder ISO 27019 (§11 Abs. 1a EnWG).
- Wir prüfen Ihr Information Security Management System im Rahmen eines Internen Audits (First Party Audit) auf Basis von ISO 27001 mit Hilfe erprobter Checklisten. Auch helfen wir bei der Beurteilung Ihrer Lieferanten zum Beispiel mit Lieferantenaudits (Second Party Audits).
Business Continuity Management nach ISO 22301
Not- und Krisenfälle können die Existenz von Unternehmen bedrohen. Das Business Continuity Management (BCM) bereitet eine Organisation vor, auf Not- und Krisenfälle schnell zu reagieren, Schäden abzuwenden und die Geschäftsfortführung zu ermöglichen. Die Wiederherstellung der IT-Infrastruktur und der IT-Anwendungen ist eine eigene Teildisziplin des BCM: das IT-Service Continuity Management (ITSCM).
- Wir verbinden das Business Continuity Management mit dem Information Security Management und ermöglichen, Synergien zu heben.
- Wir unterstützen Sie beim Aufbau eines ISO 22301 konformen Business Continuity Management Systems.
- Wir identifizieren mit Ihnen Ihre geschäftskritischen Prozesse, IT-Systeme und Rollen.
- Wir helfen beim Erstellen von Notfallplänen, Krisenmanagementorganisationen und Testkonzepten, damit Sie für den Ernstfall gut vorbereitet sind.
- Wir zeigen verschiedene Notfallstrategien und technische Lösungen auf, und bewerten sie gemeinsam mit Ihnen.
Branchenfokus
Das deutsche Finanzaufsichtsrecht kennt klare Vorgaben für die Ausgestaltung des ISMS. Wichtigste Quelle für Banken und Finanzdienstleister sind die MaRisk, die die Einhaltung von anerkannten Standards wie die ISO 27000-Normenreihe fordern, und die Konkretiesierungen in den BAIT, VAIT bzw. KAIT. Wir kennen und verstehen diese Anforderungen aus langjähriger praktischer Erfahrung und sind mit den branchentypischen Prozesse und Regeln sehr gut vertraut.
Kritische Infrastrukturen (KritisVO)
Unternehmen, die zu den kritschen Infrastrukturen gerechnet werden, müssen umfangreiche Sicherheitsanforderungen erfüllen. Die Anforderungen gehen dabei über die der ISO 27001 hinaus. Wir unterstützen Unternehmen, die an ihre Branche gestellten Anforderungen zu bewerten und angemessen zu erfüllen. Dabei können wir auch auf unsere Expertise zurückgreifen, die wir selbst als durch das BSI zugelassene Prüfer nach §8a BSIG erworben haben.
IT-Sicherheitskatalog (§11 Abs. 1a EnWG)
Die Anforderungen für Betreiber von Energieversorgungsnetzen gehen über den Katalog der ISO 27001 Anhang A deutlich hinaus. Zudem stellt der Betrieb von Alt-(Legacy-)Systemen und über viele Jahre gewachsene IT-Landschaften besondere Herausforderungen an ein ISMS. Wir helfen, diese Herausforderungen zu bestehen und aus der vermeintlichen Mehrbelastung einen Mehrwert zu schaffen.
Damit Ihr Unternehmen geschützt ist – und Sie auch
Informationssicherheit bedeutet nicht Sicherheit um jeden Preis. Nur wer die Risiken kennt, kann die richtigen Entscheidungen treffen. Auch wenn Technik und Organisation im Unternehmen immer angreifbar sein wird, Ihre Entscheidungen sollten es nicht sein. Mit einem guten ISMS sind es auch nicht.
Wer wir sind
Die thinkSec GmbH ist eine inhabergeführte Unternehmensberatung, die sich auf das Themenfeld Informationssicherheit fokussiert hat. Hinter dem Unternehmen stehen über 20 Jahre praktische Erfahrung in IT- und in Informationssicherheit. So können wir ohne Umwege und Experimentieren schnell jedes Problem lösen. Bei großen Projekten können wir auf zuverlässige und kompetente Partner zurückgreifen und Ihre Projekte mit speziellen Fachkenntnisse und zusätzlichen Ressourcen unterstützen. Auch kennen wir die Prozesse und Ansprechpartnern bei Zertifizieren genau, so dass Ihr Zertifizierungsprojekt nicht mit unnötigen Abstimmungen und Rückfragen verzögert wird.
Langjährige Erfahrung
Detaillierte Branchenkenntnisse
Bewährtes Partnernetz
Direkte Verbindung zu Zertifizierungsstellen
Mission
Informationssicherheit ist keine Frage der Größe des Unternehmens. Wir schaffen für Sie ein maßgeschneidertes ISMS und helfen Ihnen, sich richtig zu schützen.
Unser Anspruch ist es, Ihrem Unternehmen ein System an die Hand zu geben, mit dem Sie jederzeit die Kontrolle über die Informationssicherheit und über Ihre Risiken haben.
Vision
Sicherheit ist nur dann gegeben, wenn Menschen, Technik und Organisation zusammenpasst. Unsere Vision ist es, hier eine Einheit zu schaffen:
- Eine Organisation, die zur Technik passt und die die Kultur des Unternehmens trägt.
- Technologien, die Mitarbeiter effektiv unterstützen und Prozesse effizient werden lassen.
- Mitarbeiter, die sich wertgeschätzt und geschützt, aber nicht Maßnahmen ausgebremst und durch Richtlinien bedroht fühlen.
Werte
Unser Anspruch ist es, unseren Kunden die bestmögliche Qualität zu bieten. Die Basis hierzu bilden:
- Ehrlichkeit
Zu sagen, was sich vermeintlich gefällig anhört, ist zwar einfach. Andere Standpunkte einzunehmen und unterschiedliche Ansichten zu diskutieren, halten wir aber für den besseren Weg. - Zuverlässigkeit
Ein Projekt wird nur dann zum Erfolg, wenn jeder sich auf den Anderen verlassen kann. Wir stehen zu unseren Zusagen sowohl zu Terminen als auch zu Qualität. - Vertraulichkeit
Der Schutz aller uns anvertrauten Informationen ist uns sehr wichtig. Wir wollen für Informationssicherheit immer ein guten Beispiel sein.
Jürgen Wutschka
Seit über 20 Jahren ist Jürgen Wutschka auf dem Gebiet der Informationssicherheit tätig. Seine Karriere startete er 1997 bei der Commerzbank AG und wechselte 2001 zu Union Investment. Als Chief Information Security Officer (CISO) war er für den Aufbau des Information Security und Business Continuity Managements verantwortlich. 2014 gründete er die thinkSec GmbH und berät seit dem Unternehmen beim Aufbau und bei der Weiterentwicklung ihrer Managementsysteme zur Informationssicherheit bzw. zur Business Continuity und in allen Fragen zur IT-Sicherheit. Als ISO 27001 Lead Auditor führt er Zertifizierungsaudits im Auftrag von Zertifizierungsstellen durch.
Der Diplom Wirtschaftsinformatiker (Univ.) ist als CISSP und Cyber Security Practitioner (ISACA) zertifiziert.
Fragen und Antworten
Wir brauchen eine ISO 27001-Zertifizierung. Was müssen wir tun?
Der Weg zum Zertifikat hat drei wesentliche Meilensteine. Zuerst muss das ISMS spezifiziert sein, d.h. Prozesse, Richtlinien und Vorlagen sind zu entwickeln. Der zweite Meilenstein ist ein erfolgreicher initialer Betrieb. Prozesse, Richtlinien und die Vorlagen kommen zur Anwendung und durchlaufen den ersten Verbesserungszyklus. Dritter und wichtigster Meilenstein ist die Zertifizierung durch eine Zertifizierungsgesellschaft (Certification Body). Wir leiten Sie an, das Richtige zum richtigen Zeitpunkt zu machen, damit Sie schnell und ohne Umwege zum Ziel kommen.
Mit welchem Aufwand ist eine Zertifizierung verbunden?
Der Aufwand hängt von sehr vielen Faktoren ab und lässt sich pauschal leider so nicht abschätzen. Damit Ihr Zertifizierungsprojekt sowohl von der Dauer als auch vom Aufwand verlässlich planbar wird, empfehlen wir, zuerst eine Reifegradanalyse durchzuführen. So können Sie genau bestimmen, wo Sie stehen, welche Handlungsfelder anzugehen sind und mit welchem zeitlichen und personellen Aufwand zu rechnen ist. Sprechen Sie uns für eine Reifegradanalyse und Projektplanung gerne an.
Inwieweit können Sie uns bei technischen Projekten unterstützen?
Unser Schwerpunkt sind zwar Managementsysteme, aber Technik und Organisation bilden immer eine Einheit. Sicherheitstechnik ist nur so gut, wie deren Einbindung in bestehende Prozesse und Steuerungssysteme. Wir unterstützen Sie bei der Entwicklung und Überprüfung der Netzwerkkonzeptionen und Systemarchitekturen mit den dazugehörigen Anforderungen. Die technische Implementierung überlassen wir den Spezialisten. Wir verstehen aber deren Sprache, können so die technische Umsetzung begleiten und das Sicherheitsniveau sicherstellen.
Führen Sie selbst Audits und Pentests durch ?
Wir machen viel, aber nicht alles. Technische Schwachstellentests (Pentests) ist ein eigenes Aufgabengebiet, das wir nicht anbieten. Wir helfen jedoch, bei der Planung, Konzeption und Auswahl von Spezialisten für Pentests. Unser Fachgebiet ist die Beurteilung des Managementsystems. Wir führen wir gerne ein Audit nach Ihren Wünschen bei Ihnen selbst als internes Audit (1st party audit) oder bei Ihren Lieferanten als Lieferantenaudit (2nd party audit) durch. Zertifizierungsaudits (3rd party audit) dürfen jedoch nur Zertifizierungsgesellschaften anbieten. Hier sind wir immer Auftrag dieser Gesellschaften als Auditor tätig.
Nachrichtenüberblick
25.09.2026
WordPress patches a critical severity security vulnerability
CSO Online 24.09.2026 20:26
WordPress has patched what it described as a critical severity security vulnerability that would allow an unauthenticated attacker full remote code execution (RCE) capabilities. There have already been reports of attacks in the wild.
Given its popularity, WordPress has frequently been under attack, and patched another maximum severity bug allowing RCE in July. WordPress said the current hole, tracked as CVE-2026-87902, was discovered and reported to the company by Switzerland-based security researcher Robert Ressl.
Unpatched OnePlus Flaws Let Installed Android Apps Gain Root Without Permissions
The Hacker News 24.09.2026 18:10
A OnePlus 15 running the latest OxygenOS can be rooted by a malicious app the owner installs, one that asks for no special permissions. A researcher, Rasmus Moorats, chained two flaws in OnePlus's own software to gain root access, the highest level of control over an Android phone.
OnePlus told him the same flaws affect many more of its own devices and those of OPPO, though it has not
Angriff mit KI-Agenten auf hunderte Shops: 600.000 Kreditkartendaten geklaut
Heise Security 24.09.2026 13:02
Ein Angreifer hat hunderte Online-Shops mit KI-Agenten angegriffen und dabei Daten von mehr als 600.000 Kreditkarten abgegriffen.
UK Government Shifts to Service-Led Cyber Governance After Stinging Audit
Infosecurity Magazine 24.09.2026 11:00
Whitehall is shifting from mandatory cyber controls to service-led governance following a critical audit exposing failures of its 2022 cyber strategy
Speicherort von Microsoft-365-Daten für kurze Zeit wählbar
Heise Security 24.09.2026 09:29
IT-Verantwortliche haben bis zum 14. Dezember Zeit, den Speicherort ihrer Microsoft-365-Daten auszuwählen: im eigenen Land oder EU.
Sicherheitspatch gegen Schadcode repariert SolarWinds Observability Self-Hosted
Heise Security 24.09.2026 08:23
Die Monitoring-Lösung für IT-Infrastrukturen SolarWinds Observability Self-Hosted ist unter bestimmten Voraussetzungen verwundbar.
23.09.2026
Österreich setzt NIS2 um, erhält Bundesamt für Cybersicherheit
Heise Security 22.09.2026 21:24
Die NIS-2-Richtlinie beschert Österreich Registrierungspflichten für Unternehmen und Behörden. Diese erhalten Zuwachs: Das neue Bundesamt für Cybersicherheit.
Check Point Warns of Management Server Zero-Day Exploited in Targeted Attacks
The Hacker News 22.09.2026 18:29
Attackers exploited a previously unknown flaw in Check Point's Security Management Server in a handful of targeted attacks on July 23, the company said.
The flaw, CVE-2026-93616, allows an attacker who can access the server's web service to run scripts on it without logging in. Check Point released a fix on September 22 for the server that controls firewall policies for the Check Point
Gleich noch ein Sicherheitsupdate für WordPress
Heise Security 22.09.2026 18:29
Angreifer können WordPress dazu bringen, nicht vorgesehene .php-Dateien aufzurufen. Das kann zur Ausführung von Code führen.
Künstliche Intelligenz: Staats- und Regierungschefs fordern stärkere Kontrolle hoch entwickelter KI
Spiegel Online 22.09.2026 14:55
Politiker wie Bundeskanzler Merz und Kanadas Premierminister Carney plädieren für neue KI-Sicherheitsregeln. Noch fehlt dem Aufruf aber die Unterstützung der zwei für die KI-Entwicklung wichtigsten Länder.
Windows-Update-Nebenwirkung: Dateiversionsverlauf lahmgelegt
Heise Security 22.09.2026 11:18
Die September-Sicherheitsupdates für Windows erzeugen ein weiteres Problem: Der Dateiversionsverlauf kann ausfallen.
Forscher eskaliert weiter: Zero-Day-Exploit trickst den Windows Defender aus
Golem 22.09.2026 09:25
Ein neuer Exploit von Nightmare Eclipse hindert den Windows Defender daran, sich zu aktualisieren. Das ermöglicht weiterführende Angriffe. (Sicherheitslücke, Microsoft)
Microsoft wirft SMS-basierte Authentifizierung aus Entra ID raus
Heise Security 22.09.2026 07:58
Microsofts Identitätsverwaltung und Login-Lösung Entra ID erlaubt die Authentifizierung mit SMS. Das soll bald ein Ende haben.
Sicherheitsupdates: Click2Shell-Lücke zum Kompromittieren von WordPress-Websites
Heise Security 22.09.2026 07:52
Aufgrund mehrerer Sicherheitslücken raten die WordPress-Entwickler zu einem zügigen Update. Bislang gibt es keine Hinweise auf Attacken.
Cybergang-Fehde: ShinyHunters knackt Cl0p-Darknetseite
Heise Security 22.09.2026 06:45
Die Cybergang ShinyHunters liefert sich eine offene Schlacht mit der Cl0p-Bande. Die Darknet-Seite von Cl0p wurde übernommen.
Microsoft gesteht: Update-Panne macht Dateiversionsverlauf von Windows kaputt
Golem 22.09.2026 06:44
Die Windows-Updates von September ziehen allerhand Probleme nach sich. Auch der Dateiversionsverlauf funktioniert nicht mehr richtig. (Windows, Microsoft)
WordPress Comment2Shell Flaw Can Turn Anonymous Comment XSS Into RCE via Admin Session
The Hacker News 22.09.2026 06:03
A new flaw in WordPress core let an anonymous visitor leave a comment that planted a hidden script on the page. If a logged-in administrator later opened that page, the script could run code on the site's server.
WordPress fixed the flaw, tracked as CVE-2026-93485 and called "Comment2Shell," on September 17 in version 7.1.1 and told site owners to update right away. There is
Rechnungshof: EU nicht genug gegen Cyberangriffe gewappnet
Heise Security 22.09.2026 05:42
Eine Attacke legte 2025 IT-Systeme an europäischen Flughäfen lahm und zeigte die Verwundbarkeit bei Cyberangriffen. Unabhängige Prüfer kritisieren Lücken.
24.09.2026
F5 fixes actively exploited zero-day flaw in BIG-IP APM
CSO Online 23.09.2026 20:44
Technology company F5 fixed a critical remote code execution vulnerability in its BIG-IP Access Policy Manager (APM) platform on Tuesday. The flaw impacts deployments configured as OAuth authorization servers and was already under active exploitation in the wild before the patch became available.
BIG-IP APM is a software component in F5’s BIG-IP hardware platform that enables companies to control access to internal network resources. APM performs various client-side checks and handles authorization and authentication, along with providing VPN connectivity for remote users.
New cPanel Flaw Lets a Hosting Account Run Code as Root, Take Full Server Control
The Hacker News 23.09.2026 12:16
A flaw in cPanel's CalDAV and CardDAV service lets anyone with a cPanel hosting account run code as root and take "full control of the server," the company said on September 22.
A second bug in the WP Toolkit plugin, used to install and manage WordPress sites, allows an account holder to change databases that belong to other accounts.
cPanel has released fixed versions for both,
UniFi Gateways und Firewalls: Ubiquiti schließt DoS-Lücken
Heise Security 23.09.2026 11:53
In UniFi-Firewalls und -Gateways klaffen hochriskante Denial-of-Service-Lücken. Aktualisierte Firmware stopft die Lecks.
Absturzgefahr: Exploit lässt Angreifer DJI-Drohnen mitten im Flug kapern
Golem 23.09.2026 10:48
Mehrere Drohnenmodelle des Herstellers DJI sind anfällig für eine gefährliche Sicherheitslücke, die eine vollständige Kontrollübernahme ermöglicht. (Sicherheitslücke, WLAN)
NetBSD 10.2 stopft einige Sicherheitslücken
Heise Security 23.09.2026 10:02
NetBSD ist jüngst als Point-Release 10.2 erschienen. Die Entwickler schließen damit einige Sicherheitslücken.
Patchday: Adobe Connect ist unter Android, macOS und Windows verwundbar
Heise Security 23.09.2026 08:45
Es sind wichtige Sicherheitsupdates für verschiedene Adobe-Anwendungen erschienen.
F5 Patches Critical BIG-IP APM Zero-Day Exploited for Unauthenticated RCE on OAuth Servers
The Hacker News 23.09.2026 08:29
Attackers are exploiting a critical flaw in F5 BIG-IP Access Policy Manager (APM) that lets them run code on a BIG-IP system without logging in, F5 says.
The flaw, CVE-2026-94127, affects only systems in which APM serves as an OAuth authorization server, issuing access tokens to applications. F5 disclosed it in an advisory on September 22 and has released engineering hotfixes.
Critical Next.js ImageResponse Flaw Can Lead to Server Code Execution via Crafted SVG Input
The Hacker News 23.09.2026 07:04
A new security vulnerability in Next.js could allow attackers to run code on a server via ImageResponse, the feature that generates Open Graph and other social preview images, Vercel said.
The risk applies when an app puts values an attacker controls, such as text read from the request URL, into the image. Vercel, which develops Next.js, fixed the flaw on September 22 in version
Legen wir heute los
Aufschieben ist manchmal eine Lösung. Lassen Sie uns eine bessere finden. Wir stellen Ihnen gerne unseren Ansatz für Ihre Herausforderungen vor – selbstverständlich kostenfrei.