Cybersicherheit für Website, App, Server und E-Mail

NIS2 ist eine EU-Richtlinie, die jedes Land in eigenes Recht umsetzt; in den Niederlanden gilt dafür seit dem 15. August 2026 die Cyberbeveiligingswet, in Deutschland das jeweilige nationale Umsetzungsgesetz. Die Regeln richten sich an wesentliche und wichtige Einrichtungen in den genannten Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft und Teile der Industrie. In der Regel betrifft das mittlere und große Organisationen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Für einige digitale Dienste gilt NIS2 unabhängig von der Größe. Die meisten kleinen Unternehmen fallen also nicht direkt darunter. Sie spüren die Regeln aber über ihre Kunden: Eine betroffene Organisation muss auch die Sicherheit ihrer Lieferanten bewerten und fragt häufiger danach. VirtuoLab gibt keine Rechtsberatung dazu, ob Ihre Organisation betroffen ist; dafür sind die Prüfwerkzeuge der Behörden und ein Jurist der richtige Weg. VirtuoLab hilft bei den technischen Maßnahmen, die das Gesetz und Ihre Kunden erwarten.

E-Mail-Spoofing verhindern Sie mit drei DNS-Einträgen: SPF, DKIM und DMARC. SPF listet auf, welche Server im Namen Ihrer Domain senden dürfen. DKIM versieht jede Nachricht mit einer digitalen Signatur, sodass der Empfänger prüfen kann, dass sie unterwegs nicht verändert wurde. DMARC sagt empfangenden Mailservern, was mit Mails geschehen soll, die diese Prüfungen nicht bestehen: nichts, Quarantäne oder Ablehnung, und schickt Berichte zurück. Seit Februar 2024 verlangt Google von Absendern, die mehr als 5.000 Nachrichten pro Tag an Gmail schicken, dass SPF, DKIM und DMARC eingerichtet sind; auch kleineren Absendern hilft es gegen den Spamordner. VirtuoLab richtet die Einträge schrittweise ein: zuerst DMARC im Überwachungsmodus, um zu sehen, welche Dienste im Namen Ihrer Domain senden, etwa Ihre Buchhaltungssoftware oder Ihr Newsletter-Tool. Erst wenn alles stimmt, wechselt die Richtlinie zu Quarantäne und dann zu Ablehnung. So kommen echte Mails weiter an, und Phishing in Ihrem Namen wird schwieriger.

VirtuoLab führt Sicherheitschecks durch: eine Prüfung von Konfiguration, Versionen, Zugriff, Backups und den bekannten Schwachstellen der OWASP Top 10, mit automatisierten Scans und manueller Kontrolle. Für die meisten Websites und Apps kleiner Unternehmen ist das der sinnvollste erste Schritt. Ein formaler Penetrationstest ist etwas anderes: ein Angriff durch zertifizierte Tester nach einer festen Methode, mit einem Bericht, den ein Prüfer oder Großkunde akzeptiert. Verlangt ein Kunde, Versicherer oder eine Zertifizierung einen solchen Pentest, ist ein spezialisiertes Sicherheitsunternehmen die richtige Wahl, und das sagt VirtuoLab auch offen. VirtuoLab behebt danach die Befunde im Code und in der Serverkonfiguration und kann die Anwendung so vorbereiten, dass der Test effizient läuft: eine Testumgebung, Testkonten pro Rolle und eine Dokumentation der Architektur. Bei Software, die VirtuoLab selbst baut, gehören die wichtigsten Prüfungen schon zum Entwicklungsprozess, etwa die Kontrolle von Abhängigkeiten und Zugriffsregeln pro Benutzer.

Cybersicherheit bei VirtuoLab hat immer einen Festpreis vorab, abhängig davon, was gesichert werden muss. VirtuoLab nennt hier keinen Standardbetrag, weil eine einzelne WordPress-Website und eine Umgebung mit Web-App, zwei Servern und einem Mailserver zu verschieden sind. Der Weg ist aber immer derselbe. Zuerst ein kostenloses Erstgespräch, in dem Sie erzählen, welche Systeme es gibt und was Ihnen Sorgen macht. Danach ein Sicherheitscheck zum Festpreis, der mit einem priorisierten Bericht endet. Auf Basis dieses Berichts erhalten Sie einen Festpreis für die Behebung der Befunde und entscheiden selbst, was geschieht. Laufende Betreuung wie Updates, Backups und Monitoring ist danach monatlich möglich. So bezahlen Sie nicht für Maßnahmen, die nicht zu Ihrem Risiko passen. Ein Unternehmen, das personenbezogene Daten von Kunden verarbeitet, hat zum Beispiel andere Prioritäten als eines mit nur einer informativen Website.