Cyber & Quantum
Migration auf Post-Quanten-Kryptografie, Sicherheit für agentische KI, Zero-Trust-Architektur und konvergierte SOC- und OT-Verteidigung rund um die Uhr.
Überblick
XSIS Cyber & Quantum schützt Finanzinstitute, Ministerien und kritische Infrastruktur gegen unmittelbare Cyberbedrohungen und den nahenden Zeithorizont, an dem Quantencomputer gängige Verschlüsselung brechen.
Gestützt auf die kryptografische Softwareentwicklung von KONG GROUP betreiben wir automatisierte Discovery kryptografischer Stücklisten (Cryptographic Bill of Materials, CBOM) und führen Migrationen über den gesamten Stack auf die von NIST standardisierte Post-Quanten-Kryptografie durch.
Für wen es gedacht ist
Chief Information Security Officer
Ein Plan für die Post-Quanten-Migration, Sicherheit für KI-Agenten und nach Risiko geordnete Angriffsflächen, mit Nachweisen für Prüfer.
Leiter der Cyberverteidigung
Ein konvergiertes SOC und NOC rund um die Uhr, mit Threat Hunting und automatisierter Reaktion.
Leiter kritischer Infrastruktur oder OT
OT-, SCADA- und IoT-Verteidigung, die Anlagensicherheit und Verfügbarkeit respektiert.
Chief Risk Officer
Resilienz gegenüber DORA, NIS2 und nationalen Cyberregeln sowie Wiederherstellungspläne, die geübt wurden.
Kompetenzen
Post-Quanten-Kryptografie und quantensichere Verschlüsselung
Kryptografische Discovery und CBOM-Audits, NIST-PQC-Migration (FIPS 203, 204, 205), quantensichere TLS-, VPN- und PKI-Infrastruktur, Krypto-Agilität und HSM-Integration.
Sicherheit für agentische KI und Identität von KI-Agenten
Nicht-menschliche Identitäten und Just-in-Time-Zugangsdaten für KI-Agenten, KI-Red-Teaming und Verteidigung gegen Prompt-Injection sowie Schutz vor Datenabfluss aus LLMs.
Behebung von Angriffsflächen, Zero Trust und DevSecOps
Kontinuierliches Management von Bedrohungs- und Angriffsflächen, Zero-Trust-Netzarchitektur, DevSecOps mit SBOMs und Scanning sowie kontinuierliche Penetrationstests.
Konvergierte SOC/NOC, Cyber-Resilienz und OT/IoT-Verteidigung
Ein KI-gesteuertes SOC und NOC rund um die Uhr, mit Threat Hunting, OT-, SCADA- und IoT-Sicherheit sowie Ransomware-Resilienz mit Incident-Response-Retainern.
Wo man bei der Sicherheit beginnt
Die meisten Organisationen wissen, dass sie Schwachstellen haben. Wenige wissen, welche am wichtigsten sind und in welcher Reihenfolge sie zu beheben sind. Das sind die üblichen Einstiegspunkte und die Leistung, die jeweils abdeckt.
Bewertung, Tests und Behebung
Ihre Anwendungen, APIs, Clouds und Netze werden so geprüft und getestet, wie ein Angreifer es täte, jeder Befund nach Risiko geordnet und mit Ihrem Team behoben. Kontinuierliche Penetrationstests, Red- und Blue-Team-Übungen und Exposure-Management sind Teil von Behebung von Angriffsflächen, Zero Trust und DevSecOps.
Bedrohungsmodellierung
Für jedes kritische System: worauf ein Angreifer zielen würde, wie er es versuchen würde und welche Kontrollen ihn stoppen, über Behebung von Angriffsflächen, Zero Trust und DevSecOps.
Härtung und Schwachstellenmanagement
Sichere Baselines für Server, Container und Cloud-Konten, und jede bekannte Schwachstelle erhält einen Verantwortlichen und eine Frist, über kontinuierliches Management von Bedrohungs- und Angriffsflächen und automatisiertes Patchen.
Identität und Zugriff
Zero-Trust-Zugriff für Menschen und Geräte und Just-in-Time-Zugangsdaten für KI-Agenten und andere nicht-menschliche Identitäten im Rahmen der Sicherheit für agentische KI.
Sichere Entwicklung
Secret Vaults, eine Software Bill of Materials für jeden Build und das Scannen von Abhängigkeiten und Containern in Ihren Lieferpipelines, im Rahmen von DevSecOps.
Erkennung und Incident Response
Protokolle, die festhalten, was eine Untersuchung braucht, Warnungen, die jemanden erreichen, der handeln kann, und ein Reaktionsplan, den Ihr Team geübt hat, gestützt auf ein konvergiertes SOC und NOC und Incident-Response-Retainer.
Datensicherheit
Verschlüsselung, Tokenisierung und Maskierung sensibler Daten gehören zu Data Governance, Souveränität und Datenschutz in unserer Division AI & Data.
Wofür wir bekannt sind
- Cyber & Quantum
- NIST FIPS 203, 204 und 205 mit automatisiertem CBOM
- Dynamische Just-in-Time-Zugangsdaten für KI-Agenten
- Zero-Trust-Architektur und DevSecOps
- Konvergierte SOC-, NOC- und OT-Verteidigung rund um die Uhr
Standards und was sie garantieren
| Bereich | Standards und Primitive | Worauf Sie sich verlassen können |
|---|---|---|
| Post-Quanten-Kryptografie | NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), automatisiertes CBOM | Gestützt auf das Kryptografie-Engineering von KONG GROUP in Rust (DCTL) |
| Verteidigung von agentischer KI und nicht-menschlichen Identitäten | Dynamische Just-in-Time-Zugangsdaten, Firewalls gegen Tool-Poisoning, Guardrails gegen Prompt-Injection | Keine dauerhaften Berechtigungen für autonome KI-Agenten |
Standards und Primitive
- Post-Quanten-Kryptografie
- NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), automatisiertes CBOM
- Verteidigung von agentischer KI und nicht-menschlichen Identitäten
- Dynamische Just-in-Time-Zugangsdaten, Firewalls gegen Tool-Poisoning, Guardrails gegen Prompt-Injection
Worauf Sie sich verlassen können
- Post-Quanten-Kryptografie
- Gestützt auf das Kryptografie-Engineering von KONG GROUP in Rust (DCTL)
- Verteidigung von agentischer KI und nicht-menschlichen Identitäten
- Keine dauerhaften Berechtigungen für autonome KI-Agenten
So beginnen
Wie es weitergeht
Beratungsvorgespräch
Ein kostenlose 30-minütige Online-Vorberatung: Wir gehen Ihre Ziele, Systeme und Rahmenbedingungen durch.
Readiness-Review
In einer kostenlose 48-stündige Readiness-Review prüft ein Principal Architect Ihr Projekt gegen die 6-Punkte-Definition of Ready und empfiehlt den passenden Track.
Wahl des Tracks
Projekte mit klarem Leistungsumfang erhalten innerhalb von 3–5 Werktagen ein verbindliches Angebot. Projekte in der Konzeptphase starten im Blueprint Studio. Ein laufendes System, das ausfällt, nicht dokumentiert ist oder integriert werden muss, beginnt mit einer Diagnose von 1–2 Wochen. Blueprint Studio und Diagnose haben jeweils ein festes Honorar, das im Angebot genannt wird.
Umsetzung in fünf Phasen
Mobilisierung, Sprints mit Live-Demonstrationen, Integration und Härtung, Abnahme und Inbetriebnahme, dann Managed Services. Nach dem Start folgt eine Gewährleistungsfrist, danach optional Support und Wartung.
Der schnellste Einstieg ist das Paket Audit für Post-Quanten (CBOM) und Agentensicherheit, eines unserer schnellen Zusammenarbeitspakete.
Wo Sie startenFragen und Antworten
Wo sollten wir mit Cybersicherheit beginnen?
Beginnen Sie mit den Systemen, deren Angriff am meisten schmerzen würde: meist die, die Kunden- oder Zahlungsdaten halten, Geld bewegen oder das Geschäft am Laufen halten. Eine gezielte Bewertung zeigt die Schwachstellen, die zählen, und gibt Ihnen einen geordneten Plan. Nutzen Sie KI-Agenten oder halten Sie Daten, die jahrelang geheim bleiben müssen, ist das Audit für Post-Quanten- und Agentensicherheit der natürliche erste Schritt.
Ist XSIS selbst nach ISO 27001 oder SOC 2 zertifiziert?
Wir behaupten keine eigenen Zertifikate. Unser Betrieb, unser Quellcode und die Cloud-Workloads, die wir für Kunden betreiben, laufen auf Infrastruktur, deren Anbieter diese Attestierungen besitzen, und wir entwickeln Ihre Systeme so, dass sie die Audits bestehen, denen Sie gegenüberstehen. Unsere Seite zu Sicherheit und Vertrauen erklärt, wie.
Können Sie uns helfen, einen Sicherheitsstandard oder eine Vorschrift zu erfüllen?
Ja. Wir gleichen Ihre Kontrollen mit dem Standard oder der Vorschrift ab, die Sie erfüllen müssen, etwa DORA, NIS2, die NCA ECC Saudi-Arabiens oder SAMA-Regeln, zeigen die Lücken und helfen, sie zu schließen. Sie behalten Nachweise, die ein Prüfer nachvollziehen kann. Wir zertifizieren Sie nicht selbst: Eine Zertifizierung vergibt eine akkreditierte Stelle, und wir bereiten Sie auf ihr Audit vor.
Was ist der Unterschied zwischen einer Sicherheitsbewertung und einem Penetrationstest?
Eine Bewertung prüft, wie Ihre Systeme entworfen, konfiguriert und betrieben werden, und findet die Lücken gegenüber anerkannten bewährten Verfahren. Ein Penetrationstest greift die Systeme innerhalb vereinbarter Regeln an, um zu zeigen, was ein Angreifer tatsächlich erreichen könnte. Beide wirken am besten zusammen: Die Bewertung zeigt die Breite der Probleme, der Test ihre Tiefe.
Können Sicherheitstests unseren laufenden Systemen schaden?
Wir planen Tests so, dass Schaden vermieden wird. Systeme, Zeiten und Methoden werden vorab vereinbart. Wir testen in einer Nicht-Produktionsumgebung, wenn sie der Produktion nah genug entspricht, und vermeiden störende Tests, sofern Sie sie nicht freigeben. Ein benannter Ansprechpartner auf Ihrer Seite kann den Test jederzeit stoppen.
Was geschieht bei einem Sicherheitsvorfall?
Folgen Sie Ihrem Reaktionsplan und rufen Sie die dort genannten Kontakte an. Wenn wir Ihre Systeme betreuen, ist Ihr XSIS-Kontakt einer davon. Wir arbeiten mit Ihrem Team daran, den Vorfall einzudämmen, Beweise zu sichern, den Dienst wiederherzustellen und die Ursache zu finden. Danach erhalten Sie eine schriftliche Auswertung des Geschehens und der Änderungen, die eine Wiederholung verhindern.
Reicht eine Bewertung?
Sie ist ein guter Anfang, aber Systeme, Menschen und Angreifer ändern sich. Deshalb ist Exposure-Management kontinuierlich: ohne Unterbrechung scannen, nach wesentlichen Änderungen erneut testen und Zugriffe regelmäßig prüfen. Wir können das im Rahmen einer Managed-Services-Vereinbarung übernehmen oder Ihr Team dafür schulen.
Wer sieht die Befunde, und wem gehört der Bericht?
Nur die Personen, die Sie benennen. Befunde werden über von Ihnen freigegebene verschlüsselte Kanäle geteilt, nie per unverschlüsselter E-Mail. Der Bericht gehört Ihnen. Wir bewahren Nachweise nur so lange auf, wie die Vereinbarung es erlaubt, und löschen sie am Ende.
Was bestimmt die Kosten der Sicherheitsarbeit?
Die Haupttreiber sind Zahl und Größe der Systeme im Umfang und wie tief getestet werden muss. Die Kosten hängen auch davon ab, ob wir die Befunde beheben, und von den Standards oder Vorschriften, die Sie erfüllen müssen. Eine gezielte Bewertung einiger kritischer Systeme ist ein kleineres Vorhaben als ein Programm über die ganze IT-Landschaft. Ist der Umfang klar, erhalten Sie ein Angebot mit Methode und Preis.
Bereit zu bauen? Fragen Sie nach einem Angebot.
Senden Sie Ihre Anforderungen oder Ausschreibung. Unsere Architekten prüfen sie und liefern ein verbindliches Angebot mit festem Umfang.
Wie es weitergeht
Readiness-Review
In einer kostenlose 48-stündige Readiness-Review prüft ein Principal Architect Ihr Projekt gegen die 6-Punkte-Definition of Ready und empfiehlt den passenden Track.
Verbindliches Angebot
Nach Architekturvalidierung kostenfrei erhalten Sie innerhalb von 3–5 Werktagen ein verbindliches Angebot mit festem Leistungsumfang: Meilensteine, Architektur, Teamstruktur und SLAs. Wir unterzeichnen auf Wunsch eine Geheimhaltungsvereinbarung (NDA) mit Ihnen, bevor Sie Ihre Anforderungen teilen.
Mobilisierung
Sobald Sie unterzeichnen, beginnen unsere Engineering-Pods innerhalb von 5–10 Werktagen nach Vertragsunterzeichnung mit Sprint 0.
Umsetzung in fünf Phasen
Mobilisierung, Sprints mit Live-Demonstrationen, Integration und Härtung, Abnahme und Inbetriebnahme, dann Managed Services. Nach dem Start folgt eine Gewährleistungsfrist, danach optional Support und Wartung.