Blog
OWASP-Leitfäden, Enterprise-Sales-Tipps und Best Practices für Ihre Sicherheitsstrategie.
Alles, was ein Unternehmenskunde, eine Prüferin oder ein Angreifer ohne Zugangsdaten über Ihre Domain beobachten kann, in der Reihenfolge, in der es sich zu beheben lohnt.
Zwei DNS-Einträge und eine statische Datei. Extern überprüfbar, Artikel 21(2)(h) zugeordnet, und fast kein Wettbewerber hat es.
Die Obergrenze des CA/Browser Forum sinkt im März 2027 auf 100 Tage. Für einen MSP mit fünfzig Kundendomains ist das der Unterschied zwischen einem Prozess und einer Störungswarteschlange.
Lieferantenfragebögen ändern sich langsam, doch fünf neue Fragen kursieren. Die meisten Anbieter beantworten sie schlecht, gerade weil sie neu sind.
Sechs neue Kontrollen: Mailtransport, Post-Quantum-Schlüsselvereinbarung, Zertifikatslaufzeit, Trusted Types und SRI-Durchsetzung. Was jede misst und wie sie bewertet wird.
Ein manipuliertes Drittanbieter-Skript kommt von einer erlaubten Herkunft, über TLS, in eine Seite mit gültiger CSP. Fast jede Kontrolle, nach der ein Anbieter gefragt wird, besteht währenddessen.
Fast jedes SaaS hat eine Content-Security-Policy. Fast keines kommt über Stufe zwei hinaus. Hier ist die Leiter und was jede Sprosse tatsächlich bringt.
Anhang-A-Kontrolle 8.24 verlangt Regeln zur Kryptografie und deren Umsetzung. Prüfer wollen den zweiten Teil zunehmend vorgeführt bekommen, nicht beschrieben.
DORA verlangt den Schutz von Daten während der Übertragung. Bei Finanzdaten mit jahrzehntelanger Sensibilität reicht diese Anforderung inzwischen bis zur Post-Quantum-Schlüsselvereinbarung.
Eine TLS-Einrichtung, die vor zwei Jahren ein A erreichte, hat heute drei neue Lücken: Zertifikatslaufzeit, hybride Schlüsselvereinbarung und Mailtransport. Keine davon war damals ein Befund.
Fast jeder Fragebogen fragt nach SPF, DKIM und DMARC. Fast keiner fragt, ob Mail an Sie verschlüsselt ankommt. So beantworten Sie die eigentlich gemeinte Frage.
Beide lösen dasselbe Problem mit unterschiedlichen Vertrauensankern. Eines braucht DNSSEC, das andere geht heute Nachmittag live. Die Reihenfolge zählt mehr als die Wahl.
Die Richtlinie sagt Konzepte für Kryptografie und Verschlüsselung. Sie nennt keine Algorithmen. Was die Aufsichtspraxis 2026 tatsächlich sehen will.
Die deutsche Technische Richtlinie behandelt DANE, MTA-STS und TLS-RPT als eine Einheit. Die meisten SaaS-Anbieter haben nichts davon, und das fällt in BSI-geprägten Bewertungen auf.
Sicherheitsteams regulierter Kunden haben Post-Quantum-Bereitschaft in ihre Fragebögen aufgenommen. Was sie wirklich fragen, und wie man antwortet.
Subresource Integrity wird pro Skript-Tag aktiviert, also verfällt die Abdeckung mit jeder Ergänzung. Integrity-Policy lässt den Browser die Regel global durchsetzen.
Content-Security-Policy steuert, woher Skripte kommen. DOM-XSS lädt kein Skript. Trusted Types ist die Direktive, die die Senke schließt.
Die Obergrenze des CA/Browser Forum liegt heute bei 200 Tagen, 2027 bei 100 und 2029 bei 47. Manuelle Erneuerung lebt bereits auf Abruf.
Chrome, Firefox und Edge verhandeln X25519MLKEM768 standardmäßig. Die Unterstützung auf Serverseite liegt bei rund zehn Prozent. In dieser Lücke lebt Harvest-now-decrypt-later.
Absenderauthentifizierung beweist, wer die Nachricht geschrieben hat. Sie sagt nichts darüber aus, ob die Nachricht im Klartext durch das Internet lief. MTA-STS und TLS-RPT schließen diese Lücke.
67 % der B2B-Deals erfordern einen Security Questionnaire. Die meisten Anbieter brauchen eine Woche pro Antwort. Die 1-Stunden-Methode: Scan, Antwortbibliothek, Mapping, senden.
IT-Grundschutz oder NIS2 — oder beides? Entscheidungsleitfaden für deutsche Unternehmen: Pflicht vs. freiwillig, Aufwand, Audit, was zuerst.
NIS2 Artikel 21 in der Praxis für deutsche KMU: die 10 Maßnahmen, was Auditoren prüfen, und wie Sie ohne Berater den Nachweis aufbauen.
Kostenloser OWASP Top 10 Scan — ohne Registrierung, ohne Kreditkarte.
SaaSFort