Schwachstellen im Unternehmen präventiv aufdeckecken. Unternehmenswerte schützen.

Kriminalistische Schwachstellenanalyse

Wie würde ein Täter Ihr Unternehmen angreifen?

Unternehmen betrachten ihre Sicherheit meist aus der eigenen Perspektive: Sind Zugänge geregelt? Gibt es klare Zuständigkeiten? Funktionieren Kontrollen? Sind sensible Bereiche geschützt?

Wir wechseln bewusst die Perspektive.
Wenn jemand Ihrem Unternehmen gezielt schaden wollte, wo würde er ansetzen?

Welche Informationen könnte er bereits von außen gewinnen? Welche Personen könnte er identifizieren? Welche Abläufe ließen sich ausnutzen? Wo entstehen Tatgelegenheiten? Wie könnte Vertrauen missbraucht werden? Und welche vermeintlich kleinen Schwachstellen könnten sich miteinander zu einem ernsthaften Risiko verbinden?

Genau hier setzt unsere Kriminalistische Schwachstellenanalyse an.
Wir betrachten Ihr Unternehmen mit der Denkweise und Erfahrung von Ermittlern und untersuchen mögliche Angriffspunkte aus der Perspektive eines potenziellen Täters.
Dabei geht es nicht darum, theoretisch jedes denkbare Risiko aufzuzählen. Entscheidend ist die Frage:
Welche realistischen Möglichkeiten bestehen, Ihrem Unternehmen durch Diebstahl, Betrug, Informationsbeschaffung, Manipulation, Sabotage oder andere Formen wirtschaftskriminellen Handelns Schaden zuzufügen?

Sicherheit aus einer anderen Perspektive

Nicht nur prüfen, was vorhanden ist. Sondern erkennen, was ausgenutzt werden könnte.
Klassische Sicherheitskonzepte betrachten häufig vorhandene Schutzmaßnahmen: Zutrittssysteme, Alarmanlagen, Kameras, IT-Sicherheit, organisatorische Vorschriften oder bauliche Sicherungen.
Unsere kriminalistische Schwachstellenanalyse setzt an einem anderen Punkt an.

Wir denken und agieren wie Täter. Kriminalprävention, die wirklich schützt.

Der Outside-in-Ansatz

Was kann ein Außenstehender über Ihr Unternehmen herausfinden?
Ein besonders wichtiger Bestandteil unserer kriminalistischen Schwachstellenanalyse ist die Betrachtung Ihres Unternehmens von außen nach innen sein.

Zu Beginn erhalten wir – abhängig vom vereinbarten Untersuchungsumfang – bewusst nur solche Ausgangsinformationen, die grundsätzlich auch einem Außenstehenden zur Verfügung stehen könnten.

Zum Beispiel:
Firmenname, Anschrift, Unternehmenswebsite, öffentlich zugängliche Registereinträge und andere frei verfügbare Informationen.
Anschließend beginnen wir mit der Recherche.

Was lässt sich über Ihr Unternehmen herausfinden, ohne dass jemand Zugang zu internen Informationen besitzt?

Welche Schlüsselpersonen lassen sich identifizieren?

Welche Funktionen und Verantwortlichkeiten werden sichtbar?

Welche Mitarbeiter veröffentlichen berufliche Informationen?

Welche Geschäftspartner, Lieferanten oder Dienstleister sind erkennbar?

Welche Standorte, Eingänge oder betrieblichen Strukturen lassen sich nachvollziehen?

Welche Arbeitsabläufe können aus öffentlich verfügbaren Informationen abgeleitet werden?

Welche Informationen geben Stellenanzeigen, Presseberichte, Unternehmenspublikationen, soziale Netzwerke oder andere öffentliche Quellen preis?

Und vor allem:
Welche möglichen Angriffspunkte entstehen aus der Kombination dieser Informationen?
Einzelne Informationen erscheinen häufig vollkommen harmlos.
Erst ihre Verknüpfung kann problematisch werden.
Genau diese Zusammenhänge betrachten wir.

Denken wie ein potenzieller Täter

Deshalb betrachten wir nicht nur einzelne Schwachstellen.
Wir untersuchen mögliche Angriffsketten.

Fünf Untersuchungsfelder
Unsere kriminalistische Schwachstellenanalyse konzentriert sich auf fünf Bereiche, in denen sich Tatgelegenheiten und wirtschaftskriminelle Risiken besonders häufig entwickeln können.

1. Mensch
Wo kann Vertrauen zum Risiko werden?
Menschen sind für Unternehmen unverzichtbar – und gleichzeitig Bestandteil nahezu jedes Sicherheitskonzeptes.
Wir untersuchen unter anderem mögliche Risiken durch:

Social Engineering
gezielte Informationsbeschaffung
Manipulation und Täuschung
unzureichende Identitätsprüfung
Insider-Risiken
Interessenkonflikte
unklare Verantwortlichkeiten
übermäßige Zugangs- oder Informationsrechte
externe Mitarbeiter und Dienstleister
neue Geschäftspartner
unzureichende Sensibilisierung für ungewöhnliche Kontaktversuche

Dabei geht es ausdrücklich nicht darum, Mitarbeiter unter Generalverdacht zu stellen.
Es geht darum zu erkennen, an welchen Stellen Vertrauen gezielt missbraucht werden könnte.

2. Information
Was weiß die Außenwelt über Ihr Unternehmen?
Informationen sind für potenzielle Täter häufig der erste Zugang zu einem Unternehmen.
Wir betrachten deshalb sowohl öffentlich zugängliche als auch intern schützenswerte Informationen.
Dazu können gehören:

öffentlich verfügbare Unternehmensinformationen
Informationen über Geschäftsführer und Schlüsselpersonen
Mitarbeiterinformationen
soziale Netzwerke
berufliche Profile
Unternehmenswebsite
Stellenanzeigen
Presseveröffentlichungen
öffentlich zugängliche Register
Fotos und Videos aus Unternehmensbereichen
Angaben zu Geschäftspartnern und Dienstleistern
offen erkennbare interne Strukturen
Umgang mit vertraulichen Dokumenten
Informationsweitergabe gegenüber externen Personen
Möglichkeiten unbeabsichtigten Informationsabflusses

3. Prozesse
Welche Abläufe könnten manipuliert werden?
Unternehmen benötigen Routinen.
Doch gerade vorhersehbare Routinen können Tatgelegenheiten schaffen.
Wir betrachten ausgewählte betriebliche Prozesse deshalb mit der Frage:
Wie könnte jemand diesen Ablauf für eigene Zwecke ausnutzen?
Untersucht werden können beispielsweise:

Bestell- und Beschaffungsprozesse
Warenannahme und Warenbewegungen
Rechnungs- und Freigabeprozesse
Kontrollmechanismen
Vier-Augen-Prinzipien
Lieferanten- und Dienstleisterprozesse
Besucherabläufe
Schlüsselübergaben
Berechtigungsvergabe
Umgang mit vertraulichen Informationen
Schnittstellen zwischen Abteilungen
Ausnahme- und Vertretungsregelungen
Möglichkeiten interner Manipulation
Gelegenheiten für Betrug, Unterschlagung oder Diebstahl

Besonderes Augenmerk liegt auf Schnittstellen.
Denn dort, wo Verantwortlichkeiten wechseln, entstehen häufig Lücken.

4. Physischer Zugang
Wie weit kommt jemand, der dort eigentlich nicht hingehört?
Nicht jeder unberechtigte Zutritt erfolgt gewaltsam.
Manchmal genügt selbstbewusstes Auftreten.

Wir untersuchen deshalb unter anderem:

Grundstücks- und Gebäudezugänge
Haupt- und Nebeneingänge
Besucherregelungen
Lieferantenzugänge
Dienstleisterzugänge
Schlüsselmanagement
Zutrittsberechtigungen
sensible Unternehmensbereiche
Lager- und Warenbereiche
Möglichkeiten unbeobachteter Bewegungen
Umgang mit unbekannten Personen
Kontrollmechanismen bei externen Kräften
Möglichkeiten für Diebstahl oder Sabotage

Die entscheidende Frage lautet:
Wie weit könnte ein Außenstehender tatsächlich gelangen – und welche Geschichte müsste er erzählen, damit ihn niemand aufhält?

5. Außenwirkung
Ihr Unternehmen verrät möglicherweise mehr, als Sie denken.
Unternehmen kommunizieren permanent nach außen.
Über Websites, soziale Medien, Mitarbeiterprofile, Stellenanzeigen, Presseberichte, Fotos, Veranstaltungen, Geschäftspartner und öffentliche Register.
Jede einzelne Information kann harmlos erscheinen.
In ihrer Gesamtheit können diese Informationen jedoch ein erstaunlich detailliertes Bild eines Unternehmens ergeben.
Wir untersuchen deshalb, welche Informationen ein interessierter Außenstehender zusammentragen und welche Rückschlüsse er daraus ziehen könnte.
Beispielsweise auf:

Schlüsselpersonen
Verantwortlichkeiten
Organisationsstrukturen
interne Bezeichnungen
Standorte
technische Ausstattung
Lieferanten
Dienstleister
Arbeitszeiten
Personalwechsel
geplante Projekte
Geschäftsbeziehungen
räumliche Strukturen
mögliche Sicherheitsabläufe

Wir betrachten Ihre öffentliche Unternehmenspräsenz mit den Augen eines Informationssuchenden.

Von der Information zum Angriffsszenario
Eine Information allein ist noch keine Schwachstelle.
Eine Schwachstelle allein führt noch nicht zwangsläufig zu einem Schaden.
Problematisch wird es, wenn mehrere Faktoren zusammenkommen.
Deshalb betrachten wir mögliche Zusammenhänge:
Information → Gelegenheit → Angriffsmöglichkeit → mögliches Schadensereignis

Ein Beispiel:
Ein Unternehmen veröffentlicht Informationen über einen neuen Standort.
Über berufliche Netzwerke lassen sich verantwortliche Mitarbeiter identifizieren.
Eine Stellenanzeige verrät eingesetzte Systeme und organisatorische Strukturen.
Fotos zeigen räumliche Details.
Ein externer Dienstleister wird öffentlich genannt.
Jede dieser Informationen für sich erscheint möglicherweise unproblematisch.
Zusammen können sie jedoch einen Ansatzpunkt für gezielte Informationsbeschaffung oder Social Engineering bilden.
Genau diese Verbindungen suchen wir.

Vor-Ort-Analyse
Was aus der Distanz auffällt, wird anschließend vor Ort überprüft.
Nach der Outside-in-Betrachtung kann, abhängig vom vereinbarten Leistungsumfang, die Untersuchung vor Ort folgen.
Dabei gleichen wir die aus externer Perspektive gewonnenen Erkenntnisse mit den tatsächlichen betrieblichen Gegebenheiten ab.
Wir betrachten unter anderem räumliche Strukturen, Zugänge, Abläufe, Verantwortlichkeiten und Kontrollmechanismen.
Entscheidend ist dabei nicht, möglichst viele theoretische Mängel aufzulisten.

Wir wollen wissen:
Welche Schwachstellen besitzen tatsächlich kriminalistische Relevanz?

So läuft eine kriminalistische Schwachstellenanalyse ab
1. Vorgespräch und Definition des Untersuchungsrahmens
Gemeinsam definieren wir die relevanten Unternehmensbereiche, besonderen Schutzinteressen und den Umfang der Analyse.

2. Outside-in-Recherche
Wir betrachten Ihr Unternehmen zunächst aus externer Perspektive und recherchieren, welche relevanten Informationen sich mit legalen und öffentlich zugänglichen Mitteln gewinnen lassen.

3. Kriminalistische Auswertung
Informationen werden zusammengeführt, Zusammenhänge analysiert und mögliche Angriffspunkte identifiziert.

4. Vor Ort-Analyse
Soweit vereinbart, untersuchen wir relevante Bereiche, Abläufe und Zugangsmöglichkeiten vor Ort.

5. Interviews und Prozessbetrachtung
Definierte Ansprechpartner können zu relevanten Abläufen, Zuständigkeiten und Kontrollmechanismen befragt werden.

6. Entwicklung von Angriffsszenarien
Aus relevanten Feststellungen entwickeln wir nachvollziehbare Szenarien und untersuchen deren Realisierbarkeit und mögliche Auswirkungen.

7. Risikobewertung und Priorisierung
Nicht jede Schwachstelle besitzt dieselbe Bedeutung. Wir unterscheiden zwischen theoretischen Möglichkeiten und Risiken mit tatsächlicher praktischer Relevanz.

8. Maßnahmenempfehlungen
Für priorisierte Schwachstellen entwickeln wir nachvollziehbare Handlungsempfehlungen.

9. Management-Debriefing
Die wesentlichen Erkenntnisse werden der Geschäftsführung bzw. den verantwortlichen Entscheidungsträgern verständlich vorgestellt und erläutert.

Für welche Unternehmen ist die Analyse geeignet?
Eine kriminalistische Schwachstellenanalyse ist grundsätzlich überall dort sinnvoll, wo Menschen, Informationen, Waren, Vermögenswerte, Geschäftsprozesse oder Know-how geschützt werden müssen.

Aus Täterperspektive heraus Ihre Unternehmenswerte schützen

Kriminalprävention beginnt lange vor der Straftat
Wirksame Kriminalprävention bedeutet nicht, erst nach einem Vorfall zu reagieren. Sie beginnt mit einer professionellen Risikoanalyse.
Unsere Schwachstellenanalyse deckt Sicherheitslücken auf, die im betrieblichen Alltag häufig unbemerkt bleiben. Dabei untersuchen wir nicht nur Gebäude und Technik, sondern vor allem das Zusammenspiel zwischen Organisation, Mitarbeitern und physischen Sicherheitsmaßnahmen.
Denn genau diese Schnittstellen werden von Tätern gezielt ausgenutzt.
Unsere kriminalpräventive Analyse verfolgt ein klares Ziel: