Eine zweite Meinung zur IT-Sicherheit Ihrer Firma
Die Aussensicht ist eine datierte A4-Seite mit dem, was über Ihre Firma öffentlich abrufbar ist, und fünf Fragen, die nur Ihre IT beantworten kann. Die VORTIS GmbH in Zürich braucht dafür Ihre Web-Adresse und keinen Zugang zu Ihren Systemen.
Im Oktober mussten in der Schweiz viele Websites vorübergehend vom Netz
Am 21. Oktober 2026 erschienen Notfall-Updates für zwei Lücken in der Software, auf der rund 70 Prozent aller Websites laufen. Über die Lücken liess sich ein Server ohne Anmeldung übernehmen. Ein Basler Anbieter, bei dem Firmen ihre Websites betreiben lassen, nahm über 100'000 davon vorübergehend vom Netz. Dem Bundesamt für Cybersicherheit waren am 22. Oktober keine Angriffe in der Schweiz bekannt, die sich den Lücken zuordnen liessen.
Quellen: SRF, 22.10.2026, mit dem Anteil nach W3Techs · Netzwoche, 23.10.2026
Auch eine gut geführte IT lässt man unabhängig prüfen
Bei der Buchhaltung ist es selbstverständlich, dass nicht dieselbe Person sie führt und prüft. Die internationale Norm ISO/IEC 27002 empfiehlt, die Informationssicherheit in geplanten Abständen von unabhängiger Seite prüfen zu lassen, etwa durch eine externe Stelle. VORTIS prüft, was in der IT eingerichtet ist, wie eine Revisionsstelle prüft, was andere gebucht haben. Das Bundesamt für Cybersicherheit empfiehlt, die vereinbarten Leistungen eines IT-Dienstleisters periodisch zu prüfen, denn die Verantwortung für die Sicherheit lässt sich nicht auslagern.
Bei jedem der rund 23'000 Server, die am 22. Oktober noch offen waren, hatte jemand die IT im Griff, und doch reichte ein Tag nicht. Eine schriftliche Bestätigung von unabhängiger Seite hält fest, was in Ordnung ist, und gibt Ihrer IT damit genauso Rückendeckung wie Ihnen.
Quellen: ISO/IEC 27002:2022, Massnahmen 5.3 und 5.35 · BACS, Empfehlungen für die Zusammenarbeit mit IT-Providern · Risikomonitor, zitiert in der Netzwoche vom 23.10.2026
Die Aussensicht sagt auch, was in Ordnung ist
Die Aussensicht zeigt, ob und wie Ihre Mailadressen gegen Fälschung abgesichert sind und über welchen Anbieter Ihre Mails laufen. Zur Website nennt sie das Zertifikat und das System, mit dem die Website gepflegt wird, samt Version, sofern die Website sie angibt. Zu jeder Angabe erklärt eine Zeile, was sie bedeutet, und wo etwas in Ordnung ist, steht «Das ist in Ordnung». Die Seite trägt ein Datum und kommt ohne Farben und ohne Schweregrade aus.
Das meiste, was zählt, sieht man von aussen nicht
Darum stehen auf jeder Aussensicht fünf Fragen, die Ihre IT mit Ja oder Nein und mit einem Beleg beantwortet.
Mail und Konten
Die Frage Ist die Anmeldung mit zweitem Faktor (MFA) für jedes Konto durchgesetzt und nicht bloss eingerichtet, und ist die alte Anmeldung ohne zweiten Faktor (IMAP, POP, SMTP-Auth) gesperrt?
Was ein Nein für Sie heisst Dann öffnet ein gestohlenes Passwort das Postfach mit Rechnungen und Kundendaten, und ein Zahlungsbetrug kann aus dem echten Postfach heraus laufen.
Hintergrund Mit MFA sinkt das Risiko einer Kontoübernahme um 99,2 Prozent (Microsoft Digital Defense Report 2023).
Admin-Konten und Weiterleitungen
Die Frage Sind automatische Weiterleitungen an externe Adressen gesperrt, und ist jedes Admin-Konto vom Alltagskonto getrennt und mit MFA geschützt?
Was ein Nein für Sie heisst Dann kann eine Übernahme wochenlang unbemerkt bleiben, während Mails nach aussen kopiert werden, und ein einziges Admin-Konto öffnet die ganze Microsoft-365-Umgebung.
Fernzugang
Die Frage Verlangt der VPN- oder Fernzugang einen zweiten Faktor, und läuft das Gerät auf aktueller Firmware?
Was ein Nein für Sie heisst Dann genügt ein Passwort aus einem Datenleck, um ins Firmennetz zu kommen.
Backup und Wiederherstellung
Die Frage Wurde eine Wiederherstellung geübt und mit Datum dokumentiert, und liegt eine Kopie getrennt vom Netz?
Was ein Nein für Sie heisst Ohne geübte Wiederherstellung zahlt eine Firma nach einem Vorfall oder baut neu auf, mit ihr bleibt es bei einer schlechten Woche.
Hintergrund Die AXA setzt in ihren Cyber-Bedingungen für KMU eine wöchentliche, vom Netz getrennte Sicherung voraus (AVB, Ausgabe 06.2024).
Website und Hosting
Die Frage Ist geregelt, wer die Updates für die Website und ihre Erweiterungen einspielt, und hat der Hosting-Anbieter schriftlich bestätigt, dass die Lücken vom Oktober geschlossen sind?
Was ein Nein für Sie heisst Dann kann eine übernommene Website Schadsoftware an Ihre Kunden verteilen und Ihre Domain auf Sperrlisten bringen.
Läuft die Website ohne CMS und hat sie kein Formular, keinen Shop und keine Anmeldung, fragt die Aussensicht an dieser Stelle nach Cloud-Diensten und KI-Werkzeugen.
Beantwortet Ihre IT alle fünf Fragen schriftlich mit Ja und Beleg, brauchen Sie den Sicherheits-Check von VORTIS nicht.
VORTIS hat mit der IT eines Kunden eine Übernahme von Microsoft 365 gestoppt
Bei einem Kunden von VORTIS hat letzten Winter jemand das Administratorkonto von Microsoft 365 übernommen, und die IT des Kunden kam allein nicht dagegen an. Aus einem echten Postfach gingen Phishing-Mails an rund 869 Kontakte, bevor es jemand merkte. Die ersten beiden der fünf Fragen betreffen genau die Punkte, die bei diesem Kunden offen waren, und von aussen war keiner davon zu sehen.
VORTIS hat der IT aufgeschrieben, was sofort zu tun war, und damit war die Übernahme gestoppt. Umgesetzt hat die IT, VORTIS hatte nur Lesezugriff und hat selber nichts verändert. Wenige Wochen später lag Microsofts eigene Sicherheitsbewertung um 73 Prozent höher.
Quellen: Fall aus der Praxis von VORTIS, anonymisiert, Winter 2025/26 · Sicherheitsbewertung: Microsoft Secure Score des Kunden, von 30 auf 52 Prozent, gemessen im Januar und Februar 2026
Jeden weiteren Schritt beauftragen Sie einzeln
Der Preis steht bei jedem Schritt fest, bevor die Arbeit beginnt.
Sicherheits-Check, ein Bereich
Sie wählen einen Bereich, und VORTIS prüft dort in vier Stunden die Einstellungen, die man von aussen nicht sieht. VORTIS bespricht den Befund mit Ihnen und Ihrer IT, danach erhalten Sie ihn auf zwei Seiten ohne Fachchinesisch und Ihre IT die Massnahmenliste. VORTIS bestätigt schriftlich, welche der geprüften Einstellungen in Ordnung sind, auch wenn es alle sind.
Bereiche zur Wahl: Mail und Microsoft 365, Website und Hosting, Backup und Wiederherstellung, Zugänge, Cloud-Werkzeuge und KI. Ihre IT richtet am Tag des Checks einen Lesezugriff ein und entzieht ihn am Abend wieder. Der Befund beschreibt den Stand an diesem Tag und ist weder Zertifizierung noch Garantie.
CHF 880ein halber Tag, angerechnet auf eine Härtung innert drei MonatenHärtung zum Fixpreis
Die Härtung schliesst, was laut Befund offen ist. Im Normalfall setzt Ihre IT um und behält ihre Administratorrechte, VORTIS plant und prüft nach. Wo es weder eine eigene IT noch einen IT-Partner gibt oder die IT die Arbeit schriftlich übergibt, kann auch VORTIS umsetzen. Hat VORTIS selber umgesetzt, steht das in jeder späteren Bestätigung.
FixpreisBetrag nach dem BefundSicherheits-Begleitung
Jedes Quartal prüft VORTIS einen halben Tag lang einen Bereich und bestätigt schriftlich, was in Ordnung ist. Dazwischen beobachtet VORTIS jeden Monat, was von aussen einsehbar ist, und meldet sich, wenn sich etwas ändert. VORTIS bietet die Begleitung nach dem Check an, wenn sie sich für Ihre Firma lohnt.
nach dem Checkfür ein Jahr
- Aussensicht
- Sicherheits-Check
- Härtung
- Sicherheits-Begleitung
Für Ihre IT
Die IT setzt um und behält ihre Administratorrechte
- Die Aussensicht liest nur, was jeder Mailserver und jeder Browser ohnehin erhält. Das sind die DNS-Einträge (MX, SPF, DKIM, DMARC), das Zertifikat, die Antwort-Header der Startseite und die Versionsangabe des CMS. Sie verbindet sich nur über die Web-Ports mit dem Webserver, versucht keine Anmeldung und stellt keine Anfrage, die eine Lücke testet. An den Webserver geht pro Domain eine einzige Anfrage, mit einem User-Agent, der VORTIS nennt.
- Für den Check richtet die IT ein Konto mit Lesezugriff und MFA ein und sperrt es am selben Tag wieder. Die Rollen sind Global Reader, Security Reader, View-Only Organization Management und View-Only Audit Logs. Keine davon hat Schreibrechte oder Zugriff auf Mailinhalte.
- Die Befunde erfährt die IT in der Besprechung, zur selben Zeit wie die Geschäftsleitung. Die Massnahmenliste verweist auf den CIS Microsoft 365 Foundations Benchmark und auf Microsoft Learn, damit die IT sie ohne VORTIS umsetzen kann. In der Begleitung erhält die IT jeden Bericht, den die Geschäftsleitung erhält. Die IT kann die Aussensicht für die Firma, die sie betreut, auch selber anfordern.
- Die Lücken vom Oktober heissen PHP2Shell (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Geschlossen sind sie ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, PHP 8.1 und älter erhält keine regulären Korrekturen mehr. Das BACS weist darauf hin, dass PHP auch in Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern und Appliances steckt.
Quellen: PHP-Projekt, 21.10.2026 · BACS
Vom ersten Gespräch an arbeiten Sie mit Tim Bänninger
VORTIS ist ein Ein-Personen-Unternehmen in Zürich, und jeder Auftrag bleibt in der Hand von Tim Bänninger. Er hat vierzehn Jahre in der Unternehmens-IT gearbeitet, die letzten sechs davon in der Cybersicherheit, bei KPMG und bei einem börsenkotierten Konzern. Bei KPMG hat er die IT-Sicherheit von Kundenfirmen nach anerkannten Standards (CIS) technisch geprüft. Beim Konzern hat er die Abwehr gegen Cyberangriffe aufgebaut und geführt und das SWIFT-Audit für den Zahlungsverkehr verantwortet.
Ein Gespräch von 30 Minuten mit Tim Bänninger ist kostenlos.
Gespräch vereinbarenEine kurze Mail genügt, wenn Sie nach einem Brief oder einer Nachricht von VORTIS nichts mehr erhalten möchten.