Managementberatung für Informationssicherheit
Wir sind die Experten für Information Security und Business Continuity Management.
Aufbau, Weiterentwicklung und Betrieb für Ihr ISMS
Sie brauchen Hilfe und Unterstützung wenn es um Informationssicherheit oder Business Continuity Management geht? Ihre Kunden verlangen von Ihnen eine Zertifizierung nach ISO 27001? Wir beraten und unterstützen Sie, Ihre Ziele zu erreichen. Egal, ob Sie fachliche Hilfe bei speziellen Themen benötigen oder ob Sie ihr gesamtes ISMS extern betreiben lassen möchten, sind wir der richtige Partner.
Informationssicherheit nach ISO 27001
Das Information Security Management System (ISMS) steuert alle Maßnahmen zur Informationssicherheit. Wenn es nach ISO 27001 zertifiziert ist, beweisen Sie Ihren Kunden, dass Sicherheit für Ihr Unternehmen kein Fremdwort ist. Wie machen Ihr ISMS reif für die Zertifizierung – Garantiert!
- Wir entwickeln Strategien zur Einführung eines Information Security Management Systems (ISMS).
- Wir helfen, die optimale Aufbau- und Ablauforganisation für das ISMS passend zu Ihrem Unternehmen zu finden.
- Wir analysieren die bestehenden Managementsysteme und zeigen Stärken und Schwächen sowie Chancen und Risiken auf.
- Wir beraten und begleiten die Verantwortlichen für Informationssicherheit (Chief Information Security Officers – CISO, Informationssicherheitsbeauftragte – ISB) bei der Um- und Durchsetzung ihrer Ideen und Vorhaben.
- Wir unterstützen Ihr Zertifizierungsvorhaben und begleiten Sie bei Ihrer Zertifizierung nach ISO 27001 oder ISO 27019 (§11 Abs. 1a EnWG).
- Wir prüfen Ihr Information Security Management System im Rahmen eines Internen Audits (First Party Audit) auf Basis von ISO 27001 mit Hilfe erprobter Checklisten. Auch helfen wir bei der Beurteilung Ihrer Lieferanten zum Beispiel mit Lieferantenaudits (Second Party Audits).
Business Continuity Management nach ISO 22301
Not- und Krisenfälle können die Existenz von Unternehmen bedrohen. Das Business Continuity Management (BCM) bereitet eine Organisation vor, auf Not- und Krisenfälle schnell zu reagieren, Schäden abzuwenden und die Geschäftsfortführung zu ermöglichen. Die Wiederherstellung der IT-Infrastruktur und der IT-Anwendungen ist eine eigene Teildisziplin des BCM: das IT-Service Continuity Management (ITSCM).
- Wir verbinden das Business Continuity Management mit dem Information Security Management und ermöglichen, Synergien zu heben.
- Wir unterstützen Sie beim Aufbau eines ISO 22301 konformen Business Continuity Management Systems.
- Wir identifizieren mit Ihnen Ihre geschäftskritischen Prozesse, IT-Systeme und Rollen.
- Wir helfen beim Erstellen von Notfallplänen, Krisenmanagementorganisationen und Testkonzepten, damit Sie für den Ernstfall gut vorbereitet sind.
- Wir zeigen verschiedene Notfallstrategien und technische Lösungen auf, und bewerten sie gemeinsam mit Ihnen.
Branchenfokus
Das deutsche Finanzaufsichtsrecht kennt klare Vorgaben für die Ausgestaltung des ISMS. Wichtigste Quelle für Banken und Finanzdienstleister sind die MaRisk, die die Einhaltung von anerkannten Standards wie die ISO 27000-Normenreihe fordern, und die Konkretiesierungen in den BAIT, VAIT bzw. KAIT. Wir kennen und verstehen diese Anforderungen aus langjähriger praktischer Erfahrung und sind mit den branchentypischen Prozesse und Regeln sehr gut vertraut.
Kritische Infrastrukturen (KritisVO)
Unternehmen, die zu den kritschen Infrastrukturen gerechnet werden, müssen umfangreiche Sicherheitsanforderungen erfüllen. Die Anforderungen gehen dabei über die der ISO 27001 hinaus. Wir unterstützen Unternehmen, die an ihre Branche gestellten Anforderungen zu bewerten und angemessen zu erfüllen. Dabei können wir auch auf unsere Expertise zurückgreifen, die wir selbst als durch das BSI zugelassene Prüfer nach §8a BSIG erworben haben.
IT-Sicherheitskatalog (§11 Abs. 1a EnWG)
Die Anforderungen für Betreiber von Energieversorgungsnetzen gehen über den Katalog der ISO 27001 Anhang A deutlich hinaus. Zudem stellt der Betrieb von Alt-(Legacy-)Systemen und über viele Jahre gewachsene IT-Landschaften besondere Herausforderungen an ein ISMS. Wir helfen, diese Herausforderungen zu bestehen und aus der vermeintlichen Mehrbelastung einen Mehrwert zu schaffen.
Damit Ihr Unternehmen geschützt ist – und Sie auch
Informationssicherheit bedeutet nicht Sicherheit um jeden Preis. Nur wer die Risiken kennt, kann die richtigen Entscheidungen treffen. Auch wenn Technik und Organisation im Unternehmen immer angreifbar sein wird, Ihre Entscheidungen sollten es nicht sein. Mit einem guten ISMS sind es auch nicht.
Wer wir sind
Die thinkSec GmbH ist eine inhabergeführte Unternehmensberatung, die sich auf das Themenfeld Informationssicherheit fokussiert hat. Hinter dem Unternehmen stehen über 20 Jahre praktische Erfahrung in IT- und in Informationssicherheit. So können wir ohne Umwege und Experimentieren schnell jedes Problem lösen. Bei großen Projekten können wir auf zuverlässige und kompetente Partner zurückgreifen und Ihre Projekte mit speziellen Fachkenntnisse und zusätzlichen Ressourcen unterstützen. Auch kennen wir die Prozesse und Ansprechpartnern bei Zertifizieren genau, so dass Ihr Zertifizierungsprojekt nicht mit unnötigen Abstimmungen und Rückfragen verzögert wird.
Langjährige Erfahrung
Detaillierte Branchenkenntnisse
Bewährtes Partnernetz
Direkte Verbindung zu Zertifizierungsstellen
Mission
Informationssicherheit ist keine Frage der Größe des Unternehmens. Wir schaffen für Sie ein maßgeschneidertes ISMS und helfen Ihnen, sich richtig zu schützen.
Unser Anspruch ist es, Ihrem Unternehmen ein System an die Hand zu geben, mit dem Sie jederzeit die Kontrolle über die Informationssicherheit und über Ihre Risiken haben.
Vision
Sicherheit ist nur dann gegeben, wenn Menschen, Technik und Organisation zusammenpasst. Unsere Vision ist es, hier eine Einheit zu schaffen:
- Eine Organisation, die zur Technik passt und die die Kultur des Unternehmens trägt.
- Technologien, die Mitarbeiter effektiv unterstützen und Prozesse effizient werden lassen.
- Mitarbeiter, die sich wertgeschätzt und geschützt, aber nicht Maßnahmen ausgebremst und durch Richtlinien bedroht fühlen.
Werte
Unser Anspruch ist es, unseren Kunden die bestmögliche Qualität zu bieten. Die Basis hierzu bilden:
- Ehrlichkeit
Zu sagen, was sich vermeintlich gefällig anhört, ist zwar einfach. Andere Standpunkte einzunehmen und unterschiedliche Ansichten zu diskutieren, halten wir aber für den besseren Weg. - Zuverlässigkeit
Ein Projekt wird nur dann zum Erfolg, wenn jeder sich auf den Anderen verlassen kann. Wir stehen zu unseren Zusagen sowohl zu Terminen als auch zu Qualität. - Vertraulichkeit
Der Schutz aller uns anvertrauten Informationen ist uns sehr wichtig. Wir wollen für Informationssicherheit immer ein guten Beispiel sein.
Jürgen Wutschka
Seit über 20 Jahren ist Jürgen Wutschka auf dem Gebiet der Informationssicherheit tätig. Seine Karriere startete er 1997 bei der Commerzbank AG und wechselte 2001 zu Union Investment. Als Chief Information Security Officer (CISO) war er für den Aufbau des Information Security und Business Continuity Managements verantwortlich. 2014 gründete er die thinkSec GmbH und berät seit dem Unternehmen beim Aufbau und bei der Weiterentwicklung ihrer Managementsysteme zur Informationssicherheit bzw. zur Business Continuity und in allen Fragen zur IT-Sicherheit. Als ISO 27001 Lead Auditor führt er Zertifizierungsaudits im Auftrag von Zertifizierungsstellen durch.
Der Diplom Wirtschaftsinformatiker (Univ.) ist als CISSP und Cyber Security Practitioner (ISACA) zertifiziert.
Fragen und Antworten
Wir brauchen eine ISO 27001-Zertifizierung. Was müssen wir tun?
Der Weg zum Zertifikat hat drei wesentliche Meilensteine. Zuerst muss das ISMS spezifiziert sein, d.h. Prozesse, Richtlinien und Vorlagen sind zu entwickeln. Der zweite Meilenstein ist ein erfolgreicher initialer Betrieb. Prozesse, Richtlinien und die Vorlagen kommen zur Anwendung und durchlaufen den ersten Verbesserungszyklus. Dritter und wichtigster Meilenstein ist die Zertifizierung durch eine Zertifizierungsgesellschaft (Certification Body). Wir leiten Sie an, das Richtige zum richtigen Zeitpunkt zu machen, damit Sie schnell und ohne Umwege zum Ziel kommen.
Mit welchem Aufwand ist eine Zertifizierung verbunden?
Der Aufwand hängt von sehr vielen Faktoren ab und lässt sich pauschal leider so nicht abschätzen. Damit Ihr Zertifizierungsprojekt sowohl von der Dauer als auch vom Aufwand verlässlich planbar wird, empfehlen wir, zuerst eine Reifegradanalyse durchzuführen. So können Sie genau bestimmen, wo Sie stehen, welche Handlungsfelder anzugehen sind und mit welchem zeitlichen und personellen Aufwand zu rechnen ist. Sprechen Sie uns für eine Reifegradanalyse und Projektplanung gerne an.
Inwieweit können Sie uns bei technischen Projekten unterstützen?
Unser Schwerpunkt sind zwar Managementsysteme, aber Technik und Organisation bilden immer eine Einheit. Sicherheitstechnik ist nur so gut, wie deren Einbindung in bestehende Prozesse und Steuerungssysteme. Wir unterstützen Sie bei der Entwicklung und Überprüfung der Netzwerkkonzeptionen und Systemarchitekturen mit den dazugehörigen Anforderungen. Die technische Implementierung überlassen wir den Spezialisten. Wir verstehen aber deren Sprache, können so die technische Umsetzung begleiten und das Sicherheitsniveau sicherstellen.
Führen Sie selbst Audits und Pentests durch ?
Wir machen viel, aber nicht alles. Technische Schwachstellentests (Pentests) ist ein eigenes Aufgabengebiet, das wir nicht anbieten. Wir helfen jedoch, bei der Planung, Konzeption und Auswahl von Spezialisten für Pentests. Unser Fachgebiet ist die Beurteilung des Managementsystems. Wir führen wir gerne ein Audit nach Ihren Wünschen bei Ihnen selbst als internes Audit (1st party audit) oder bei Ihren Lieferanten als Lieferantenaudit (2nd party audit) durch. Zertifizierungsaudits (3rd party audit) dürfen jedoch nur Zertifizierungsgesellschaften anbieten. Hier sind wir immer Auftrag dieser Gesellschaften als Auditor tätig.
Nachrichtenüberblick
02.02.2026
Open VSX Supply Chain Attack Used Compromised Dev Account to Spread GlassWorm
The Hacker News 02.02.2026 05:04
Cybersecurity researchers have disclosed details of a supply chain attack targeting the Open VSX Registry in which unidentified threat actors compromised a legitimate developer's resources to push malicious updates to downstream users.
"On January 30, 2026, four established Open VSX extensions published by the oorzc author had malicious versions published to Open VSX that embed the GlassWorm
Das nächste große Security-Schlachtfeld
CSO Online 02.02.2026 03:00
Wenn Quantum Computing und KI in der Praxis zusammenkommen, bricht ein neues Zeitalter an – auch und vor allem in Sachen Cybersecurity.
In den letzten Jahren hat künstliche Intelligenz (KI) ihre Tentakel über die globale Technologielandschaft ausgebreitet. Das verdeutlicht unter anderem auch der zunehmende Einsatz von Automatisierung und autonomen Technologien in diversen Branchen und Sektoren. Und während die Welt noch mit dem Impact der KI ringt, steht mit Quantencomputing bereits das “next big thing” in den Startlöchern. Das Aufeinandertreffen dieser beiden Technologien verspricht, der nächste große technologische Schauplatz zu werden. Dieser könnte nicht nur Computing und Cybersicherheit, sondern sogar geopolitische Machtstrukturen entscheidend prägen.
FBI takes notorious RAMP ransomware forum offline
Graham Cluley Security blog 31.01.2026 09:43
The FBI has seized control of RAMP, a notorious cybercrime online forum that bragged to be the only place that allowed ransomware, and boasted over 14,000 active users.
Now some of those users' details are likely to be in the hands of the police…
Read more in my article on the Bitdefender blog.
CERT Polska Details Coordinated Cyber Attacks on 30+ Wind and Solar Farms
The Hacker News 31.01.2026 07:05
CERT Polska, the Polish computer emergency response team, revealed that coordinated cyber attacks targeted more than 30 wind and photovoltaic farms, a private company from the manufacturing sector, and a large combined heat and power plant (CHP) supplying heat to almost half a million customers in the country.
The incident took place on December 29, 2025. The agency has attributed the attacks to
31.01.2026
Ivanti patches two actively exploited critical vulnerabilities in EPMM
CSO Online 30.01.2026 22:06
IT software company Ivanti released patches for its Endpoint Manager Mobile (EPMM) product to fix two new remote code execution vulnerabilities already under attack in the wild.
“We are aware of a very limited number of customers whose solution has been exploited at the time of disclosure,” the company said in a security advisory that identifies the new flaws as CVE-2026-1281 and CVE-2026-1340.
NIS2: Lieferketten als Risikofaktor
CSO Online 30.01.2026 13:46
NIS2 verpflichtet CISOs die Sicherheit der Supply Chain stärker in den Blick zu nehmen.
Die Illusion der eigenen Sicherheitszone
Sicherheitsupdates: Angreifer können Schadcode auf Lexmark-Drucker schieben
Heise Security 30.01.2026 09:10
Drei Sicherheitslücken bedrohen verschiedene Druckermodelle von Lexmark – eine wird als kritisch eingestuft.
Version 1.0: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet
BSI Cybersicherheitswarnungen des CERT-Bund 30.01.2026 09:00
Updaten! Attackierte Lücke in Ivanti Endpoint Manager Mobile
Heise Security 30.01.2026 07:30
In Ivantis Endpoint Manager Mobile klaffen zwei kritische Sicherheitslecks. Angriffe laufen, Admins sollten schnell updaten.
30.01.2026
Two Ivanti EPMM Zero-Day RCE Flaws Actively Exploited, Security Updates Released
The Hacker News 30.01.2026 04:43
Ivanti has rolled out security updates to address two security flaws impacting Ivanti Endpoint Manager Mobile (EPMM) that have been exploited in zero-day attacks, one of which has been added by the U.S. Cybersecurity and Infrastructure Security Agency (CISA) to its Known Exploited Vulnerabilities (KEV) catalog.
The critical-severity vulnerabilities are listed below –
CVE-2026-1281 (CVSS score:
Operation Winter SHIELD: FBI Issues Call to Arms for Organizations to Improve Cybersecurity
Infosecurity Magazine 29.01.2026 16:50
The FBI outlines ten actions which organizations can take to defend networks against cybercriminal and nation-state threats
FBI Takes Down RAMP Ransomware Forum
Infosecurity Magazine 29.01.2026 13:05
The dark web forum administrator confirmed the takedown and said they had “no plans to rebuild”
Nvidia Sicherheitslücken: Attacken auf GPU-Treiber können zu Abstürzen führen
Heise Security 29.01.2026 12:54
Softwareschwachstellen gefährden PCs mit Grafikkarten von Nvidia. Sicherheitspatches sind verfügbar.
Critical RCE bugs expose the n8n automation platform to host‑level compromise
CSO Online 29.01.2026 12:38
Two critical sandbox escape flaws in the popular n8n workflow automation platform are allowing authenticated users to achieve remote code execution on affected instances.
According to new JFrog findings, sandboxing safeguards meant to contain untrusted workflow logic can be bypassed, exposing enterprise automation environments to full host compromise. Enterprises that rely on n8n to orchestrate integrations, automate internal processes, and streamline cloud services and on-prem systems are at risk. JFrog’s researchers said n8n’s sandboxing mechanism can fail in specific configurations when users evaluate expressions or run custom scripts.
Survey of 100+ Energy Systems Reveals Critical OT Cybersecurity Gaps
The Hacker News 29.01.2026 11:55
A study by OMICRON has revealed widespread cybersecurity gaps in the operational technology (OT) networks of substations, power plants, and control centers worldwide. Drawing on data from more than 100 installations, the analysis highlights recurring technical, organizational, and functional issues that leave critical energy infrastructure vulnerable to cyber threats.
The findings are based on
Schlag gegen Ransomware: FBI nimmt Cybergangstern ihr Forum weg
Golem 29.01.2026 11:22
Das FBI hat ein vor allem an Ransomware-Hacker gerichtetes Cybercrime-Forum namens Ramp übernommen. Gründer war wohl ein alter Bekannter aus Russland. (Cybercrime, Server)
Sicherheitspatch: Authentifizierung von SolarWinds Web Help Desk umgehbar
Heise Security 29.01.2026 11:15
Die Ticketing-Software SolarWinds Web Help Desk ist unter anderem über vier kritische Sicherheitslücken angreifbar.
EU’s answer to CVE solves dependency issue, adds fragmentation risks
CSO Online 29.01.2026 09:30
The security community has offered broad support for the creation of an EU-hosted vulnerability database as a means of reducing dependence on US databases.
However, some experts have expressed concerns that the potential fragmentation of security intelligence risks impeding rapid vulnerability identification and remediation.
Kritik am Kritis-Dachgesetz: “Flickenteppich” befürchtet
CSO Online 29.01.2026 09:18
Der Gesetzesentwurf der Bundesregierung zum Schutz kritischer Infrastruktur reicht nach Meinung des Deutschen Städtetag nicht aus.
Der Deutsche Städtetag hält den zur Abstimmung im Bundestag anstehenden Vorschlag der Koalition zum Schutz kritischer Infrastruktur für unzureichend. Der Entwurf von Union und SPD sieht für Unternehmen der kritischen Infrastruktur wie etwa große Energieversorger oder Verkehrsunternehmen strengere Verpflichtungen zum Schutz ihrer Anlagen vor. Vorgesehen sind neben Zugangsbeschränkungen und anderen praktischen Maßnahmen auch eine Pflicht zur Meldung sicherheitsrelevanter Vorfälle sowie Bußgelder bei Regelverstößen.
SolarWinds Fixes Four Critical Web Help Desk Flaws With Unauthenticated RCE and Auth Bypass
The Hacker News 29.01.2026 09:00
SolarWinds has released security updates to address multiple security vulnerabilities impacting SolarWinds Web Help Desk, including four critical vulnerabilities that could result in authentication bypass and remote code execution (RCE).
The list of vulnerabilities is as follows –
CVE-2025-40536 (CVSS score: 8.1) – A security control bypass vulnerability that could allow an unauthenticated
JavaScript-Sandbox vm2: kritische Lücke erlaubt Ausbruch
Heise Security 29.01.2026 08:36
Die JavaScript-Sandbox vm2 für Node.js war eigentlich beendet. Nun schließt ein Update eine kritische Sicherheitslücke.
Legen wir heute los
Aufschieben ist manchmal eine Lösung. Lassen Sie uns eine bessere finden. Wir stellen Ihnen gerne unseren Ansatz für Ihre Herausforderungen vor – selbstverständlich kostenfrei.