# Cyber Security Consulting mit einem klaren Plan.

> Beratung zu Sicherheitsstrategie, Architektur und Resilienz mit Robert Ressl. Klare Prioritäten, Zuständigkeiten und Nachweise vor der Umsetzung.

Wenn Richtlinien, Architektur und betriebliche Risiken in unterschiedliche Richtungen weisen, hilft Safematix bei der Priorisierung. Sie arbeiten direkt mit Robert Ressl an einem klar abgegrenzten Review, einer Roadmap oder einer Umsetzungsaufgabe – mit vereinbarten Ergebnissen, Verantwortlichkeiten und nachvollziehbarer Überprüfung.

## Flexibles Format mit direkter Senior-Umsetzung.

- **Direkte Expertise:** Sie arbeiten von der Auftragsklärung über die Nachweise bis zur Übergabe direkt mit Robert Ressl.
- **Durchführung:** Weltweit remote oder vor Ort nach Vereinbarung, mit vorab vereinbartem sicherem Kommunikationsweg.
- **Modularer Scope:** Assessments, Architektur-Reviews, Workshops, Umsetzungsunterstützung und fokussierte Nachtests.
- **Klare Konditionen:** Schriftliche Ziele, Deliverables, Verantwortlichkeiten und Vergütung vor Arbeitsbeginn.

## Beginnen Sie mit der Entscheidung, die ansteht.

Sie benötigen kein vollständiges Sicherheitsprogramm, um Safematix anzufragen. Eine geplante Änderung, ein offener Befund oder eine unklare betriebliche Verantwortung kann für einen gezielten Auftrag genügen.

### Eine Plattform oder Architektur verändert sich

Eine Cloud-Migration, eine neue Integration oder ein KI-System wirft Fragen zu Daten, Zugriffen und Betrieb auf. Safematix kann den geplanten Aufbau prüfen, bevor sich Entscheidungen nur noch aufwendig ändern lassen, und Abwägungen sowie notwendige Zuständigkeiten dokumentieren.

### Befunde sind vorhanden, die Reihenfolge fehlt

Prüfberichte und Risikoregister hinterlassen oft eine lange Liste von Aufgaben mit konkurrierenden Prioritäten. Safematix unterstützt Sie dabei, ausgewählte Befunde in eine praktikable Reihenfolge zu bringen – mit Abhängigkeiten, Verantwortlichkeiten und einer nachvollziehbaren Begründung für den nächsten Schritt.

### Richtlinien und gelebte Praxis passen nicht mehr zusammen

Ihr Sicherheitsmanagement beschreibt möglicherweise Kontrollen, die im Betrieb anders umgesetzt werden. Ein fokussiertes Review verbindet Richtlinien, Architektur und vorhandene Nachweise. So wird unterscheidbar, ob Dokumentation fehlt oder eine technische beziehungsweise organisatorische Änderung erforderlich ist.

### Reaktion und Wiederherstellung brauchen einen Praxistest

Rollen, Eskalationswege und Annahmen zur Wiederherstellung sollten vor einem Vorfall geklärt sein. Safematix kann ausgewählte Pläne prüfen und eine vereinbarte Übung durchführen. Offene Entscheidungen werden sichtbar; ein solcher Vorbereitungsauftrag ist kein automatisch eingeschlossener Notfalldienst.

## Sicherheitsanforderungen mit Ihrem Betrieb verbinden.

Der Auftrag legt fest, welche Arbeiten sinnvoll sind. Safematix setzt nicht voraus, dass jede Organisation ein neues Framework, zusätzliche Richtlinien oder eine vollständige Neugestaltung benötigt.

### Sicherheitsstrategie und Governance

Safematix übersetzt ausgewählte Risiken und Anforderungen in Prioritäten, Verantwortlichkeiten und Entscheidungspunkte. Dazu können ein Informationssicherheitsmanagementsystem – ISMS –, Richtlinien, Drittparteienrisiken oder eine NIST-basierte Roadmap gehören. Safematix erläutert, welchen Zweck eine Kontrolle erfüllen soll und wer darüber entscheidet.

### Architektur und Sicherheitsdesign

Safematix prüft das Zusammenspiel von Identitäten, Daten und Diensten in Cloud-, Netzwerk-, OT/IoT- und KI-Umgebungen. Die Ergebnisse erklären Vertrauensgrenzen, Zugriffsentscheidungen, Abhängigkeiten und Gestaltungsoptionen. Damit können technische Teams und Entscheidungsträger dieselben Risiken auf einer gemeinsamen Grundlage besprechen.

### Vorbereitung auf Vorfälle und Wiederherstellung

Safematix unterstützt die Erarbeitung oder Überprüfung von Abläufen, Eskalationswegen, Krisenkommunikation und Wiederherstellungsplänen. Vereinbarte Tabletop-Übungen oder ausgewählte Backup- und Restore-Prüfungen untersuchen deren praktische Nutzbarkeit. Umfang, Freigaben und betriebliche Grenzen werden vorher festgelegt.

### Reviews und Unterstützung bei der Umsetzung

Safematix vergleicht ausgewählte Kontrollen mit vorhandenen Nachweisen, zeigt Lücken auf und unterstützt die Planung von Behebungsmassnahmen. Wenn schriftlich vereinbart, erarbeitet Safematix auch Umsetzungsunterlagen oder arbeitet mit Ihren Teams zusammen. Empfehlungen, freigegebene Änderungen und überprüfte Ergebnisse bleiben klar unterscheidbar.

## Verwendbare Ergebnisse statt einer reinen Empfehlungsliste.

Der schriftliche Auftrag bestimmt die passenden Ergebnisse aus dieser Auswahl. Ein Architektur-Review umfasst nicht automatisch ein vollständiges Richtlinienwerk, eine Wiederherstellungsübung und die gesamte Umsetzung.

### Übersicht zu Ist-Zustand und Risiken

Eine verständliche Zusammenfassung der untersuchten Systeme, Zuständigkeiten und Annahmen, gestützt auf die bereitgestellten Nachweise. Sie zeigt, welche Entscheidungen der Auftrag unterstützt und welche offenen Fragen ausserhalb des vereinbarten Umfangs liegen.

### Architektur- oder Kontrollreview

Dokumentierte Beobachtungen zum ausgewählten Aufbau oder zu den vereinbarten Kontrollen, einschliesslich relevanter Datenflüsse, Zugriffswege und Abhängigkeiten. Die Befunde erklären die praktische Bedeutung und unterscheiden beobachtete Bedingungen von Annahmen, die noch bestätigt werden müssen.

### Priorisierte Roadmap mit Zuständigkeiten

Eine begründete Reihenfolge vorgeschlagener Massnahmen mit Abhängigkeiten und vorgesehenen Verantwortlichen. Die Roadmap trennt unmittelbar anstehende Entscheidungen von späteren Arbeiten und schafft eine Grundlage, um Ressourcen, Termine und akzeptable Restrisiken intern festzulegen.

### Vereinbarte Umsetzungsunterlagen

Je nach Auftrag erhalten Sie beispielsweise dokumentierte Architekturentscheide, eine Richtlinie, ein Vorgehenshandbuch für Vorfälle oder Workshop-Ergebnisse. Die Unterlagen beschreiben die vorgesehene Funktionsweise einer Kontrolle, ihre betriebliche Verantwortung und die erforderlichen Prüfungen vor dem Abschluss.

### Überprüfungs- und Restrisikonachweis

Eine Aufzeichnung der vereinbarten Reviews, Prüfungen oder Übungen und ihrer Ergebnisse. Sie trennt überprüfte Änderungen von offenen Aufgaben, hält verbleibende Annahmen fest und unterstützt die Übergabe an diejenigen, die den Betrieb anschliessend verantworten.

## Technische Erfahrung hinter der Beratung.

Sie arbeiten direkt mit Robert Ressl. Sein öffentlicher CV und sein Engineering-Portfolio dokumentieren Systemarchitektur, Offensive Security und KI-Infrastruktur. Die Beispiele beschreiben diesen Hintergrund, keine erfundenen Kundenergebnisse.

### Systemarchitektur und Betrieb

Roberts öffentlicher CV umfasst über 20 Jahre Systemerfahrung, darunter Linux Engineering, DevOps, Cloud-Architektur und Security Consulting. Sein Portfolio dokumentiert ausserdem den Betrieb einer Kubernetes-Inferenzplattform und eines eigenen Netzwerks. Architekturentscheidungen stehen damit im Zusammenhang mit konkreten betrieblichen Anforderungen.

### Offensive Security in regulierten Umgebungen

Sein öffentlicher CV dokumentiert die Leitung internationaler Offensive-Security-Arbeit sowie Einsätze in FINMA-, DORA- und TLPT-Umgebungen. Das belegt Erfahrung mit regulierten Rahmenbedingungen, ist aber keine behördliche Zulassung, unabhängige Zertifizierung oder Zusage, dass eine Kundenorganisation ihre Verpflichtungen erfüllt.

### KI-Engineering und Systemkontrollen

Robert veröffentlicht Modellartefakte und dokumentiert Inferenz-Engineering. Zu seinen öffentlichen KI-Security-Arbeiten gehören MCP-Werkzeuge und Kontrollen rund um die Werkzeugnutzung durch Modelle. Diese Arbeiten bieten konkrete technische Grundlagen für Gespräche über Datenzugriffe, Betriebsgrenzen und nachvollziehbare Nachweise.

## Von der offenen Frage zur dokumentierten Entscheidung.

Ausgangspunkt ist eine Entscheidung oder betriebliche Aufgabe. Jeder Schritt zeigt, was Safematix erarbeitet und welche Informationen, Freigaben und Zuständigkeiten bei Ihrer Organisation liegen.

### Frage und Grenzen festlegen

Safematix klärt die anstehende Entscheidung, die betroffenen Systeme und die beteiligten Personen. Safematix vereinbart die verfügbaren Nachweise, die autorisierten Arbeiten und die Fragen, die sich innerhalb des Auftrags nicht beantworten lassen.

**Ergebnisse:**
- Schriftlicher Leistungsumfang und Ausschlüsse
- Liste benötigter Informationen und Nachweise
- Prüf- und Kommunikationsplan

**Ihr Beitrag:** Benennen Sie die entscheidungsverantwortliche Person und stellen Sie Rahmenbedingungen und vorhandene Unterlagen über den vereinbarten sicheren Kanal bereit.

### Ist-Zustand prüfen

Safematix untersucht die ausgewählte Architektur, Kontrollen und Betriebsabläufe anhand der vereinbarten Fragen. Beobachtungen werden im Kontext besprochen: Eine fehlende Dokumentation ist nicht automatisch eine fehlende Kontrolle, und eine unbestätigte Aussage noch kein wirksamer Schutz.

**Ergebnisse:**
- Ist- und Risikokarte
- Befunde mit zugehörigen Nachweisen
- Optionen und Entscheidungsprotokoll

**Ihr Beitrag:** Ermöglichen Sie den Zugang zu relevanten Personen und Nachweisen und korrigieren Sie das Verständnis von Safematix, wo betrieblicher Kontext fehlt.

### Priorisieren und erarbeiten

Safematix unterstützt die Übersetzung der Ergebnisse in eine Reihenfolge von Entscheidungen und Massnahmen. Safematix erarbeitet nur die vereinbarten Umsetzungsunterlagen. Produktive Änderungen benötigen die festgelegten Freigaben; sie sind nicht bereits durch eine Empfehlung autorisiert.

**Ergebnisse:**
- Priorisierte Roadmap
- Vereinbarte Architektur-, Kontroll- oder Ablaufunterlagen
- Zuständigkeiten, Abhängigkeiten und Abnahmekriterien

**Ihr Beitrag:** Bestätigen Sie Prioritäten und Zuständigkeiten, stellen Sie Ressourcen bereit und autorisieren Sie vereinbarte Änderungen.

### Überprüfen und übergeben

Safematix prüft das vereinbarte Ergebnis anhand der Abnahmekriterien und führen die ausgewählten Kontrollen oder Übungen durch. Die Übergabe hält fest, was überprüft wurde, was offenbleibt und welche Entscheidungen nach Abschluss bei Ihrer Organisation liegen.

**Ergebnisse:**
- Prüf- oder Übungsprotokoll
- Übersicht zu Restrisiken und offenen Aufgaben
- Übergabe- und Folgeplan

**Ihr Beitrag:** Stellen Sie umgesetzte Änderungen zur Prüfung bereit, geben Sie Prüfungen frei und bestätigen Sie Betriebsverantwortung und Risikoentscheidungen.

## Ein klarer Auftrag mit nachvollziehbarer Vergütung.

Beginnen Sie mit einem fokussierten Review, einer Roadmap, einem Workshop oder einer Umsetzungsaufgabe. Safematix vereinbart Ziele, benötigte Informationen, Ergebnisse, Verantwortlichkeiten, Überprüfung, Vergütung und Starttermin schriftlich. Ein Tagessatz ist kein Fixpreisversprechen; bestehende Fixpreispakete gelten ausschliesslich innerhalb ihres beschriebenen Umfangs.

Flexible Mandate: CHF 2’200 pro Arbeitstag. Längere, klar definierte Remote-Projekte: CHF 2’000–2’100. Kurzfristige OT-, Red-Team- und Hochsicherheitseinsätze: CHF 2’400–2’600, nach Scope. Paketpreise entsprechen Fixpreis-Äquivalenten von CHF 1’850–2’100 pro Arbeitstag; der Tagessatz gilt, wenn sich der Umfang nicht im Voraus festlegen lässt.

Alle Paketpreise und Tagessätze verstehen sich exkl. allfälliger MwSt. sowie vorab genehmigter Reise- und Drittkosten, sofern nicht ausdrücklich im Auftragsformular enthalten. Fixpreispakete gelten im genannten Umfang. Scope, Autorisierung und Starttermin werden vor Arbeitsbeginn schriftlich vereinbart. Die Zuordnung zu regulatorischen Anforderungen erfolgt technisch und ist keine Rechtsberatung. Einsparungen und Compliance werden nicht zugesichert.

## Fragen vor einem Beratungsauftrag.

### Beratung oder Penetrationstest – was passt?

Ein Penetrationstest untersucht ausnutzbare Schwachstellen innerhalb eines autorisierten technischen Umfangs. Beratung beantwortet Fragen zu Prioritäten, Architektur, Governance oder Betriebsverantwortung. Beides kann sich ergänzen, ist aber nicht automatisch ineinander enthalten. Safematix grenzt die Arbeiten und die dazugehörigen Ergebnisse im schriftlichen Auftrag voneinander ab.

### Können Sie unser ISMS oder regulatorische Anforderungen prüfen?

Ja. Safematix kann ausgewählte Richtlinien, Kontrollen und technische Nachweise prüfen, Lücken aufzeigen und eine Roadmap erarbeiten. Ein ISMS-Review oder eine technische Zuordnung ist keine Zertifizierung, behördliche Freigabe oder Rechtsberatung. Ihre Organisation bleibt für ihre Verpflichtungen und den Einbezug geeigneter Prüfstellen oder Rechtsberater verantwortlich.

### Setzt Safematix die Empfehlungen auch um?

Umsetzungsunterstützung kann vereinbart werden, ist aber nicht automatisch enthalten. Der Auftrag hält fest, ob Safematix Empfehlungen oder Unterlagen erarbeitet, mit Ihrem Team zusammenarbeitet oder freigegebene Änderungen durchführt. Ebenso werden Ihre Mitwirkungspflichten und die erforderlichen Nachweise für die Prüfung eines Ergebnisses festgelegt.

### Wie wird die Beratung verrechnet?

Safematix schätzt den Aufwand anhand der vereinbarten Fragen, Systeme, verfügbaren Nachweise und Ergebnisse. Die veröffentlichten Tagessätze bilden den kommerziellen Ausgangspunkt; anwendbarer Satz, erwartete Arbeiten und Vergütungsmodell werden schriftlich bestätigt. Allfällige MwSt. sowie genehmigte Reise- und Drittkosten richten sich nach den ausgewiesenen Konditionen.

### Ist die Arbeit remote oder in eingeschränkten Umgebungen möglich?

Weltweite Remote-Zusammenarbeit und Einsätze vor Ort sind nach Vereinbarung möglich. Vor dem Start klärt Safematix Kommunikationswege, Zugriffsbeschränkungen und den Umgang mit Nachweisen. Einschränkungen können die möglichen Prüfungen begrenzen. Bereitschaft zu Hintergrundprüfungen bedeutet nicht, dass eine bestehende Sicherheitsfreigabe, uneingeschränkter Zugang oder ein bestimmter Arbeitsort vorausgesetzt wird.

### Was gehört in die erste Anfrage?

Beschreiben Sie die anstehende Entscheidung, die betroffenen Systeme auf einer allgemeinen Ebene und wichtige zeitliche oder betriebliche Grenzen. Ein vollständiges Risikoregister ist zum Einstieg nicht nötig. Bitte senden Sie keine Zugangsdaten, sensible Architektur- oder Vorfalldetails in der ersten Anfrage; eine sichere Übergabe lässt sich während der Auftragsklärung vereinbaren. Ich antworte persönlich, in der Regel innerhalb eines Arbeitstages (Mo–Fr, MEZ).

## Ihre nächste Sicherheitsentscheidung.

Beschreiben Sie Safematix, was entschieden werden muss, welche Systeme betroffen sind und was die Arbeit begrenzt. Daraus lässt sich ein geeignetes Review, ein Workshop oder eine Umsetzungsaufgabe definieren. Sensible Architektur, Zugangsdaten und Vorfalldetails gehören nicht in die erste Nachricht.

[Beratungsauftrag besprechen](https://safematix.com/de/?service=security-consulting#contact)