Ihr IT-Partner sorgt dafür, dass die Systeme laufen. Aber wer prüft, ob sie sicher sind? Wer setzt Prioritäten, wer berichtet der Geschäftsleitung, wer trägt die Verantwortung mit? SafeRoute füllt diese Lücke. Nicht als einzelne Person, sondern als eingespieltes System: Führung, eigene Assessment-Plattform, Prüfwerkzeuge, Schulungsprogramm und Berichtswesen. Sie müssen nichts anschaffen und niemanden einstellen.
Nach der Standortbestimmung schliessen wir zuerst die Lücken mit dem grössten Hebel. Das Schutzniveau steigt schnell. Danach beginnt die eigentliche Arbeit: Neue Bedrohungen, Systemänderungen und Personalwechsel schaffen laufend neue Angriffsflächen. Ohne Begleitung sinkt das Niveau wieder, mit Begleitung bleibt es oben und wird jedes Quartal nachjustiert. Und nach dem vierten Quartal hört das nicht auf, es wird Routine.
Basierend auf der Standortbestimmung setzen wir die priorisierten Massnahmen um, gemeinsam mit Ihrem IT-Partner. Rund 20 Prozent der Massnahmen verhindern 80 Prozent des Schadens. In wenigen Monaten erreichen Sie ein solides Schutzniveau, ohne den Betrieb zu blockieren.
Jedes Quartal: prüfen, berichten, entscheiden. Jeden Monat: Mitarbeitende und Zugänge im Blick. So bleibt Ihre Anfangsinvestition geschützt, und Sie können gegenüber Versicherern, Kunden und Behörden jederzeit belegen, dass Sicherheit bei Ihnen geführt wird. Werkzeuge, Lizenzen und Berichtswesen bringen wir mit.
Das häufigste Problem in KMU ist nicht fehlende Technik, sondern eine Lücke: Es gibt jemanden, der die Systeme betreut, aber niemanden, der die Risiken verantwortet. So verteilen sich die Aufgaben, wenn SafeRoute diese Lücke schliesst.
| Aufgabe | Sie (GL / VR) | Ihr IT-Partner | SafeRoute |
|---|---|---|---|
| Risiken kennen und bewerten | Nimmt die Lage zur Kenntnis | Liefert technische Informationen | Analysiert, bewertet, priorisiert |
| Entscheiden, was umgesetzt wird | Entscheidet auf Basis des Reports | Berät zur Machbarkeit | Bereitet Entscheide vor, empfiehlt |
| Massnahmen umsetzen | Gibt frei | Setzt technisch um | Setzt um, wo es Security-Expertise braucht. Beauftragt und kontrolliert den Rest |
| Systeme betreiben und warten | Betreibt, patcht, supportet | Prüft unabhängig, ob es wirkt | |
| Mitarbeitende sensibilisieren | Steht dahinter | Phishing-Simulationen, Schulung, Auswertung | |
| Richtlinien und Notfallplan | Verabschiedet | Liefert technische Inputs | Erarbeitet, hält aktuell, übt mit Ihnen |
| Bericht an GL und Verwaltungsrat | Erhält und nutzt den Report | Schreibt den Quartalsreport, präsentiert | |
| Nachweise für Versicherer und Kunden | Legt vor | Liefert Belege zur Technik | Stellt Dokumentation zusammen |
| Verantwortung für Cyberrisiken | Bleibt bei Ihnen, das ist Gesetz | Haftet für seinen Vertrag | Macht sie tragbar: Lage, Prioritäten, Nachweis |
Bei wichtigen Diagnosen holt man eine Zweitmeinung ein, und keine Buchhaltung revidiert sich selbst. Genauso hier: Wir prüfen die Arbeit Ihres IT-Partners unabhängig, ersetzen ihn aber nicht. Er kennt Ihre Systeme, wir bringen die Zweitmeinung und die Führung.
Eine eigene Sicherheitsstelle müsste erst aufbauen, was wir mitbringen: Werkzeuge auswählen, Lizenzen beschaffen, Vorlagen schreiben, Berichte erfinden. Bei SafeRoute ist das Teil des Mandats. Vom ersten Quartal an.
Keine zusätzlichen Anschaffungen, keine Toolauswahl, keine Lizenzverwaltung. Alles inbegriffen und sofort im Einsatz.
Sicherheit ist kein Zustand, den man einmal herstellt. Deshalb arbeiten wir in einem festen Takt. So sieht ein typisches Quartal aus, nachdem die Standortbestimmung gemacht ist.
Technische Schwachstellenanalyse Ihrer nach aussen sichtbaren Systeme. Abgleich: Was wurde seit dem letzten Quartal umgesetzt, was ist offen, was hat sich in Ihrer IT verändert.
SafeRoute, ohne Ihren AufwandPhishing-Simulation mit kurzer Nachschulung für die, die geklickt haben. Awareness-Modul für alle. Überwachung, ob Zugangsdaten Ihres Unternehmens im Netz auftauchen. Kurzer Status per E-Mail.
SafeRoute, Mitarbeitende wenige Minuten pro MonatDer Management-Report auf zwei bis drei Seiten: Lage je Handlungsfeld, die drei wichtigsten Entscheide, Stand der Massnahmen. Geschrieben für Geschäftsleitung und Verwaltungsrat, nicht für die IT.
SafeRoute, Sie lesen 10 MinutenStrategie-Meeting mit Ihnen, bei Bedarf mit Ihrem IT-Partner: Report besprechen, Prioritäten für das nächste Quartal festlegen, Aufträge an den IT-Partner formulieren.
Sie, 60 bis 90 MinutenDas wichtigste Dokument der Zusammenarbeit. Er beantwortet jedes Quartal dieselben drei Fragen: Wo stehen wir? Was ist zuerst dran? Wer macht es bis wann?
Er ist so geschrieben, dass ein Verwaltungsrat ihn ohne IT-Vorwissen versteht, und so dokumentiert, dass er vor Versicherern, Kundenaudits und im Ernstfall vor Behörden Bestand hat.
Den ausführlichen Bericht der Standortbestimmung als Muster ansehen (PDF)
12 von 18 Massnahmen aus der Standortbestimmung umgesetzt. 4 in Arbeit, 2 bewusst zurückgestellt (Begründung im Anhang).
Schematischer Auszug. Struktur und Ampel folgen den fünf Handlungsfeldern des IKT-Minimalstandards Schweiz.
So sieht das erste Jahr aus. Der Quartalstakt bleibt gleich, der Inhalt verschiebt sich: zuerst die Lücken mit dem grössten Hebel, dann Struktur, dann Routine. Und nach dem vierten Quartal geht es weiter.
| Ohne Security-Management | Mit SafeRoute |
|---|---|
| «Die IT macht das schon.» | Sie wissen jedes Quartal, wo Sie stehen, in einer Sprache, die Sie verstehen. |
| Der IT-Partner empfiehlt, niemand entscheidet, Listen bleiben liegen. | Drei Entscheide pro Quartal, vorbereitet und begründet. Umgesetzt wird, was den grössten Schaden verhindert. |
| Der IT-Partner prüft sich selbst. | Eine unabhängige Zweitmeinung, wie beim Arzt. Ihr IT-Partner bekommt klare Aufträge statt vager Sicherheitswünsche. |
| Die Cyberversicherung oder ein Kunde fragt nach Nachweisen, und es beginnt die Suche. | Dokumentierte Entscheide, umgesetzte Massnahmen, nachvollziehbare Reports. Liegt bereit. |
| Die Verantwortung liegt bei der Geschäftsleitung, aber niemand trägt sie. | Die Verantwortung bleibt bei Ihnen, wird aber tragbar: jemand kennt die Lage, setzt Prioritäten und verfolgt die Umsetzung. |
| Im Ernstfall: Wer ruft wen an, wer entscheidet, wer meldet? | Notfallplan mit Rollen, geübt. Wir sind die erste Anlaufstelle der Geschäftsleitung. |
| Sicherheit ist ein Projekt, das irgendwann versandet. | Sicherheit ist ein geführter Prozess mit festem Takt. Sie führen Ihr Unternehmen, wir führen Ihre Sicherheit. |
Nicht alles auf einmal. Was wann dran ist, ergibt sich aus der Standortbestimmung und dem Quartalsplan. Eine Auswahl:
Ein schlankes Regelwerk, das Mitarbeitende verstehen und das vor Kunden und Versicherern Bestand hat.
Wer entscheidet, wer meldet, wer kommuniziert. Einmal im Jahr spielen wir den Ernstfall am Tisch durch.
Baseline-Check und Härtung der Umgebung, in der bei den meisten KMU die wichtigsten Daten liegen.
Einführung inklusive Schulung der Mitarbeitenden. Die Massnahmen mit dem besten Verhältnis von Aufwand zu Schutz.
Was steht im Vertrag, was wird tatsächlich geleistet, wo sind die Lücken. Ein Wartungsvertrag ist kein Sicherheitsvertrag.
Wer hat Zugriff auf Ihre Daten, und was passiert, wenn dieser Partner ausfällt oder angegriffen wird.
Gezielter Angriff durch spezialisierte Partner, um zu beweisen, was hält. Wir koordinieren und übersetzen die Ergebnisse in Entscheide.
Ihre Systeme werden rund um die Uhr überwacht, Angriffe werden erkannt und gestoppt, bevor Schaden entsteht. Mit spezialisierten Partnern, von uns gesteuert.
Der Blick von innen: veraltete Systeme, offene Freigaben, vergessene Konten. Ergänzt die quartalsweise Aussenprüfung.
Ein kompaktes Briefing für Geschäftsleitung oder Verwaltungsrat: Bedrohungslage, Verantwortung, die drei wichtigsten Entscheide.
Cybersicherheit delegiert man an IT-Dienstleister. Cyberrisiken delegiert man nicht. Das Obligationenrecht verpflichtet Verwaltungsrat und Geschäftsleitung zur sorgfältigen Führung, und dazu gehören heute die Cyberrisiken.
Externes Security-Management heisst deshalb nicht, ein weiteres Tool zu kaufen. Es heisst: Risiken kennen und priorisieren, Verantwortlichkeiten schriftlich regeln, Massnahmen nach dem Stand der Technik treffen und das Warum festhalten. Genau das ist unsere Arbeit, Quartal für Quartal.
Manche suchen dafür nach einem externen Informationssicherheitsbeauftragten oder einem «CISO as a Service». Wir nennen es Security-Management, weil es um Führung geht und nicht um eine einzelne Person.
Der Einstieg ist die Cyber-Risiko Standortbestimmung: pauschal CHF 2'950, ohne Verpflichtung für danach. Oder wir sprechen zuerst 30 Minuten über Ihre Ausgangslage.
Oder zuerst selbst prüfen: Der Cyber-Selbstcheck zeigt in wenigen Minuten, wo Sie grob stehen.