Managementberatung für Informationssicherheit
Wir sind die Experten für Information Security und Business Continuity Management.
Aufbau, Weiterentwicklung und Betrieb für Ihr ISMS
Sie brauchen Hilfe und Unterstützung wenn es um Informationssicherheit oder Business Continuity Management geht? Ihre Kunden verlangen von Ihnen eine Zertifizierung nach ISO 27001? Wir beraten und unterstützen Sie, Ihre Ziele zu erreichen. Egal, ob Sie fachliche Hilfe bei speziellen Themen benötigen oder ob Sie ihr gesamtes ISMS extern betreiben lassen möchten, sind wir der richtige Partner.
Informationssicherheit nach ISO 27001
Das Information Security Management System (ISMS) steuert alle Maßnahmen zur Informationssicherheit. Wenn es nach ISO 27001 zertifiziert ist, beweisen Sie Ihren Kunden, dass Sicherheit für Ihr Unternehmen kein Fremdwort ist. Wie machen Ihr ISMS reif für die Zertifizierung – Garantiert!
- Wir entwickeln Strategien zur Einführung eines Information Security Management Systems (ISMS).
- Wir helfen, die optimale Aufbau- und Ablauforganisation für das ISMS passend zu Ihrem Unternehmen zu finden.
- Wir analysieren die bestehenden Managementsysteme und zeigen Stärken und Schwächen sowie Chancen und Risiken auf.
- Wir beraten und begleiten die Verantwortlichen für Informationssicherheit (Chief Information Security Officers – CISO, Informationssicherheitsbeauftragte – ISB) bei der Um- und Durchsetzung ihrer Ideen und Vorhaben.
- Wir unterstützen Ihr Zertifizierungsvorhaben und begleiten Sie bei Ihrer Zertifizierung nach ISO 27001 oder ISO 27019 (§11 Abs. 1a EnWG).
- Wir prüfen Ihr Information Security Management System im Rahmen eines Internen Audits (First Party Audit) auf Basis von ISO 27001 mit Hilfe erprobter Checklisten. Auch helfen wir bei der Beurteilung Ihrer Lieferanten zum Beispiel mit Lieferantenaudits (Second Party Audits).
Business Continuity Management nach ISO 22301
Not- und Krisenfälle können die Existenz von Unternehmen bedrohen. Das Business Continuity Management (BCM) bereitet eine Organisation vor, auf Not- und Krisenfälle schnell zu reagieren, Schäden abzuwenden und die Geschäftsfortführung zu ermöglichen. Die Wiederherstellung der IT-Infrastruktur und der IT-Anwendungen ist eine eigene Teildisziplin des BCM: das IT-Service Continuity Management (ITSCM).
- Wir verbinden das Business Continuity Management mit dem Information Security Management und ermöglichen, Synergien zu heben.
- Wir unterstützen Sie beim Aufbau eines ISO 22301 konformen Business Continuity Management Systems.
- Wir identifizieren mit Ihnen Ihre geschäftskritischen Prozesse, IT-Systeme und Rollen.
- Wir helfen beim Erstellen von Notfallplänen, Krisenmanagementorganisationen und Testkonzepten, damit Sie für den Ernstfall gut vorbereitet sind.
- Wir zeigen verschiedene Notfallstrategien und technische Lösungen auf, und bewerten sie gemeinsam mit Ihnen.
Branchenfokus
Das deutsche Finanzaufsichtsrecht kennt klare Vorgaben für die Ausgestaltung des ISMS. Wichtigste Quelle für Banken und Finanzdienstleister sind die MaRisk, die die Einhaltung von anerkannten Standards wie die ISO 27000-Normenreihe fordern, und die Konkretiesierungen in den BAIT, VAIT bzw. KAIT. Wir kennen und verstehen diese Anforderungen aus langjähriger praktischer Erfahrung und sind mit den branchentypischen Prozesse und Regeln sehr gut vertraut.
Kritische Infrastrukturen (KritisVO)
Unternehmen, die zu den kritschen Infrastrukturen gerechnet werden, müssen umfangreiche Sicherheitsanforderungen erfüllen. Die Anforderungen gehen dabei über die der ISO 27001 hinaus. Wir unterstützen Unternehmen, die an ihre Branche gestellten Anforderungen zu bewerten und angemessen zu erfüllen. Dabei können wir auch auf unsere Expertise zurückgreifen, die wir selbst als durch das BSI zugelassene Prüfer nach §8a BSIG erworben haben.
IT-Sicherheitskatalog (§11 Abs. 1a EnWG)
Die Anforderungen für Betreiber von Energieversorgungsnetzen gehen über den Katalog der ISO 27001 Anhang A deutlich hinaus. Zudem stellt der Betrieb von Alt-(Legacy-)Systemen und über viele Jahre gewachsene IT-Landschaften besondere Herausforderungen an ein ISMS. Wir helfen, diese Herausforderungen zu bestehen und aus der vermeintlichen Mehrbelastung einen Mehrwert zu schaffen.
Damit Ihr Unternehmen geschützt ist – und Sie auch
Informationssicherheit bedeutet nicht Sicherheit um jeden Preis. Nur wer die Risiken kennt, kann die richtigen Entscheidungen treffen. Auch wenn Technik und Organisation im Unternehmen immer angreifbar sein wird, Ihre Entscheidungen sollten es nicht sein. Mit einem guten ISMS sind es auch nicht.
Wer wir sind
Die thinkSec GmbH ist eine inhabergeführte Unternehmensberatung, die sich auf das Themenfeld Informationssicherheit fokussiert hat. Hinter dem Unternehmen stehen über 20 Jahre praktische Erfahrung in IT- und in Informationssicherheit. So können wir ohne Umwege und Experimentieren schnell jedes Problem lösen. Bei großen Projekten können wir auf zuverlässige und kompetente Partner zurückgreifen und Ihre Projekte mit speziellen Fachkenntnisse und zusätzlichen Ressourcen unterstützen. Auch kennen wir die Prozesse und Ansprechpartnern bei Zertifizieren genau, so dass Ihr Zertifizierungsprojekt nicht mit unnötigen Abstimmungen und Rückfragen verzögert wird.
Langjährige Erfahrung
Detaillierte Branchenkenntnisse
Bewährtes Partnernetz
Direkte Verbindung zu Zertifizierungsstellen
Mission
Informationssicherheit ist keine Frage der Größe des Unternehmens. Wir schaffen für Sie ein maßgeschneidertes ISMS und helfen Ihnen, sich richtig zu schützen.
Unser Anspruch ist es, Ihrem Unternehmen ein System an die Hand zu geben, mit dem Sie jederzeit die Kontrolle über die Informationssicherheit und über Ihre Risiken haben.
Vision
Sicherheit ist nur dann gegeben, wenn Menschen, Technik und Organisation zusammenpasst. Unsere Vision ist es, hier eine Einheit zu schaffen:
- Eine Organisation, die zur Technik passt und die die Kultur des Unternehmens trägt.
- Technologien, die Mitarbeiter effektiv unterstützen und Prozesse effizient werden lassen.
- Mitarbeiter, die sich wertgeschätzt und geschützt, aber nicht Maßnahmen ausgebremst und durch Richtlinien bedroht fühlen.
Werte
Unser Anspruch ist es, unseren Kunden die bestmögliche Qualität zu bieten. Die Basis hierzu bilden:
- Ehrlichkeit
Zu sagen, was sich vermeintlich gefällig anhört, ist zwar einfach. Andere Standpunkte einzunehmen und unterschiedliche Ansichten zu diskutieren, halten wir aber für den besseren Weg. - Zuverlässigkeit
Ein Projekt wird nur dann zum Erfolg, wenn jeder sich auf den Anderen verlassen kann. Wir stehen zu unseren Zusagen sowohl zu Terminen als auch zu Qualität. - Vertraulichkeit
Der Schutz aller uns anvertrauten Informationen ist uns sehr wichtig. Wir wollen für Informationssicherheit immer ein guten Beispiel sein.
Jürgen Wutschka
Seit über 20 Jahren ist Jürgen Wutschka auf dem Gebiet der Informationssicherheit tätig. Seine Karriere startete er 1997 bei der Commerzbank AG und wechselte 2001 zu Union Investment. Als Chief Information Security Officer (CISO) war er für den Aufbau des Information Security und Business Continuity Managements verantwortlich. 2014 gründete er die thinkSec GmbH und berät seit dem Unternehmen beim Aufbau und bei der Weiterentwicklung ihrer Managementsysteme zur Informationssicherheit bzw. zur Business Continuity und in allen Fragen zur IT-Sicherheit. Als ISO 27001 Lead Auditor führt er Zertifizierungsaudits im Auftrag von Zertifizierungsstellen durch.
Der Diplom Wirtschaftsinformatiker (Univ.) ist als CISSP und Cyber Security Practitioner (ISACA) zertifiziert.
Fragen und Antworten
Wir brauchen eine ISO 27001-Zertifizierung. Was müssen wir tun?
Der Weg zum Zertifikat hat drei wesentliche Meilensteine. Zuerst muss das ISMS spezifiziert sein, d.h. Prozesse, Richtlinien und Vorlagen sind zu entwickeln. Der zweite Meilenstein ist ein erfolgreicher initialer Betrieb. Prozesse, Richtlinien und die Vorlagen kommen zur Anwendung und durchlaufen den ersten Verbesserungszyklus. Dritter und wichtigster Meilenstein ist die Zertifizierung durch eine Zertifizierungsgesellschaft (Certification Body). Wir leiten Sie an, das Richtige zum richtigen Zeitpunkt zu machen, damit Sie schnell und ohne Umwege zum Ziel kommen.
Mit welchem Aufwand ist eine Zertifizierung verbunden?
Der Aufwand hängt von sehr vielen Faktoren ab und lässt sich pauschal leider so nicht abschätzen. Damit Ihr Zertifizierungsprojekt sowohl von der Dauer als auch vom Aufwand verlässlich planbar wird, empfehlen wir, zuerst eine Reifegradanalyse durchzuführen. So können Sie genau bestimmen, wo Sie stehen, welche Handlungsfelder anzugehen sind und mit welchem zeitlichen und personellen Aufwand zu rechnen ist. Sprechen Sie uns für eine Reifegradanalyse und Projektplanung gerne an.
Inwieweit können Sie uns bei technischen Projekten unterstützen?
Unser Schwerpunkt sind zwar Managementsysteme, aber Technik und Organisation bilden immer eine Einheit. Sicherheitstechnik ist nur so gut, wie deren Einbindung in bestehende Prozesse und Steuerungssysteme. Wir unterstützen Sie bei der Entwicklung und Überprüfung der Netzwerkkonzeptionen und Systemarchitekturen mit den dazugehörigen Anforderungen. Die technische Implementierung überlassen wir den Spezialisten. Wir verstehen aber deren Sprache, können so die technische Umsetzung begleiten und das Sicherheitsniveau sicherstellen.
Führen Sie selbst Audits und Pentests durch ?
Wir machen viel, aber nicht alles. Technische Schwachstellentests (Pentests) ist ein eigenes Aufgabengebiet, das wir nicht anbieten. Wir helfen jedoch, bei der Planung, Konzeption und Auswahl von Spezialisten für Pentests. Unser Fachgebiet ist die Beurteilung des Managementsystems. Wir führen wir gerne ein Audit nach Ihren Wünschen bei Ihnen selbst als internes Audit (1st party audit) oder bei Ihren Lieferanten als Lieferantenaudit (2nd party audit) durch. Zertifizierungsaudits (3rd party audit) dürfen jedoch nur Zertifizierungsgesellschaften anbieten. Hier sind wir immer Auftrag dieser Gesellschaften als Auditor tätig.
Nachrichtenüberblick
25.06.2026
Scattered Spider duo convicted over $38M Transport for London attack
CSO Online 24.06.2026 17:30
Two members of the Scattered Spider cybercrime collective have admitted launching a cyberattack against Transport for London (TfL) that caused millions in damages.
Thalha Jubair, 20, from East London, and Owen Flowers, 18, from Walsall, West Midlands, were due to stand trial for computer hacking offences at Woolwich Crown Court on Monday but changed their pleas to guilty on the first day of what was scheduled to be a six-week trial.
Europol-Led Operation Endgame Takes Down StealC and Amadey Infostealers
Infosecurity Magazine 24.06.2026 15:25
Operation Endgame seized around 50 domains and nearly 200 active IP-based servers associated with the infostealers
Operation Endgame: Microsoft und BKA legen Hunderte Schadsoftware-Server lahm
Spiegel Online 24.06.2026 14:26
In einer international koordinierten Aktion haben Ermittler kriminellen Akteuren einen schweren Schlag versetzt. Um einige der meistgenutzten Schadprogramme weltweit zu stoppen, kam auch KI zum Einsatz.
ESET takes part in Operation Endgame to disrupt Amadey and Stealc
We Live Security 24.06.2026 12:35
ESET researchers assisted in the global disruption of the Amadey botnet and Stealc infostealer, providing technical analysis, infrastructure tracking, and affiliate-level insights
Ubiquiti UniFi OS-Sicherheitslücken werden angegriffen
Heise Security 24.06.2026 12:13
Ende Mai wurden kritische Sicherheitslücken in Ubiquiti UniFi OS bekannt. Inzwischen haben Angreifer diese im Visier.
Attackers exploit Cisco Unified CM flaw weeks after patch release
CSO Online 24.06.2026 11:32
A critical Cisco Unified CM vulnerability is now under active exploitation, weeks after the company issued patches warning it could allow attackers to gain root access.
Threat intelligence firm Defused reported the exploitation on June 23. The company said it observed the activity over the weekend.
(g+) Sonicwall-MFA-Bypass: Warum gepatchte Sonicwall-VPNs die MFA weiter durchlassen
Golem 24.06.2026 11:30
Auf vielen Sonicwall-Firewalls ist der Patch drin, die MFA aber weiter umgehbar. Sechs Schritte fehlen. Was Admins prüfen müssen. Ein Ratgebertext von Steffen Zahn (Security, Sicherheitslücke)
Zoho Corp. ManageEngine: Kritische SSO-Lücke ermöglicht Kontenübernahme
Heise Security 24.06.2026 11:16
Angreifer können eine kritische Sicherheitslücke in mehreren Zoho Corp. ManageEngine-Produkten missbrauchen, um Konten zu übernehmen.
Deutsche Bahn: Wieso ein Funknetz aus den Neunzigern die Bahn lahmlegen konnte
Spiegel Online 24.06.2026 09:42
Hinter dem verheerenden Bahnausfall aus der Nacht steckt eine veraltete Technik, die für die Bahn aber essenziell ist. Für eine Sabotage gibt es bisher keine Hinweise – vieles spricht für ein internes Problem bei einem Update.
Sicherheitslücke: Millionen von Samsung-Smartphones durch Kernel-Bug gefährdet
Golem 24.06.2026 08:44
Forscher haben einen gefährlichen Bug im Android-Kernel von Samsung entdeckt, der unzählige Smartphones zwischen Galaxy S9 und S25 betrifft. (Sicherheitslücke, Smartphone)
BSI warnt vor Auswirkungen von KI auf Cybersicherheit
Heise Security 24.06.2026 08:43
Das BSI hat sich mit den Auswirkungen der massiven Verbreitung von Künstlicher Intelligenz auf die IT-Sicherheit auseinandergesetzt.
Cisco Unified CM Flaw Exploited After PoC Reveals File-Write Path to Root
The Hacker News 24.06.2026 06:50
Threat actors have begun to exploit a recently disclosed critical security flaw impacting Cisco Unified Communications Manager (Unified CM) and Unified Communications Manager Session Management Edition (Unified CM SME).
The vulnerability, tracked as CVE-2026-20230 (CVSS score: 8.6), is a case of improper input validation for specific HTTP requests that could allow an unauthenticated, remote
24.06.2026
Meta pauses employee monitoring program after data protections fail
CSO Online 24.06.2026 01:13
An extensive program at Meta to gather a wide range of data from employees to train its AI model has been frozen after employees reportedly broke through its guardrails and accessed restricted data, and then did so again after Meta claimed to have fixed the vulnerability.
Whether or not the data collection by the $201 billion owner of Facebook was a good idea, analysts argue that the data protections deployed were woefully inadequate, given the extreme sensitive nature of the collected data.
Hole in widely-used FFmpeg codec could crash media servers or enable RCE
CSO Online 24.06.2026 00:23
A newly discovered critical vulnerability in the FFmpeg media processing framework bundled in a huge number of open source and commercial applications points, again, to the need for CSOs to have strategies to deal with software supply chain vulnerabilities, which should include demanding a software bill of materials for all products.
Found by researchers at JFrog, the hole (CVE-2026-8461) is a heap out-of-bounds write in the MagicYUV decoder that can crash any application that uses the framework. It runs in everything from desktop video players like Kodi and mpv, to Linux file-manager thumbnail generators, to cloud transcoding pipelines (such as AWS MediaConvert and Cloudflare Stream) and self-hosted media servers.
Trump sets post-quantum crypto deadlines, launches broader federal quantum initiative
CSO Online 23.06.2026 18:25
US President Donald Trump on Monday signed a pair of executive orders aimed at accelerating the federal government’s transition to post-quantum cryptography while expanding US investment in quantum technologies, establishing what the administration describes as a coordinated strategy to prepare for the opportunities and risks posed by quantum computing.
The actions include an executive order, “Securing the Nation Against Advanced Cryptographic Attacks,” and a companion order, “Ushering in the Next Frontier of Quantum Innovation.” Accompanying White House fact sheets frame the initiatives as part of the administration’s broader national security, economic competitiveness, and cybersecurity strategy.
Trump Order Sets 2030 Deadline for Federal Post-Quantum Crypto Migration
The Hacker News 23.06.2026 15:16
President Trump signed an executive order on June 22 setting hard deadlines for federal agencies to move high-value assets and high-impact systems to post-quantum cryptography.
Key establishment must move by December 31, 2030; digital signatures by December 31, 2031. EO 14409 leaves national security systems on a separate track.
The deadlines matter because of a threat that does not
GitHub Updates actions/checkout to Block Common Pwn Request Attack Patterns
The Hacker News 23.06.2026 14:22
GitHub is moving to strengthen software supply chain security by updating "actions/checkout" to block pwn request attacks that exploit the risky use of the "pull_request_target workflow" trigger to run malicious code with the workflow's full privileges.
Effective June 18, 2026, the latest version of "actions/checkout," the official GitHub action for checking out a repository into the
Trump Issues Executive Order to Fast-Track Post-Quantum Migration
Infosecurity Magazine 23.06.2026 14:00
All US federal agencies will have to complete their post-quantum cryptography transition by 2031, according to a new Trump Executive Order
GPT-5.5-Cyber schlägt Mythos: Update für Sicherheitsmodell von OpenAI
Heise Security 23.06.2026 11:53
Mit einer Sicherheitsinitiative geht OpenAI in Konkurrenz zu Anthropics Mythos und bietet zudem einen Sicherheits-Review-Service für Open-Source-Projekte.
Neuer Terminalschutz: So will Apple ClickFix-Angriffen abwehren
Heise Security 23.06.2026 09:49
Aktuelle macOS-Versionen können potenziell problematische Terminal-Eingaben abfangen. Die Angriffsform wird populärer.
Pixelsmash: Lücke in FFmpeg-Decoder gefährdet unzählige Systeme
Golem 23.06.2026 09:36
Mit einer nur 50 KByte großen Videodatei können Angreifer Server- und Desktop-Anwendungen zum Absturz bringen oder gar Schadcode einschleusen. (Sicherheitslücke, Film)
Scattered Spider Teens Convicted of TfL Cyber-Attack
Infosecurity Magazine 23.06.2026 09:29
Two young British men have pleaded guilty to hacking Transport for London as part of a Scattered Spider plot
Secure-Boot: Zertifikatablauf steht an, Microsoft gibt weitere Hilfestellung
Heise Security 23.06.2026 07:06
Die ersten Secure-Boot-Zertifikate laufen in diesen Tagen ab. Microsoft legt noch mal Handreichungen nach, für Linux auf Azure-VMs.
23.06.2026
Nach Protesten: AMD bringt RAM-Verschlüsselung TSME zurück
Heise Security 23.06.2026 03:50
Ohne Ankündigung hat AMD das Sicherheitsmerkmal TSME bei bestimmten Ryzen-Prozessoren deaktiviert. Kunden protestierten, AMD reagiert.
29-Year-Old Squid Proxy Bug 'Squidbleed' Can Leak Cleartext HTTP Requests
The Hacker News 22.06.2026 14:29
A heap over-read in the Squid web proxy can leak another user's cleartext HTTP request, including any credentials or session tokens it carries, to anyone already allowed to send traffic through the same proxy.
The bug traces to a 1997 FTP-parsing change and is still live in Squid's default configuration. Researchers at Calif.io disclosed it in June and named it Squidbleed (
(g+) Automation-Plattform n8n: n8n als Generalschlüssel im Netz
Golem 22.06.2026 11:30
Zwei kritische Lücken öffnen selbst gehostete n8n-Server. n8n hält die Schlüssel zu vielen Systemen. Was die Lücken erlauben und wie Admins den Angriff erkennen. Eine Analyse von Steffen Zahn (Sicherheitslücke, Server)
Squidbleed: 29 Jahre alte Lücke in populärer Proxy-Software entdeckt
Golem 22.06.2026 09:48
Seit 1997 klafft in der Proxy-Software Squid eine Lücke, mit der sich HTTP-Traffic abgreifen lässt. Drei Jahrzehnte später hat eine KI sie gefunden. (Sicherheitslücke, KI)
Canada’s Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices
The Hacker News 22.06.2026 09:11
Canada's spy service got a judge's permission to reach into infected servers, home routers, and IoT gear sitting on Canadian soil and neutralize two foreign-run botnets.
The Federal Court released a public version of the ruling on June 15. It is the first time the Canadian Security Intelligence Service has used its threat reduction warrant powers this way.
The warrant let CSIS alter,
libssh2: Teils kritische Lücken in populärer SSH-Bibliothek
Golem 22.06.2026 07:00
Angreifer können durch zwei Lücken in libssh2 Schadcode einschleusen oder SSH-Clients stören. Code-Patches gibt es, aber noch kein neues Release. (Sicherheitslücke, Server)
Legen wir heute los
Aufschieben ist manchmal eine Lösung. Lassen Sie uns eine bessere finden. Wir stellen Ihnen gerne unseren Ansatz für Ihre Herausforderungen vor – selbstverständlich kostenfrei.