Security Check mit System:
Schwachstellen finden – fixen – nachweisen

Wie finde ich Schwachstellen in meiner IT-Infrastruktur?

Sicherheitslücken finden Sie auf zwei Wegen: durch manuelle Sicherheitsaudits beziehungsweise Penetrationstests – oder durch automatisierte Tools, die Ihre IT systematisch und regelmäßig auf bekannte Schwachstellen prüfen.

Bewährte Methoden zur Schwachstellensuche:

• Externe Überprüfung aus Hacker-Perspektive (offene Ports, SSL/TLS, DNS, E-Mail-Security)
• Abgleich Ihrer Software-Versionen mit CVE-Datenbanken für bekannte Sicherheitslücken
• Prüfung der Konfiguration von Webservern und Mail-Servern
• Identifikation veralteter oder vergessener Systeme (Shadow IT)

Entscheidend ist der Unterschied zwischen interner und externer Perspektive: Interne Audits prüfen Ihre Systeme von innen – eine externe Angriffsflächenanalyse zeigt genau das, was Angreifer von außen sehen würden, also die Türen, durch die Hacker tatsächlich eindringen. Über 70 % aller Cyberangriffe starten von außen, deshalb ist die externe Sicht besonders wichtig.

CheckFix übernimmt diese externe Schwachstellensuche vollautomatisiert: Innerhalb von 24 Stunden erhalten Sie eine vollständige Übersicht aller gefundenen Sicherheitslücken – inklusive priorisierter ToDo-Liste mit konkreter Fix-Strategie, die Ihr eigener Techniker umsetzen kann.

Was wird bei CheckFix geprüft?

CheckFix analysiert Ihre gesamte externe Angriffsfläche: Domains, Subdomains, E-Mail-Server, offene Ports, SSL-Zertifikate, DNS-Konfiguration, Web-Technologien und Mail-Security (SPF, DKIM, DMARC).

Konkret überprüft CheckFix:

• Ihre E-Mail-Adressen auf fehlerhafte Konfigurationen
• Bekannte Schwachstellen (CVEs) in erkennbaren Technologien
• Offene Ports und veraltete SSL/TLS-Protokolle
• DNS- und Mail-Security-Einstellungen

Geprüft wird alles, was von außen über Ihre Domain(s) erreichbar ist – genau wie Hacker automatisierte Tools nutzen würden.

Wichtig: CheckFix ist kein Virenschutz-Ersatz, sondern ergänzt Ihre bestehenden Sicherheitsmaßnahmen um eine externe Perspektive. Zero-Day-Schwachstellen (unbekannte Sicherheitslücken) kann kein Tool erkennen – CheckFix findet bekannte Schwachstellen (n-Day), bevor Angreifer sie ausnutzen.

Für wen ist CheckFix geeignet?

CheckFix eignet sich für jedes Unternehmen mit Online-Präsenz: Website, E-Mail-Server oder öffentlich erreichbaren APIs. Besonders profitieren KMU (professionelle IT-Sicherheit ohne 5-stellige Pentest-Budgets), NIS2-pflichtige Unternehmen (technische Compliance-Unterstützung und Lieferantenprüfung), Lieferanten von NIS2- oder ISO-27001-pflichtigen Unternehmen (Sicherheitsnachweis gegenüber Kunden) und IT-Dienstleister/MSPs (Kundenprüfung und Bestandsüberwachung).

Was ist der Unterschied zwischen CheckFix und einem Penetrationstest?

Ein Penetrationstest greift Ihre Systeme aktiv an und zeigt, welche Lücken sich tatsächlich ausnutzen lassen. CheckFix analysiert dagegen Ihre externe Angriffsfläche von außen, ohne in Ihre Systeme einzudringen, und liefert eine priorisierte Fix-Strategie. Das geht regelmäßig und zum planbaren Abo-Preis. Ein manueller Penetrationstest mit vergleichbarem Umfang kann leicht 15.000 Euro kosten. Die aktive Prüfung bekommen Sie bei uns als Add-on: den KI-Pentest.

Was ist der Unterschied zwischen CheckFix und dem KI-Pentest?

CheckFix analysiert Ihre externe Angriffsfläche passiv und liefert eine priorisierte ToDo-Liste mit Fix-Strategie. Der KI-Pentest baut darauf auf: Unser eigener Pentest-Agent auf eigener Hardware prüft die von Ihnen freigegebenen Hosts aktiv und zeigt, welche Lücken sich tatsächlich ausnutzen lassen. Sie buchen ihn als Add-on zu Ihrem CheckFix, in Paketen ab 4 Runs.

Kann mein Techniker die Sicherheitslücken selbst beheben?

Ja! CheckFix wurde genau dafür entwickelt. Jede Schwachstelle wird mit Fix-Strategie in ToDos übersetzt – verständlich für jeden kompetenten Techniker. Diesen braucht es aber, da es unmöglich ist, eine konkrete Schritt-für-Schritt-Anleitung für alle Systeme zur Verfügung zu stellen. Wer also Ihre IT eingerichtet hat, fixt nun auch die Sicherheitslücken. Zusätzlich unterstützt ein gepromptetes MD, mit dem Sie ChatGPT, Claude und Co füttern können, bei der Umsetzung für Ihre spezifische Umgebung (Plesk, cPanel, Azure, AWS etc.). Ein Systemadministrator ersetzt keinen Cybersecurity-Experten – aber CheckFix übersetzt Security-Wissen so, dass Ihr Techniker es ohne 5-stellige Beraterkosten umsetzen kann.

Was ist der Unterschied zwischen CheckFix und Virenschutz?

Virenschutz (Antivirus) schützt Ihre Geräte von innen vor Malware. CheckFix analysiert Ihr Unternehmen von außen – wie ein Hacker. Beide Ansätze ergänzen sich: Antivirus wehrt Angriffe ab, die bereits im System sind. CheckFix verhindert, dass Angreifer überhaupt eindringen können, indem es offene Türen (Ports, Fehlkonfigurationen, veraltete Software) findet, bevor Sie gehackt werden. Optimal: Beides nutzen!

Wie oft sollte ich CheckFix durchführen?

Am besten 2x jährlich. Warum? Neue Schwachstellen entstehen laufend (Software-Updates, neue Subdomains, Konfigurationsänderungen). Nach jedem Check braucht Ihr Team Zeit zum Fixen – der Re-Check zeigt messbare Fortschritte. Halbjährliche Checks entsprechen gängigen Compliance-Zyklen (ISO 27001, NIS2) und halten Sie zwischen Pentests sicher. So wird Security zur Routine statt zur Pflichtübung.

Kann ich den Report als Nachweis für Audits (NIS2, ISO 27001, TISAX) verwenden?

Ja. Offene Punkte dokumentieren Sie direkt in der ToDo-Liste mit Begründung, kompensierender Maßnahme, Termin und Zuständigkeit. Daraus entsteht ein PDF-Report mit Maßnahmenplan und Management Response, den Sie an Kunden weitergeben oder für interne Audits und die Dokumentation nach NIS2, ISO 27001 oder TISAX® nutzen. Der Report deckt den technischen Teil des externen Security-Assessments ab.

Brauche ich für NIS2 bzw. NISG 2026 einen Penetrationstest?

Das NISG 2026 schreibt keinen Penetrationstest ausdrücklich vor. Es verlangt aber Konzepte und Verfahren, mit denen Sie die Wirksamkeit Ihrer Risikomanagementmaßnahmen bewerten, und einen geregelten Umgang mit Schwachstellen. Wesentliche Einrichtungen, etwa Betreiber kritischer Infrastruktur in Energie, Gesundheit oder Verkehr, müssen zudem mit Prüfungen durch eine unabhängige Stelle rechnen. Ein Penetrationstest ist dafür ein gängiger technischer Nachweis.

Ob Sie einen brauchen, hängt von Ihrer Einstufung und Ihrer Risikoanalyse ab. Mit CheckFix kennen Sie Ihre externe Angriffsfläche, mit dem KI-Pentest prüfen Sie, was sich davon ausnutzen lässt.