Managementberatung für Informationssicherheit
Wir sind die Experten für Information Security und Business Continuity Management.
Aufbau, Weiterentwicklung und Betrieb für Ihr ISMS
Sie brauchen Hilfe und Unterstützung wenn es um Informationssicherheit oder Business Continuity Management geht? Ihre Kunden verlangen von Ihnen eine Zertifizierung nach ISO 27001? Wir beraten und unterstützen Sie, Ihre Ziele zu erreichen. Egal, ob Sie fachliche Hilfe bei speziellen Themen benötigen oder ob Sie ihr gesamtes ISMS extern betreiben lassen möchten, sind wir der richtige Partner.
Informationssicherheit nach ISO 27001
Das Information Security Management System (ISMS) steuert alle Maßnahmen zur Informationssicherheit. Wenn es nach ISO 27001 zertifiziert ist, beweisen Sie Ihren Kunden, dass Sicherheit für Ihr Unternehmen kein Fremdwort ist. Wie machen Ihr ISMS reif für die Zertifizierung – Garantiert!
- Wir entwickeln Strategien zur Einführung eines Information Security Management Systems (ISMS).
- Wir helfen, die optimale Aufbau- und Ablauforganisation für das ISMS passend zu Ihrem Unternehmen zu finden.
- Wir analysieren die bestehenden Managementsysteme und zeigen Stärken und Schwächen sowie Chancen und Risiken auf.
- Wir beraten und begleiten die Verantwortlichen für Informationssicherheit (Chief Information Security Officers – CISO, Informationssicherheitsbeauftragte – ISB) bei der Um- und Durchsetzung ihrer Ideen und Vorhaben.
- Wir unterstützen Ihr Zertifizierungsvorhaben und begleiten Sie bei Ihrer Zertifizierung nach ISO 27001 oder ISO 27019 (§11 Abs. 1a EnWG).
- Wir prüfen Ihr Information Security Management System im Rahmen eines Internen Audits (First Party Audit) auf Basis von ISO 27001 mit Hilfe erprobter Checklisten. Auch helfen wir bei der Beurteilung Ihrer Lieferanten zum Beispiel mit Lieferantenaudits (Second Party Audits).
Business Continuity Management nach ISO 22301
Not- und Krisenfälle können die Existenz von Unternehmen bedrohen. Das Business Continuity Management (BCM) bereitet eine Organisation vor, auf Not- und Krisenfälle schnell zu reagieren, Schäden abzuwenden und die Geschäftsfortführung zu ermöglichen. Die Wiederherstellung der IT-Infrastruktur und der IT-Anwendungen ist eine eigene Teildisziplin des BCM: das IT-Service Continuity Management (ITSCM).
- Wir verbinden das Business Continuity Management mit dem Information Security Management und ermöglichen, Synergien zu heben.
- Wir unterstützen Sie beim Aufbau eines ISO 22301 konformen Business Continuity Management Systems.
- Wir identifizieren mit Ihnen Ihre geschäftskritischen Prozesse, IT-Systeme und Rollen.
- Wir helfen beim Erstellen von Notfallplänen, Krisenmanagementorganisationen und Testkonzepten, damit Sie für den Ernstfall gut vorbereitet sind.
- Wir zeigen verschiedene Notfallstrategien und technische Lösungen auf, und bewerten sie gemeinsam mit Ihnen.
Branchenfokus
Das deutsche Finanzaufsichtsrecht kennt klare Vorgaben für die Ausgestaltung des ISMS. Wichtigste Quelle für Banken und Finanzdienstleister sind die MaRisk, die die Einhaltung von anerkannten Standards wie die ISO 27000-Normenreihe fordern, und die Konkretiesierungen in den BAIT, VAIT bzw. KAIT. Wir kennen und verstehen diese Anforderungen aus langjähriger praktischer Erfahrung und sind mit den branchentypischen Prozesse und Regeln sehr gut vertraut.
Kritische Infrastrukturen (KritisVO)
Unternehmen, die zu den kritschen Infrastrukturen gerechnet werden, müssen umfangreiche Sicherheitsanforderungen erfüllen. Die Anforderungen gehen dabei über die der ISO 27001 hinaus. Wir unterstützen Unternehmen, die an ihre Branche gestellten Anforderungen zu bewerten und angemessen zu erfüllen. Dabei können wir auch auf unsere Expertise zurückgreifen, die wir selbst als durch das BSI zugelassene Prüfer nach §8a BSIG erworben haben.
IT-Sicherheitskatalog (§11 Abs. 1a EnWG)
Die Anforderungen für Betreiber von Energieversorgungsnetzen gehen über den Katalog der ISO 27001 Anhang A deutlich hinaus. Zudem stellt der Betrieb von Alt-(Legacy-)Systemen und über viele Jahre gewachsene IT-Landschaften besondere Herausforderungen an ein ISMS. Wir helfen, diese Herausforderungen zu bestehen und aus der vermeintlichen Mehrbelastung einen Mehrwert zu schaffen.
Damit Ihr Unternehmen geschützt ist – und Sie auch
Informationssicherheit bedeutet nicht Sicherheit um jeden Preis. Nur wer die Risiken kennt, kann die richtigen Entscheidungen treffen. Auch wenn Technik und Organisation im Unternehmen immer angreifbar sein wird, Ihre Entscheidungen sollten es nicht sein. Mit einem guten ISMS sind es auch nicht.
Wer wir sind
Die thinkSec GmbH ist eine inhabergeführte Unternehmensberatung, die sich auf das Themenfeld Informationssicherheit fokussiert hat. Hinter dem Unternehmen stehen über 20 Jahre praktische Erfahrung in IT- und in Informationssicherheit. So können wir ohne Umwege und Experimentieren schnell jedes Problem lösen. Bei großen Projekten können wir auf zuverlässige und kompetente Partner zurückgreifen und Ihre Projekte mit speziellen Fachkenntnisse und zusätzlichen Ressourcen unterstützen. Auch kennen wir die Prozesse und Ansprechpartnern bei Zertifizieren genau, so dass Ihr Zertifizierungsprojekt nicht mit unnötigen Abstimmungen und Rückfragen verzögert wird.
Langjährige Erfahrung
Detaillierte Branchenkenntnisse
Bewährtes Partnernetz
Direkte Verbindung zu Zertifizierungsstellen
Mission
Informationssicherheit ist keine Frage der Größe des Unternehmens. Wir schaffen für Sie ein maßgeschneidertes ISMS und helfen Ihnen, sich richtig zu schützen.
Unser Anspruch ist es, Ihrem Unternehmen ein System an die Hand zu geben, mit dem Sie jederzeit die Kontrolle über die Informationssicherheit und über Ihre Risiken haben.
Vision
Sicherheit ist nur dann gegeben, wenn Menschen, Technik und Organisation zusammenpasst. Unsere Vision ist es, hier eine Einheit zu schaffen:
- Eine Organisation, die zur Technik passt und die die Kultur des Unternehmens trägt.
- Technologien, die Mitarbeiter effektiv unterstützen und Prozesse effizient werden lassen.
- Mitarbeiter, die sich wertgeschätzt und geschützt, aber nicht Maßnahmen ausgebremst und durch Richtlinien bedroht fühlen.
Werte
Unser Anspruch ist es, unseren Kunden die bestmögliche Qualität zu bieten. Die Basis hierzu bilden:
- Ehrlichkeit
Zu sagen, was sich vermeintlich gefällig anhört, ist zwar einfach. Andere Standpunkte einzunehmen und unterschiedliche Ansichten zu diskutieren, halten wir aber für den besseren Weg. - Zuverlässigkeit
Ein Projekt wird nur dann zum Erfolg, wenn jeder sich auf den Anderen verlassen kann. Wir stehen zu unseren Zusagen sowohl zu Terminen als auch zu Qualität. - Vertraulichkeit
Der Schutz aller uns anvertrauten Informationen ist uns sehr wichtig. Wir wollen für Informationssicherheit immer ein guten Beispiel sein.
Jürgen Wutschka
Seit über 20 Jahren ist Jürgen Wutschka auf dem Gebiet der Informationssicherheit tätig. Seine Karriere startete er 1997 bei der Commerzbank AG und wechselte 2001 zu Union Investment. Als Chief Information Security Officer (CISO) war er für den Aufbau des Information Security und Business Continuity Managements verantwortlich. 2014 gründete er die thinkSec GmbH und berät seit dem Unternehmen beim Aufbau und bei der Weiterentwicklung ihrer Managementsysteme zur Informationssicherheit bzw. zur Business Continuity und in allen Fragen zur IT-Sicherheit. Als ISO 27001 Lead Auditor führt er Zertifizierungsaudits im Auftrag von Zertifizierungsstellen durch.
Der Diplom Wirtschaftsinformatiker (Univ.) ist als CISSP und Cyber Security Practitioner (ISACA) zertifiziert.
Fragen und Antworten
Wir brauchen eine ISO 27001-Zertifizierung. Was müssen wir tun?
Der Weg zum Zertifikat hat drei wesentliche Meilensteine. Zuerst muss das ISMS spezifiziert sein, d.h. Prozesse, Richtlinien und Vorlagen sind zu entwickeln. Der zweite Meilenstein ist ein erfolgreicher initialer Betrieb. Prozesse, Richtlinien und die Vorlagen kommen zur Anwendung und durchlaufen den ersten Verbesserungszyklus. Dritter und wichtigster Meilenstein ist die Zertifizierung durch eine Zertifizierungsgesellschaft (Certification Body). Wir leiten Sie an, das Richtige zum richtigen Zeitpunkt zu machen, damit Sie schnell und ohne Umwege zum Ziel kommen.
Mit welchem Aufwand ist eine Zertifizierung verbunden?
Der Aufwand hängt von sehr vielen Faktoren ab und lässt sich pauschal leider so nicht abschätzen. Damit Ihr Zertifizierungsprojekt sowohl von der Dauer als auch vom Aufwand verlässlich planbar wird, empfehlen wir, zuerst eine Reifegradanalyse durchzuführen. So können Sie genau bestimmen, wo Sie stehen, welche Handlungsfelder anzugehen sind und mit welchem zeitlichen und personellen Aufwand zu rechnen ist. Sprechen Sie uns für eine Reifegradanalyse und Projektplanung gerne an.
Inwieweit können Sie uns bei technischen Projekten unterstützen?
Unser Schwerpunkt sind zwar Managementsysteme, aber Technik und Organisation bilden immer eine Einheit. Sicherheitstechnik ist nur so gut, wie deren Einbindung in bestehende Prozesse und Steuerungssysteme. Wir unterstützen Sie bei der Entwicklung und Überprüfung der Netzwerkkonzeptionen und Systemarchitekturen mit den dazugehörigen Anforderungen. Die technische Implementierung überlassen wir den Spezialisten. Wir verstehen aber deren Sprache, können so die technische Umsetzung begleiten und das Sicherheitsniveau sicherstellen.
Führen Sie selbst Audits und Pentests durch ?
Wir machen viel, aber nicht alles. Technische Schwachstellentests (Pentests) ist ein eigenes Aufgabengebiet, das wir nicht anbieten. Wir helfen jedoch, bei der Planung, Konzeption und Auswahl von Spezialisten für Pentests. Unser Fachgebiet ist die Beurteilung des Managementsystems. Wir führen wir gerne ein Audit nach Ihren Wünschen bei Ihnen selbst als internes Audit (1st party audit) oder bei Ihren Lieferanten als Lieferantenaudit (2nd party audit) durch. Zertifizierungsaudits (3rd party audit) dürfen jedoch nur Zertifizierungsgesellschaften anbieten. Hier sind wir immer Auftrag dieser Gesellschaften als Auditor tätig.
Nachrichtenüberblick
31.08.2026
Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE
The Hacker News 29.08.2026 16:25
Multiple critical security flaws have been disclosed in WordPress plugins and themes, including WPMU DEV Dashboard, Avada, TranslatePress, Pods, and GiveWP, that could lead to authentication bypass, account takeover, and arbitrary code execution.
The vulnerabilities, according to Wordfence and Patchstack, are listed below –
CVE-2026-76581 (CVSS score: 9.8) – An authentication bypass flaw in
30 Bitcoin oder Leak – Ransomware-Bande erpresst Berlin
Heise Security 29.08.2026 09:51
Die Gruppe „Rhysida“ will 30 Bitcoin von Berlin, oder vertrauliche Daten veröffentlichen. Die Stadt will nicht zahlen, sagte Kai Wegner.
29.08.2026
ServiceNow patches three maximum severity flaws that could put enterprise data at risk
CSO Online 28.08.2026 22:59
Code injection and SQL injection attacks have been around for decades, and they are still tried-and-true ways for attackers to compromise systems.
ServiceNow’s latest trio of maximum severity flaws shows that even AI-era platforms remain vulnerable to these techniques: The software provider has released patches for three bugs in its ServiceNow AI Platform that could be exploited via low-complexity code injection, SQL injection, and privilege escalation attacks, with no user interaction required.
Cosmos EVM Flaw Exploited After Cosmos Labs Knew Every Blockchain Running It Was Vulnerable
The Hacker News 28.08.2026 20:38
Cosmos Labs has warned that a critical balance-handling flaw in the shared Cosmos EVM module was exploited to drain funds from six blockchains between August 20 and August 25, 2026.
The vulnerability, designated GHSA-7g4w-cg88-2cq2, is rated Critical by Cosmos Labs and was published without a CVE identifier, a weakness classification, or a CVSS score.
Affected versions are < 0.6.2 and >=
GPUThor hardware attack can root Nvidia GPU systems
CSO Online 28.08.2026 18:46
Hardware security researchers from University of Toronto have developed a new memory bit flipping technique that significantly improves on previously known attacks against GPU memory. The new method can defeat the error-correcting codes (ECC) defense used on enterprise Nvidia GPUs and can lead to root access on the underlying system.
Dubbed GPUThor, the technique falls in a category of attacks known as Rowhammer that exploits the cell density of modern random access memory (RAM) chips. The original Rowhammer attack was demonstrated against DDR3 and DDR4 chips back in 2015 and relies on an older observation that tightly packed rows of memory cells can sometimes leak electrical charges to adjacent rows, flipping the stored bit values in those cells from 0 to 1 or the other way around.
Android 17 Adds OS-Wide ECH to Hide Website Visits From Network Providers
The Hacker News 28.08.2026 16:20
Google on Thursday announced new network security protections in Android 17 to bolster connection privacy, address cellular vulnerabilities, and safeguard the privacy of users' home networks.
Topping the list is support for Encrypted Client Hello (ECH), a privacy standard that prevents networks from eavesdropping on which websites a user is visiting.
"This new privacy standard works in tandem
Berlin: Cyberangriff auf die Hauptstadt – die Hacker fordern 30 Bitcoin
Spiegel Online 28.08.2026 15:09
Hinter dem Cyberangriff auf Berlin steckt die Ransomware-Gang Rhysida. Die Hacker behaupten, fast sechs Terabyte teils kritischer Daten erbeutet zu haben, wollen dafür gut zwei Millionen Euro – und setzen eine Frist.
Three CVSS 10.0 ServiceNow Flaws Could Let Unauthenticated Attackers Execute Code and SQL
The Hacker News 28.08.2026 11:20
ServiceNow has released patches for four security flaws impacting the ServiceNow AI Platform, three of them rated 10.0 on the CVSS scoring system and exploitable, in certain circumstances, by an unauthenticated attacker.
The company said it deployed a security update to hosted instances and provided the update to its partners and self-hosted customers, which leaves organizations that run their
(OEM-)China-Router von ZBT mit Backdoors
Heise Security 28.08.2026 10:39
IT-Forscher haben Router vom OEM-Hersteller ZBT untersucht, die weltweit von Anbietern verkauft werden. Darin fanden sie Backdoors.
Patch-Defizit in Deutschland: Exploit gefährdet 85 Prozent aller Exchange-Server
Golem 28.08.2026 10:20
Auf Github ist ein Exploit für eine gefährliche Exchange-Lücke aufgetaucht. Einen Patch gibt es zwar, doch den haben in Deutschland nur wenige installiert. (Sicherheitslücke, Microsoft)
Zwei kritische Lücken in Next.js – Remote-Code-Ausführung unter Windows
Heise Security 28.08.2026 10:11
Die zwei kritischen von Vercel gemeldeten Lücken im JavaScript-Framework Next.js ermöglichen es Angreifern, Code auszuführen.
Critical cPanel Flaw Could Let One Hosting Customer Take Root Control of a Whole Server
The Hacker News 28.08.2026 09:45
cPanel has released patches for a security flaw affecting domain parking and addon domain functionality in cPanel and WebHost Manager (WHM), which could allow code execution as the root user.
The vulnerability, assigned the CVE identifier CVE-2026-65643, impacts all supported versions of cPanel & WHM.
cPanel described the issue as a critical security vulnerability and said that an
PaperCut Zero-Day Exploited in Attacks, Affecting All NG and MF Versions
The Hacker News 28.08.2026 08:25
PaperCut has alerted customers that bad actors are actively exploiting a vulnerability impacting all versions of its PaperCut NG and PaperCut MF print management software in zero-day attacks.
The company has released an emergency patch for v25 and v26 to address the issue. It said it's "aware of confirmed customer incidents and is treating this matter with the highest priority." An
Threat Actors Abuse Cursor Agent AI to Assist Ransomware Operations
Infosecurity Magazine 28.08.2026 08:00
Aurora ransomware operators are abusing SpaceX’s Cursor Agent AI tool to conduct tasks such as reconnaissance and exploitation activities
Google macht Android 17 sicherer: ECH-Unterstützung und 2G-Abschaltung
Heise Security 28.08.2026 07:58
Mit Android 17 führt Google neue Netzwerksicherheitsfunktionen ein. Diese sollen Verbindungen absichern und die Privatsphäre im heimischen WLAN schützen.
TeamViewer schließt hochriskante Lücken in Clients
Heise Security 28.08.2026 07:46
Die TeamViewer-Clients können Angreifern das Ausführen von Schadcode ermöglichen. Updates stopfen die hochriskanten Sicherheitslücken.
Jetzt patchen! Angreifer attackieren PaperCut NG/MF
Heise Security 28.08.2026 07:02
Der Hersteller der Druckerverwaltungssoftware PaperCut NG/MF hat ein Notfall-Sicherheitsupdate veröffentlicht.
28.08.2026
Zwei mutmaßlich zu TeamPCP gehörende Cyberkriminelle in Australien verhaftet
Heise Security 28.08.2026 03:35
TeamPCP wird für den weitreichenden LiteLLM-Lieferkettenangriff verantwortlich gemacht. Jetzt wurden wohl zwei Mitglieder der Cybergang in Australien gefasst.
Berlin: Cyberangriff auf Verwaltung begann lange vor der Entdeckung
Heise Security 27.08.2026 16:09
Beim Hackerangriff auf die Berliner Verwaltung flossen über Tage Daten ab. Wann die Angreifer ins Landesnetz eindrangen, ist weiterhin unklar.
Fehlkonfiguration bei IServ-Schwester ermöglichte Zugriff auf Cloud-Dienste
Heise Security 27.08.2026 13:36
Eine Fehlkonfiguration bei IServ-Schwester Virality ermöglichte unautorisierten Zugriff auf Cloud-Dienste. Laut IServ gibt es keine Hinweise auf Datenabfluss.
Sicherheitsrisiko: Handy-Telefonate legen Smartphone-Daten offen
Spiegel Online 27.08.2026 13:16
Ein simpler Anruf reichte, um sicherheitsrelevante Informationen abzuschöpfen. Laut einem Bericht des Bayerischen Rundfunks leakten deutsche Provider Daten ihrer Kunden. Der Verfassungsschutz sieht ein Sicherheitsrisiko.
Veeam ONE: Angreifer können Servicekonten übernehmen
Heise Security 27.08.2026 12:38
Eine kritische Sicherheitslücke bedroht die IT-Überwachungs- und Analyseplattform Veeam ONE. Eine reparierte Version steht zum Download bereit.
Ubiquiti schließt mehrere kritische Sicherheitslücken
Heise Security 27.08.2026 11:59
Ubiquiti kümmert sich um 22 Sicherheitslecks in mehreren Produkten. Die meisten davon gelten als kritisches Risiko.
Legen wir heute los
Aufschieben ist manchmal eine Lösung. Lassen Sie uns eine bessere finden. Wir stellen Ihnen gerne unseren Ansatz für Ihre Herausforderungen vor – selbstverständlich kostenfrei.