Ihre Systeme verarbeiten Gesundheits-, Bank- oder Unternehmensdaten und unterliegen regulatorischen Anforderungen. Ich prüfe, ob die Konfiguration hält, was die Architektur verspricht, und schließe die Lücken dazwischen.

Wann sich ein Review lohnt

Eine Anwendung soll an einen zentralen Login (Single Sign-on) angebunden werden.
Ein Identity Provider wie Keycloak, Okta, Auth0 oder Cidaas wird eingeführt oder abgelöst.
Konten werden per Phishing übernommen, und Passwort plus SMS-Code reicht nicht mehr.
Ein Audit, eine Zertifizierung oder die Konformitätsbewertung (MDR) eines Medizinprodukts steht an.
Cloud-Umgebungen und Container sind gewachsen, und niemand hat mehr den Überblick über Rechte.

Leistungen

Identity- und Access-Management

Anbindung von Anwendungen per OAuth2 und OpenID Connect, saubere Rollen- und Rechtekonzepte, sichere Token-Handhabung. Erfahrung mit Keycloak, Okta, Auth0 und Cidaas. Ich prüfe bestehende Integrationen auf die bekannten Fehler: falsche Flows, zu lange gültige Tokens, fehlende Prüfungen auf Serverseite.

YubiKeys und Passkeys

Hardware-Schlüssel und Passkeys nach FIDO2 sind phishing-resistent: Ein Angreifer kann die Anmeldung nicht auf einer gefälschten Seite abgreifen. Ich plane und begleite die Einführung, von der Auswahl der Schlüssel über die Anbindung an Ihren Identity Provider bis zu Ersatzschlüsseln, Verlustprozess und Einweisung der Mitarbeitenden.

Härtung von Cloud-Umgebungen und Containern

Review von Konten, Rollen, Netzwerk und Konfiguration in der Cloud sowie von Container-Images und Laufzeit. Ziel sind minimale Rechte und eine Konfiguration, die nicht von selbst wieder aufweicht.

Security Scanning in CI/CD-Pipelines

Abhängigkeiten, Container-Images, Secrets und Konfiguration werden bei jedem Build geprüft, sodass Schwachstellen auffallen, bevor sie in Produktion gehen.

MDR-Compliance im MedTech-Umfeld

Für Medizinprodukte mit Software verlangt die MDR nachweisbare Cybersicherheit. Ich unterstütze bei Threat Model, Sicherheitsanforderungen und der Dokumentation dazu.

Vorgehen

Jedes Projekt beginnt mit einer klaren Abgrenzung, was geprüft wird. Danach folgen Review und gezielte Tests, ein Bericht mit priorisierten Maßnahmen und auf Wunsch die gemeinsame Umsetzung mit Ihrem Team. Eingriffe in laufende Systeme gibt es nur nach Absprache.

Verwandte Leistungen: KI-Security für LLM- und Agenten-Anwendungen, Social Engineering, um zu prüfen, ob Prozesse und Menschen halten.

IT-Security und Identity- & Access-Management