Question 1

Wie läuft ein Security Audit bei dir ab?

Accepted Answer

Vier Phasen: Scoping (gemeinsam legen wir den Umfang fest), Analyse (Code Review + dynamisches Testing), Reporting (jedes Finding mit CVSS, Reproduktion und Fix-Empfehlung) und optional Remediation (Ich behebe die kritischen Schwachstellen selbst). Typischer Ablauf: 1–2 Wochen, 3–5 Personentage auf Kundenseite.

Question 2

Was kosten deine Audits?

Accepted Answer

Health Check: ab 1.500 € (3–5 Tage). Security Audit: ab 3.200 € (1–2 Wochen). Firmware Audit: 5.000–12.000 € (1–3 Wochen). NIS2-Readiness: 3.000–5.000 € (1–2 Wochen). Alles Festpreis mit fixiertem Rahmen vor Vertragsschluss. Keine versteckten Stundenpauschalen.

Question 3

Behebst du Schwachstellen selbst oder nur berichten?

Accepted Answer

Beides — und genau das ist das Alleinstellungsmerkmal. Reiner Audit-Report oder direkte Behebung der kritischen Findings als Bundle. So entfällt der typische Auditor-vs-Dev-Pingpong. Audit und Implementierung aus einer Hand.

Question 4

Was kostet ein Sicherheits-Check?

Accepted Answer

Ein schneller Sicherheits-Schnellcheck startet bei 1.500 €. Ein vollständiger Sicherheits-Check liegt je nach Umfang zwischen 3.200 € und 12.000 € — als Festpreis, den wir vor dem Vertrag festlegen. Keine bösen Überraschungen auf der Rechnung am Ende.

Question 5

Wie lange dauert das?

Accepted Answer

Ein schneller Sicherheits-Schnellcheck dauert 3–5 Arbeitstage. Eine vollständige Prüfung mit allem Drum und Dran dauert in der Regel 1–2 Wochen, bei größeren Systemen bis zu 3 Wochen.

Question 6

Was ist der Unterschied zwischen einem Audit und einem Penetrationstest?

Accepted Answer

Ein Audit ist breiter und systematischer — es schaut auf Programmcode, Aufbau, Einrichtung und Abläufe. Ein Penetrationstest ist gezielter und versucht konkret, Lücken auszunutzen. Ich biete beides, meist zusammen: eine Prüfung, bei der ich die wichtigsten Lücken auch praktisch ausnutze, um sie zu belegen.

Question 7

Wie bekomme ich die Ergebnisse?

Accepted Answer

Als PDF-Bericht mit einer kurzen Zusammenfassung für die Chefetage, einer Einstufung jeder Lücke, einer Anleitung zum Nachstellen und konkreten Lösungsvorschlägen. Auf Wunsch gehe ich die Ergebnisse in einem 60-Minuten-Gespräch mit deinem Team durch, damit die Behebung sofort losgehen kann.

Question 8

Behebt ihr die Lücken selbst oder berichtet ihr nur?

Accepted Answer

Beides — und genau das ist das Besondere. Entweder nur der Bericht, oder ich behebe die kritischen Lücken direkt als Paket. So entfällt das übliche Hin und Her zwischen Prüfer und Entwickler.

Question 9

Brauche ich so einen Check für NIS2?

Accepted Answer

NIS2 schreibt keine bestimmte Form vor, verlangt aber nachweislich sichere Entwicklung und einen guten Umgang mit Schwachstellen. Ein Sicherheits-Check liefert genau diesen Nachweis — mit einer Dokumentation, die auch einer NIS2-Prüfung standhält.

Question 10

Was ist eine Sicherheitsprüfung für Geräte-Software und wie lange dauert sie?

Accepted Answer

Dabei untersuche ich die Software auf einem Gerät auf Schwachstellen: die Software selbst, den Start-Vorgang, die Updates, die Art wie das Gerät kommuniziert und seine Anschlüsse. Bei einem einfachen Gerät mit kleinem Steuerungs-Chip (z. B. ESP32, STM32, Nordic) dauert das 1 bis 3 Wochen. Bei größeren, komplexeren Geräten mit mehr Software eher 3 bis 6 Wochen.

Question 11

Müssen vernetzte Geräte die NIS2-Vorgaben erfüllen?

Accepted Answer

NIS2 gilt vor allem für Betreiber besonders wichtiger Einrichtungen. Wenn eure Geräte in solchen Bereichen laufen (Energie, Gesundheit, Produktion, Wasser), fallt ihr unter die Pflichten — dazu gehört, dass ihr Schwachstellen nachweisbar bewertet und auf Sicherheitsvorfälle vorbereitet seid.

Question 12

Was ist der Unterschied zwischen einer Prüfung der Server-Systeme und einer Prüfung der Geräte-Software?

Accepted Answer

Eine Server-Prüfung schaut sich Schnittstellen, Cloud-Einstellungen und den Programmcode auf den Servern an. Eine Geräte-Prüfung schaut sich das an, was direkt auf dem Gerät läuft — bis hin zum Start-Vorgang, den Anschlüssen und dem zeitkritischen Verhalten. Bei vernetzten Produkten braucht man meistens beides.

Question 13

Wie prüft ihr, ob der Update-Weg aus der Ferne sicher ist?

Accepted Answer

Wir prüfen unter anderem: Ist das Start-Programm echt und geschützt? Kontrolliert das Gerät selbst, ob ein Update wirklich von euch stammt? Wie werden die geheimen Schlüssel verwaltet und bei Bedarf ausgetauscht? Ist ein Rückschritt auf eine alte, unsichere Version verhindert? Ist die Übertragung verschlüsselt, und was passiert, wenn ein Update abbricht? Häufige Funde: keine Echtheits-Prüfung, ungeschützt abgelegte Schlüssel, kein Schutz gegen Rückschritte.

Question 14

Welche Geräte-Typen unterstützt ihr?

Accepted Answer

Schwerpunkt sind gängige Steuerungs-Chips: ESP32, STM32 (alle Cortex-M-Serien) und Nordic nRF5/nRF52. Ebenso NXP i.MX, TI MSP/Sitara und Geräte mit eingebautem Linux (Yocto, Buildroot). Bei ungewöhnlichen Plattformen klären wir vorab, ob sich die Prüfung in der verfügbaren Zeit sinnvoll durchführen lässt.

Question 15

Wie geht ihr mit voreingestellten Standard-Passwörtern bei bestehenden Geräte-Flotten um?

Accepted Answer

Zuerst eine Bestandsaufnahme: Welche Geräte haben welche Zugangsdaten, welche Zugänge sind von außen erreichbar? Dann Schritt für Schritt: ein Update aus der Ferne, das ein Ändern der Passwörter erzwingt, Überwachung der übrigen Geräte und die passende Dokumentation für die Meldepflichten (NIS2/CRA). Geht kein Update aus der Ferne, planen wir den Austausch vor Ort und schotten die Geräte übergangsweise im Netz ab.

Question 16

Bin ich überhaupt von NIS2 betroffen?

Accepted Answer

Eine erste Orientierung geben die drei Indikatoren oben. Maßgeblich sind die Anhänge I und II der NIS-2-Richtlinie sowie die Schwellenwerte (mittlere Einrichtung ab 50 Mitarbeitenden oder 10 Mio. € Umsatz; besonders wichtig ab 250 / 50 Mio. €). Auch Lieferanten betroffener Einrichtungen können in den Geltungsbereich rutschen. Eine belastbare Einschätzung für den Einzelfall sollte gemeinsam mit einer Fachanwältin oder einem Fachanwalt für IT-Recht erfolgen.

Question 17

Was kostet ein NIS2 Readiness Audit bei Büngener Software?

Accepted Answer

3.000 bis 5.000 € netto je nach Scope, mit fixiertem Rahmen vor Vertragsschluss. Optionaler Retainer ab 800 € netto pro Monat. Keine versteckten Stundenpauschalen, keine Sub-Berater-Margen.

Question 18

Wie läuft das Audit ab und wie lange dauert es?

Accepted Answer

Vier Phasen, zwei Wochen netto Bearbeitungszeit. Auf deiner Seite rechnest du mit drei bis fünf Personentagen verteilt über die zwei Wochen — Kickoff, Zugang stellen, Rückfragen, Abnahme.

Question 19

nis2.faq.items.artifacts.q

Accepted Answer

nis2.faq.items.artifacts.a

Question 20

Ist das eine Rechtsberatung?

Accepted Answer

Nein. Diese Prüfung ist eine technische Einschätzung mit Bezug auf den Pflichten-Katalog der NIS-2-Richtlinie und die deutsche Umsetzung. Eine rechtliche Würdigung im Einzelfall — etwa zur Anwendbarkeit, zu Bußgeld-Risiken oder zur persönlichen Haftung der Geschäftsleitung — bleibt einer Fachanwältin oder einem Fachanwalt für IT- und Datenschutzrecht vorbehalten. Auf Wunsch arbeite ich mit deiner Kanzlei zusammen.

Häufige Fragen

Allgemeine Fragen

Häufige Fragen — Sicherheits-Check

FAQ — Embedded Security Audit

Häufige Fragen.

Möchtest du mehr erfahren?