Kontakt
Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.deMo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline
Pentest-Angebot anfordern Notfall meldenBranchen
Verwaltung und Lehre handlungsfähig halten
Verwaltungen, Schulen, Hochschulen und Forschungseinrichtungen verarbeiten Daten von Bürgerinnen und Bürgern, Lernenden und Beschäftigten – und müssen zugleich offen und erreichbar bleiben. Ein Penetrationstest von Rootsektor macht die IT-Sicherheit von Kommunen, Behörden und Hochschulen messbar: Er zeigt, wo Angreifer eindringen könnten, und liefert priorisierte Maßnahmen, die zu Ihren Ressourcen passen.
Herausforderungen
Fachverfahren, Bürgerportale, E-Akte sowie Schul-, Gäste- und Forschungsnetze werden von eigener IT, kommunalen IT-Dienstleistern, Schulträgern und Rechenzentren betrieben. Unklare Zuständigkeiten und flache Netze erleichtern es Angreifern, sich vom ersten kompromittierten Konto bis zu sensiblen Verfahren vorzuarbeiten.
Melde-, Sozial-, Steuer- und Personaldaten, Schülerakten, Prüfungsergebnisse und Forschungsdaten sind für Erpressung, Identitätsdiebstahl und Spionage gleichermaßen interessant. Forschungseinrichtungen geraten dabei auch ins Visier staatlich gesteuerter Gruppen.
Angriffe auf Kommunalverwaltungen, kommunale IT-Dienstleister und Hochschulen haben gezeigt, wie lange Bürgerdienste, Lehre und Prüfungen ausfallen können. Der Einstieg gelingt häufig über Phishing, gestohlene Zugangsdaten oder ungepatchte, aus dem Internet erreichbare Systeme.
Wir besprechen, welche Verfahren und Zugänge bei Ihnen das größte Risiko tragen. Unser Festpreisangebot nach dem Scoping erleichtert Haushaltsplanung und Vergabe.
Vorteile
Knappe Budgets und wenig Personal verlangen klare Prioritäten. Ein Pentest zeigt, welche Schwachstellen tatsächlich ausnutzbar sind – und wo Ihre Mittel die größte Wirkung entfalten.
Vom Bürgerportal bis zum Schulnetz zeigen wir, über welche Lücken ein Angreifer eindringen und wie weit er kommen würde.
Melderegister, Personalakten, Schülerdaten, Forschungsergebnisse – wir zeigen, welche dieser Bestände ein Angreifer erreichen würde und wo Zugriffsrechte, Verschlüsselung oder Protokollierung nachgebessert werden sollten.
Ransomware braucht einen Weg zu zentralen Systemen und Backups. Schließen Sie diese Wege, sinkt das Risiko, dass Bürgerdienste, Unterricht oder Prüfungen tage- oder wochenlang ausfallen.
Bericht und Prüfbescheinigung geben Verwaltungsleitung, Informationssicherheits- und Datenschutzbeauftragten, Rechnungsprüfung und Fördermittelgebern eine belastbare Grundlage.
Leistungen
Bürger- und Serviceportale, Online-Anträge, Lernplattformen wie Moodle oder ILIAS sowie Bewerbungs- und Campus-Management-Systeme.
Verwaltungs-, Schul-, Gäste- und Forschungsnetze, die Trennung von pädagogischem Netz und Verwaltungsnetz sowie VPN- und Fernzugänge.
Die zentrale Benutzerverwaltung ist ein bevorzugtes Ziel von Ransomware-Gruppen. Wir decken Rechteketten und Fehlkonfigurationen auf, bevor sie ausgenutzt werden.
Microsoft 365 in Verwaltung und Schule – MFA, Conditional Access, Freigaben, Gastzugänge und datenschutzrelevante Einstellungen.
Phishing-Simulationen und Schulungen für Verwaltungsbeschäftigte, Lehrkräfte und Hochschulpersonal – abgestimmt mit Personalrat und Datenschutz.
Regelmäßige Schwachstellenscans Ihrer Systeme – auf Wunsch mit der Open-Source-basierten Lösung unseres deutschen Partners Greenbone.
Regulatorik & Standards
Für öffentliche Stellen gelten je nach Ebene und Bundesland unterschiedliche Vorgaben. Gemeinsam ist ihnen der Anspruch, Sicherheitsmaßnahmen nach dem Stand der Technik umzusetzen und regelmäßig zu überprüfen.
Methodik
Viele Verwaltungen und Hochschulen arbeiten mit den BSI-Standards 200-1 bis 200-3 und dem IT-Grundschutz-Kompendium. Für Kommunen bietet das BSI mit dem IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ und dem „Weg in die Basis-Absicherung“ (WiBA) einen pragmatischen Einstieg.
Rechtsrahmen
Online-Dienste nach dem Onlinezugangsgesetz sind direkt aus dem Internet erreichbar und verarbeiten Antragsdaten; für IT-Komponenten im Portalverbund konkretisiert die IT-Sicherheitsverordnung Portalverbund die Anforderungen auf Basis des IT-Grundschutzes. Unter NIS2 fällt in Deutschland vor allem die Bundesverwaltung – ob und wie Landes- und Kommunalverwaltungen einbezogen werden, regeln die Länder. Kommunale Unternehmen wie Stadtwerke können dagegen unmittelbar unter NIS2 fallen.
Datenschutz
Neben der DSGVO gelten für Landes- und Kommunalbehörden die Landesdatenschutzgesetze, für Schulen zusätzlich das Schulrecht des jeweiligen Landes. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen und ein Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit.
Wir berücksichtigen Zuständigkeiten, Mitbestimmung und Vergabe von Anfang an – damit der Test nicht an Formalien scheitert. Die Methodik selbst ist in allen Branchen dieselbe.
Wir klären Ziele, Systeme und Zuständigkeiten – eigene IT, kommunaler IT-Dienstleister, Schulträger oder Hochschulrechenzentrum.
Abstimmung mit Leitung, Informationssicherheits- und Datenschutzbeauftragten, beteiligten Dienstleistern und – bei Phishing-Simulationen – dem Personalrat.
Innerhalb von 24 Stunden (werktags) nach dem Scoping erhalten Sie ein Festpreisangebot mit klar beschriebenem Prüfumfang – eine solide Grundlage für Haushalt und Vergabe.
Tests in Anlehnung an das BSI-Durchführungskonzept und die OWASP-Leitfäden, terminiert außerhalb kritischer Phasen Ihres Hauses.
Management Summary für Leitung und Gremien, technischer Teil für Ihre IT und priorisierte Maßnahmenempfehlungen – auf Wunsch stellen wir die Ergebnisse in einer Abschlussbesprechung vor.
Nach der Behebung prüfen wir kostenlos nach und stellen Ihnen eine Prüfbescheinigung aus.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Ja. Nach dem Scoping erhalten Sie ein Festpreisangebot mit klar beschriebenem Prüfumfang, Methodik und Leistungen. Das erleichtert Preisanfragen, Ausschreibungen und die Haushaltsplanung.
Freigeben müssen in der Regel die Leitung der Behörde oder Einrichtung – bei Schulen gemeinsam mit dem Schulträger – sowie IT-Dienstleister, soweit sie betroffene Systeme betreiben. Informationssicherheits- und Datenschutzbeauftragte sollten Sie frühzeitig einbinden; bei Phishing-Simulationen und Social-Engineering-Tests ist meist auch der Personalrat zu beteiligen. Wir unterstützen Sie mit einer klaren Beschreibung von Umfang und Methoden.
Ja. Für Systeme, die der Dienstleister betreibt, benötigen wir dessen Freigabe; die Abstimmung übernehmen wir gern direkt. Häufig konzentriert sich der Test auf Ihre eigenen Komponenten – Arbeitsplätze, lokale Netze, Schulnetze, Webanwendungen – und auf die Schnittstellen zum Dienstleister.
Den Zeitplan legen wir gemeinsam fest und sparen sensible Phasen aus – etwa Wahlen, Prüfungszeiträume, Zeugniskonferenzen oder den Semesterstart. Tests, die Systeme spürbar belasten könnten, führen wir nur nach ausdrücklicher Freigabe durch, auf Wunsch außerhalb der Öffnungs- und Unterrichtszeiten.
Ja. Wir prüfen insbesondere die Trennung zwischen pädagogischem Netz und Verwaltungsnetz, WLAN-Zugänge, die Verwaltung mobiler Endgeräte und die Konten von Lehrkräften und Lernenden. Auf personenbezogene Daten von Schülerinnen und Schülern greifen wir nur zu, wenn es für den Nachweis zwingend erforderlich ist.
Nein. Ein Penetrationstest prüft gezielt, ob technische Maßnahmen einem realistischen Angriff standhalten; eine IT-Grundschutz-Prüfung bewertet das gesamte Informationssicherheitsmanagement. Beides ergänzt sich – die Ergebnisse des Pentests fließen in Sicherheitskonzept, Revision und Risikobewertung ein.
Ob Rathaus, Kreisverwaltung, Schulträger oder Hochschule: Schildern Sie uns Ihre Ausgangslage. Wir schlagen Ihnen einen Prüfumfang vor, der zu Ihren Risiken, Zuständigkeiten und Ihrem Budget passt.
This page is also available in English.