Daten weg, Betrieb steht
Verschlüsselungstrojaner legen Warenwirtschaft, Buchhaltung und E-Mail lahm. Oft kommt die Erpressung mit gestohlenen Kundendaten dazu.
IT-Sicherheit · Webentwicklung · Apps — Stuttgart
Wir finden die Lücke, bevor es ein anderer tut.
MHA IT-Solutions prüft, härtet und baut digitale Systeme für kleine und mittelständische Unternehmen. Penetrationstests mit klarer Freigabe, nachvollziehbarem Bericht und echten Fixes. Dazu Websites und Apps, die von der ersten Zeile an sicher gebaut sind.
- Schriftliche Freigabe vor jedem Test
- Automatisiert + manuell
- Fix & Nachtest inklusive
mha-assessment · beispiel-gmbh.dePhase 4/6
# Scope freigegeben: 3 Hosts, 1 Web-App, 2 APIs
$recon --passive beispiel-gmbh.de
14 Subdomains · 6 offene Dienste · TLS 1.2/1.3
$scan --profile kmu-extern
KRITISCHVeraltetes VPN-Gateway (CVSS 9.8)
HOCHAdmin-Login ohne MFA erreichbar
MITTELFehlende Security-Header (CSP, HSTS)
NIEDRIGServer-Version im Header sichtbar
$verify --manual IDOR in /api/rechnungen bestätigt
# Bericht + Maßnahmenplan folgt · Nachtest nach Fix
Kunden aus Recht, Kfz-Gutachten, Handwerk und Dienstleistung
119
neue Schwachstellen werden täglich bekannt, 24 % mehr als im Vorjahr.
BSI-LAGEBERICHT 202580 %
der angezeigten Angriffe trafen kleine und mittlere Unternehmen.
BSI-LAGEBERICHT 2025289 Mrd. €
Schaden für die deutsche Wirtschaft durch Cyberangriffe in einem Jahr.
BITKOM WIRTSCHAFTSSCHUTZ 2025~29.500
Unternehmen fallen seit Dezember 2025 unter NIS2, ohne Übergangsfrist.
NIS2-UMSETZUNGSGESETZDie Lage 2026
Angreifer automatisieren. Der Mittelstand oft nicht.
Große Konzerne haben eigene Security-Teams. Der Handwerksbetrieb, die Kanzlei oder der Onlinehändler meist nicht. Genau deshalb sind sie das bevorzugte Ziel. Diese Risiken sehen wir aktuell am häufigsten.
Fehlerfreie Fake-Mails
KI schreibt Phishing in perfektem Geschäftsdeutsch, personalisiert auf Ihr Team. Tippfehler als Warnsignal gibt es kaum noch.
Der Chef ruft an. Nur nicht wirklich.
Geklonte Stimmen und Videoanrufe fordern eilige Überweisungen. Prozesse wie Rückruf und Vier-Augen-Prinzip schützen hier mehr als Technik.
Bekannte Lücken, offene Türen
VPN-Gateways, Firewalls und Plugins mit veralteter Version werden automatisiert gesucht und innerhalb von Stunden ausgenutzt.
Formulare als Einfallstor
Unsichere Logins, fehlende Zugriffskontrolle und offene Schnittstellen geben Kundendaten preis, ohne dass jemand einbrechen muss.
NIS2 und Cyber Resilience Act
Seit 2025 gilt NIS2, seit 11. September 2026 die Meldepflicht des CRA für Hersteller digitaler Produkte. Geschäftsführer haften persönlich mit.
Leistungen
IT-Sicherheit, Penetrationstests, Web- und App-Entwicklung für kleine und mittelständische Unternehmen.
01 / PENETRATIONSTEST
Penetrationstest & Sicherheitsprüfung
Angreifen lassen, um nicht angegriffen zu werden.
Ein Penetrationstest simuliert einen echten Angriff auf Ihre Systeme, kontrolliert, mit schriftlicher Freigabe und klar abgestecktem Umfang.
Mehr zum Pentest 02 / IT-SICHERHEIT & NIS2 NIS2 und Cyber Resilience ActNIS2 verlangt Risikomanagement, das man nachweisen kann.
Seit 2025 gilt NIS2, seit 11. September 2026 die Meldepflicht des CRA für Hersteller digitaler Produkte. Geschäftsführer haften persönlich mit.
Mehr zu NIS2 03 / WEBENTWICKLUNG Websites & WebanwendungenWebsites auf höchstem Niveau. Sicher ab Zeile eins.
Wir entwickeln Websites, die schnell laden, bei Google gefunden werden und Angreifern keine offene Flanke bieten. Design, Technik und Sicherheit aus einer Hand.
Mehr zur Webentwicklung 04 / APP-ENTWICKLUNG Mobile & Web-AppsApps, denen Ihre Kunden ihre Daten anvertrauen.
Ob App für Ihre Kunden oder Werkzeug für Ihr Team: Wir entwickeln für iOS, Android und den Browser und behandeln Sicherheit als Funktion, nicht als Nachtrag.
Mehr zur App-EntwicklungIT-Sicherheit · Was wir prüfen
Jede Angriffsfläche, die von außen zählt.
Wir richten den Umfang nach Ihrem Risiko aus. Ein Onlineshop braucht andere Prüfungen als eine Kanzlei mit Mandantenportal. Am Ende steht kein Gefühl von Sicherheit, sondern ein Bericht, der belegt, wo Sie stehen.
Externe Infrastruktur
Firewalls, VPN-Zugänge, Mailserver, offene Ports und Dienste.
Webanwendungen
Logins, Formulare, Sitzungen, Zugriffskontrolle nach OWASP Top 10.
APIs & Schnittstellen
REST- und GraphQL-Endpunkte, Token, Rechteprüfung pro Objekt.
Internes Netzwerk
Active Directory, Rechtevergabe, Segmentierung, Seitwärtsbewegung.
Cloud & Microsoft 365
Konfiguration, MFA-Abdeckung, geteilte Freigaben, Admin-Konten.
Mitarbeitende
Phishing-Simulation und Awareness, auch zu KI-Phishing und Deepfakes.
Bewertung im Bericht
Jede Lücke bekommt einen Schweregrad.
Wir bewerten Funde nach dem international üblichen CVSS-Standard. So sehen Sie auf einen Blick, was sofort behoben werden muss und was warten kann.
- KRITISCHCVSS 9.0 – 10.0Sofort handeln. Übernahme von Systemen möglich.
- HOCHCVSS 7.0 – 8.9Innerhalb von Tagen beheben.
- MITTELCVSS 4.0 – 6.9Im nächsten Wartungsfenster schließen.
- NIEDRIGCVSS 0.1 – 3.9Härtung, die das Gesamtbild verbessert.
NIS2 verlangt Risikomanagement, das man nachweisen kann. Ein Pentestbericht ist genau dieser Nachweis.
Hinweis: Wir leisten technische Prüfung, keine Rechtsberatung. Ob Ihr Unternehmen unter NIS2 fällt, klären Sie bitte zusätzlich rechtlich.
Wie sicher sind Ihre Systeme wirklich?
Umfang besprechen
Zusammenarbeit
Professionell aufgebaut, Schritt für Schritt.
Jeder Sicherheitsauftrag folgt demselben dokumentierten Ablauf. Sie wissen jederzeit, was geprüft wird, was gefunden wurde und was als Nächstes passiert.
01
Umfang & Freigabe
Wir legen gemeinsam fest, welche Systeme, Zeitfenster und Methoden geprüft werden. Ohne Ihre schriftliche Freigabe wird nichts getestet.
Scope-Dokument & Freigabe
02
Informationssammlung
Wir erfassen Servertechnologien, Schnittstellen, Subdomains und öffentlich sichtbare Informationen und identifizieren mögliche Angriffspunkte.
Karte der Angriffsfläche
03
Automatisierter Scan
Mit unseren stets aktuellen Werkzeugen scannen wir nach bekannten Schwachstellen. Unser Toolset entwickeln wir laufend weiter.
Rohbefunde nach Schweregrad
04
Manuelle Prüfung
Wir verifizieren jeden Fund von Hand, sortieren Fehlalarme aus und suchen Logikfehler, die kein Scanner findet.
Bestätigte Schwachstellen
05
Bericht & Bewertung
Sie erhalten einen verständlichen Bericht mit CVSS-Bewertung, Belegen und einem priorisierten Maßnahmenplan.
Management- & Technikbericht
06
Fix & Nachtest
Wir schließen die gefundenen Lücken gemeinsam mit Ihnen und prüfen danach, ob sie wirklich geschlossen sind.
Bestätigter, sicherer Zustand
Webentwicklung · Websites & Webanwendungen
Websites auf höchstem Niveau. Sicher ab Zeile eins.
Gebaut von Leuten, die auch angreifen. Wer täglich Schwachstellen sucht, baut anders. Jede Website durchläuft vor dem Launch unsere eigene Sicherheitsprüfung.
Individuelles Design
Kein Baukasten-Template, sondern ein Auftritt, der zu Ihrer Marke passt.
Security-Header vollständig
HSTS, Content-Security-Policy, X-Frame-Options, Referrer- und Permissions-Policy.
Technisches SEO
Strukturierte Daten, Sitemap, robots.txt, schnelle Ladezeiten.
Sichtbar in KI-Suchen
llms.txt und klare Strukturen, damit KI-Assistenten Ihr Angebot korrekt wiedergeben.
DSGVO-konform
Keine unnötigen Tracker, sauberes Cookie-Management, Hosting in der EU.
Laufende Pflege
Updates, Backups und Monitoring, damit die Seite sicher bleibt.
Wofür wir bauen
Von der Visitenkarte bis zum Kundenportal.
Unternehmenswebsite
Der erste Eindruck
Repräsentativ, schnell und lokal bei Google sichtbar. Für Handwerk, Kanzleien, Praxen und Dienstleister.
Webanwendung
Abläufe ins Web holen
Buchungssysteme, Kundenportale und interne Tools mit Rollen, Rechten und sauberer Authentifizierung.
Relaunch & Härtung
Bestehendes sicher machen
Wir prüfen Ihre aktuelle Website, schließen Lücken und modernisieren Technik und Design.
App-Entwicklung · Mobile & Web-Apps
Apps, denen Ihre Kunden ihre Daten anvertrauen.
Ob App für Ihre Kunden oder Werkzeug für Ihr Team: Wir entwickeln für iOS, Android und den Browser und behandeln Sicherheit als Funktion, nicht als Nachtrag.
Sichere Anmeldung
Passkeys, Zwei-Faktor-Authentifizierung und kurzlebige Token.
Verschlüsselung
Daten verschlüsselt in der Übertragung und auf dem Gerät.
Geprüfte Schnittstellen
Rechteprüfung für jedes Objekt, Rate-Limits und Protokollierung.
Abhängigkeiten im Blick
Software-Stückliste (SBOM) und Update-Prozess, wie es der Cyber Resilience Act verlangt.
Pentest vor Release
Jede App wird vor dem Livegang von uns selbst angegriffen.
Entwicklungsablauf
Von der Idee bis in den Store.
01
Konzept
Ziele, Nutzer und Funktionen klären. Daraus entsteht ein klickbarer Prototyp.
Prototyp & Angebot02
Design & Architektur
Oberflächen gestalten und eine sichere Architektur für Daten und Schnittstellen planen.
Designs & Sicherheitskonzept03
Entwicklung
Umsetzung in kurzen Etappen. Sie sehen regelmäßig lauffähige Zwischenstände.
Testversionen04
Sicherheitsprüfung
Pentest von App und API vor dem Release, Funde werden direkt behoben.
Prüfbericht05
Release
Veröffentlichung im App Store, bei Google Play oder als Web-App.
Live-App06
Betrieb & Updates
Monitoring, Sicherheitsupdates und Weiterentwicklung nach Bedarf.
Laufende BetreuungKundenprojekte
Saubere Technik. Sichere Basis.
Eine Auswahl von Websites, die wir für Kunden aus Recht, Kfz-Sachverständigenwesen, Handwerk und Bildung umgesetzt haben. Allen gemeinsam: verschlüsselte Verbindungen, aktuelle Protokolle und sauber konfigurierte Sicherheitseinstellungen.
SV Timmerman
Unternehmenswebsite für ein Gutachterbüro mit direkter Kontaktaufnahme.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
Kanzlei Mandic
Kanzlei-Website mit Standortseiten und Online-Anfrage.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
JG Möbelfolierung
Hochwertiger Auftritt für einen Handwerksbetrieb im Premium-Segment.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
Life Heroes
Website mit Standortseiten und Online-Kursbuchung.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
Michael Dorzweiler
Website für ein Sachverständigenbüro mit Kontakt per Telefon und WhatsApp.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
Klaus Hackbarth
Website für ein Gutachterbüro mit regionalen Einsatzgebieten.
- HTTPS erzwungen
- TLS 1.3
- HSTS
- Security-Header
Gezeigt sind umgesetzte Website-Projekte. Sicherheitsmerkmale öffentlich prüfbar, Stand November 2026.
Kontakt
Der erste Schritt ist ein Gespräch.
Beschreiben Sie kurz Ihr Anliegen. Wir melden uns innerhalb von 24 Stunden und besprechen Umfang und Vorgehen. Unverbindlich und vertraulich.
- E-Mail
- StandortGeißeichstraße 29, 70197 Stuttgart
- VertraulichkeitAuf Wunsch schließen wir vor dem ersten Detailgespräch eine Verschwiegenheitsvereinbarung.