Häufige Fragen
zur IT-Security-Beratung

Das hängt vom Umfang ab. Das Erstgespräch ist kostenlos. Assessments und Gap-Analysen (Abgleich von Ist-Zustand und Anforderungen) bieten wir zum Festpreis an, die laufende Begleitung im Retainer-Modell statt nach unbegrenzten Tagessätzen. Welche Bausteine sinnvoll sind, klären wir vorab. Erstgespräch vereinbaren.

Für mittelständische Unternehmen (rund 50 bis 2.000 Mitarbeitende), die Erfahrung aus Konzernprojekten benötigen, jedoch zu Konditionen, die zum Mittelstand passen. Typische Ansprechpartner sind IT-Leitung, Geschäftsführung und CISOs (Chief Information Security Officers), die einen umsetzungsorientierten Partner suchen und keine reinen Konzeptpapiere. Mehr über uns.

Beides. Workshops und Interviews führen wir vor Ort durch, die laufende Begleitung erfolgt remote. Unser Schwerpunkt liegt im Rhein-Main-Gebiet, wir sind aber bundesweit tätig. Kontakt aufnehmen.

In 30 Minuten, kostenlos und unverbindlich: Wir erfassen Ihre Ausgangslage, klären den Anlass (Audit, Kundenanforderung, NIS2) und geben eine ehrliche Einschätzung, ob eine Zusammenarbeit sinnvoll ist. Termin anfragen.

Jens Thekkeveettil, Inhaber von welabs, ist als CISM (Certified Information Security Manager, ISACA) zertifiziert und ISO 27001 Senior Lead Implementer (TÜV). Er bringt über 15 Jahre Erfahrung mit, davon mehrere Jahre in DAX-Konzernen. Mehr über uns.

Eine EU-Richtlinie zur Cybersicherheit, die seit Dezember 2025 in Deutschland in Kraft ist. Sie erweitert den Kreis der betroffenen Unternehmen erheblich: In Deutschland sind rund 29.500 Unternehmen erfasst. Mehr zur Compliance & ISMS.

Das hängt von Ihrem Sektor und Ihrer Unternehmensgröße ab, außerdem von Sonderfällen und Ihrer Rolle in Lieferketten. Am schnellsten klären Sie das mit unserem NIS2-Betroffenheits-Check.

Es drohen Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Neu ist die persönliche Haftung der Geschäftsleitung, die das Risikomanagement billigen und überwachen muss. Mehr zur NIS2-Umsetzung.

Je nach Reifegrad 6 bis 12 Monate. Wer bereits ein ISMS (Informationssicherheits-Managementsystem) betreibt, ist deutlich schneller. Mehr zur Compliance & ISMS.

Nicht zwingend. ISO 27001 deckt jedoch rund 70 bis 80 % der NIS2-Anforderungen ab und ist der effizienteste Weg zur Compliance, weil keine parallelen Strukturen aufgebaut werden müssen. Mehr zur Compliance & ISMS.

Für mittelständische Unternehmen liegen die Gesamtkosten im ersten Jahr (Beratung, Audit und Maßnahmenumsetzung zusammengenommen) typischerweise zwischen rund 37.000 und 215.000 EUR. Die Höhe hängt stark von Unternehmensgröße und Reifegrad ab. Mehr zur Compliance & ISMS.

Realistisch sind 6 bis 12 Monate bis zur Zertifizierungsreife. In drei Monaten lässt sich ein im Alltag gelebtes ISMS nicht seriös aufbauen. Mehr zur Compliance & ISMS.

ISO 27001 ist branchenübergreifend, TISAX ist der spezifische Prüfstandard der Automobilindustrie. Die Anforderungen überschneiden sich zu 70 bis 80 %. Wer ISO 27001 bereits umgesetzt hat, kann TISAX meist in 3 bis 4 Monaten ergänzen. Mehr zur Compliance & ISMS.

Ein ISMS, das zwar dokumentiert ist, aber im Alltag nicht gelebt wird. Spätestens beim Überwachungsaudit fällt das auf. welabs baut ISMS auf, die im Betrieb funktionieren und nicht nur Aktenordner füllen. Mehr zur Compliance & ISMS.

Eine strukturierte Analyse von Technik, Prozessen und Organisation, angelehnt an ISO 27001. Das Ergebnis ist eine Reifegrad-Bewertung mit priorisierter Roadmap. Mehr zur Security-Roadmap.

Ein externer Sparringspartner für Informationssicherheit, der die Rolle eines CISO in Teilzeit übernimmt: Risiko-Entscheidungen, Budgetplanung, Kunden-Audits und Lieferantenfragen. Die Kosten einer Vollzeitstelle entfallen dabei. Mehr zur Security-Roadmap & SSA.

Ab etwa 500 Mitarbeitenden oder in stark regulierten Branchen ist ein interner CISO sinnvoll. Darunter ist ein externer Strategic Security Advisor (SSA) oft die wirtschaftlichere und schnellere Lösung. Mehr zur Security-Roadmap.

Die initiale Implementierung liegt typischerweise bei 50.000 bis 200.000 EUR. Cloud-Lösungen wie Entra ID (Microsofts Cloud-Verzeichnis für Benutzerkonten) starten bei rund 6 EUR pro Nutzer und Monat. Mehr zum Identity & Access Management.

Joiner-Mover-Leaver: standardisierte Prozesse für die Vergabe und den Entzug von Berechtigungen bei Eintritt, Wechsel und Austritt von Mitarbeitenden. Mehr zum IAM.

Entra ID (ehemals Azure AD) ist die zukunftsfähige Cloud-Lösung. Active Directory (der klassische Verzeichnisdienst im eigenen Netzwerk) wird für lokal betriebene Systeme (On-Premises) weiterhin benötigt. Für die meisten mittelständischen Unternehmen ist eine hybride Lösung mit Migrationspfad zu Entra ID sinnvoll. Mehr zum IAM.

Microsofts Plattform für Information Protection (Schutz vertraulicher Informationen), Data Loss Prevention (DLP, Schutz vor Datenabfluss) und Compliance in Microsoft 365. Einzelne Funktionen sind bereits in den E3-Lizenzen von Microsoft 365 enthalten. Mehr zu Microsoft Purview.

Nicht zwingend. Basisfunktionen (manuelle Sensitivity Labels zur Kennzeichnung vertraulicher Dokumente, einfache DLP) sind in E3 enthalten. Für Auto-Labeling (automatische Kennzeichnung), Endpoint DLP (Schutz auf Laptops und Arbeitsplatzrechnern) und Insider Risk Management (Erkennung riskanter Aktivitäten interner Nutzer:innen) sind E5 oder passende Add-ons erforderlich. Mehr zu Microsoft Purview.

Ein Pilot ist in 4 bis 6 Wochen machbar, der unternehmensweite Rollout dauert je nach Komplexität 3 bis 6 Monate. Mehr zu Microsoft Purview.

Drei bis vier Stufen haben sich bewährt. Weniger ist zu grob, mehr als fünf überfordern die Mitarbeitenden. Typisch sind: Öffentlich, Intern, Vertraulich, Streng vertraulich. Mehr zur Informationsklassifizierung.

Klassifizierung ist der organisatorische Prozess (Schema, Policy, Regeln), Labeling die technische Umsetzung (z. B. Sensitivity Labels in Microsoft 365). Beides gehört zusammen. Mehr zur Informationsklassifizierung.

Das hängt von Unternehmensgröße und Umfang ab. WePhish gibt es als Managed Service (welabs übernimmt die vollständige Betreuung) oder als Self-Service; die Preise sind individuell. Mehr zu Security Awareness.

Mindestens quartalsweise, idealerweise monatlich mit steigendem Schwierigkeitsgrad. Einmal jährlich reicht für eine nachhaltige Verhaltensänderung nicht aus. Mehr zu Security Awareness.

Ja, unbedingt, und zwar möglichst früh. Eine transparente Einbindung ist entscheidend für die Akzeptanz. welabs berät auch bei der Betriebsrats-Kommunikation. Mehr zu Security Awareness.

Bei der ersten Kampagne liegt der Branchendurchschnitt bei 15 bis 25 %, nach rund sechs Monaten Training unter 5 %. Das Ziel ist nicht 0 %, sondern eine hohe Meldequote. Mehr zu Security Awareness.

Ja. Hosting in Deutschland, keine personenbezogene Auswertung und eine betriebsrats-konforme Konfiguration sind möglich. Mehr zu WePhish.

KI-Governance ist der organisatorische Rahmen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz steuert: welche KI-Systeme genutzt werden, wer sie wie einsetzen darf, welche Risiken entstehen und wie der EU AI Act erfüllt wird. Sie umfasst KI-Inventar, KI-Policy, Verantwortlichkeiten und kontinuierliche Überwachung, angelehnt an ISO 42001. Mehr dazu auf unserer Seite zur KI-Governance.

Mit hoher Wahrscheinlichkeit ja, sobald Sie KI-Systeme entwickeln, einkaufen oder einsetzen. Dazu zählen auch ChatGPT und Microsoft Copilot. Der AI Act stuft KI nach Risiko ein. Die Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus (Verordnung (EU) 2026/1744) auf Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I) verschoben. Die Pflicht zur KI-Kompetenz und die Verbote gelten aber bereits seit Februar 2025, die Transparenzpflichten seit August 2026. Details im Beitrag EU AI Act für den Mittelstand.

ISO/IEC 42001 ist die erste internationale Norm für KI-Managementsysteme (AIMS), veröffentlicht Ende 2023. Sie überträgt das Managementsystem-Prinzip von ISO 27001 auf den verantwortungsvollen Umgang mit KI: risikobasiert, über den gesamten KI-Lebenszyklus, mit klaren Rollen und kontinuierlicher Verbesserung. Wie sie sich zu ISO 27001 verhält, lesen Sie im Vergleich ISO 42001 vs. ISO 27001.

Ja. Sobald Mitarbeitende KI-Tools nutzen (und das ist in der Regel längst der Fall), brauchen Sie klare Regeln, welche Tools für welche Daten erlaubt sind und wie neue KI-Anwendungen freigegeben werden. Eine KI-Policy verhindert, dass vertrauliche Daten unkontrolliert in fremde Systeme gelangen. Eine Anleitung finden Sie im Leitfaden KI-Policy erstellen.

Shadow AI (Schatten-KI) ist die unkontrollierte Nutzung von KI-Tools durch Mitarbeitende ohne Freigabe oder Richtlinie. Das Risiko: Vertrauliche Daten und Geschäftsgeheimnisse gelangen in fremde Sprachmodelle, mit Folgen für Datenschutz und Compliance. Verbote helfen selten; besser ist eine Policy mit kontrollierter Freigabe. Mehr im Beitrag Shadow AI und zur KI-Governance.