Executive Protection
Executive Protection für die Geschäftsführung
Executive Protection schützt die Menschen, die einen Betrieb führen: ihre Spuren im Netz, ihre Geräte und Konten und ihre vertraulichen Gespräche.
Wer einen Betrieb führt, ist leicht zu finden
Name, Gesicht und Wohnort der Geschäftsführung lassen sich oft mit wenig Aufwand herausfinden. Daraus bauen Angreifer glaubwürdige Täuschungen. Executive Protection verkleinert, was über Sie offen im Netz steht, und sichert Geräte, Konten und Gespräche der Menschen, auf die es in Ihrem Betrieb ankommt.
- Wer Sie im Netz sucht, findet alte Profile, Einträge in öffentlichen Registern, Fotos und manchmal Zugangsdaten aus früheren Datenlecks.
- Eine E-Mail im Namen der Geschäftsführung fordert die Buchhaltung, die Bank oder die Steuerberatung zu einer eiligen Zahlung auf.
- Private Geräte, das vernetzte Zuhause und die Smartphones der Familie sind schwächer geschützt als die Firmenrechner, obwohl dort dieselben Gespräche stattfinden.
- Vertrauliches über Mandate, Verhandlungen oder Konstruktionen läuft über Telefon und Messenger, deren Server Sie nicht kontrollieren.
Was wir für Sie umsetzen
Spuren im Netz finden und bereinigen
OSINT steht für Open Source Intelligence, die Auswertung frei zugänglicher Quellen. Mit diesen Methoden erfassen wir, was über Sie öffentlich zu finden ist: alte Profile, Einträge in Registern, auffindbare Fotos und Zugangsdaten aus früheren Datenlecks. Danach arbeiten wir die Löschungen der Reihe nach ab. Je weniger offen steht, desto schwerer werden gefälschte Nachrichten mit echten Details, Nachstellung und das Veröffentlichen privater Daten.
Geräte, Konten und vernetztes Zuhause absichern
Wir härten Smartphones, Laptops und Tablets, auch die Ihrer Familienangehörigen. Härten heißt: abschalten, was ein Gerät nicht braucht, und einstellen, was es schützt. Im vernetzten Zuhause prüfen wir Kameras, Türsysteme und andere Geräte am Internet. Ihre wichtigen Konten erhalten eine Zwei-Faktor-Anmeldung: Zum Passwort kommt ein zweiter Nachweis, etwa ein Code aus einer App. Ein Wiederherstellungsplan legt fest, wie Sie nach dem Verlust eines Geräts wieder an Ihre Konten kommen.
Einweisung gegen Täuschung und CEO-Betrug
Viele Angriffe zielen auf Menschen statt auf Technik. Fachleute nennen das Social Engineering. Beim CEO-Betrug gibt sich jemand als Geschäftsführung aus und verlangt von Buchhaltung, Bank oder Steuerberatung eine eilige Zahlung. Wir weisen Ihren engen Kreis und Ihr Personal ein: woran man solche Anfragen erkennt und wie man sie prüft, bevor jemand handelt.
Eigener Messenger und verschlüsselte Telefonie
Matrix ist ein offener Standard für Chat, Sprach- und Videoanrufe. Wir richten Ihnen einen eigenen Matrix-Server ein. Nachrichten sind dort Ende-zu-Ende verschlüsselt, das heißt: Nur die Geräte der Gesprächspartner können sie lesen, der Server nicht. Für Telefonate bauen wir eine eigene Telefonanlage für VoIP, also Telefonie über das Internet. Zwischen Ihren Geräten und der Anlage sind Verbindung und Sprache verschlüsselt (SIPS und SRTP). Über einen Anschluss ans öffentliche Netz kommen Anrufe von außen an wie bei einer gewöhnlichen Telefonanlage.
Server, die im Internet nicht sichtbar sind
Die Server stehen in einem Rechenzentrum in Deutschland oder bei Ihnen im Haus. Aus dem Internet sind sie nicht direkt erreichbar. Zugang gibt es nur über WireGuard, einen verschlüsselten Tunnel zwischen Gerät und Server. Anfragen von fremden Adressen verwirft der Server ohne Antwort. Protokolle und Zwischendateien liegen nur im Arbeitsspeicher und sind nach dem Ausschalten fort. Die dauerhaften Schlüssel liegen verschlüsselt und getrennt davon, auf Wunsch nur mit einem Sicherheitsschlüssel zu entsperren.
Gehärtete Smartphones und Notfall-Verbindung
Auf Wunsch richten wir dazu Smartphones mit GrapheneOS ein. Das ist ein auf Sicherheit ausgerichtetes Betriebssystem ohne Google-Dienste, auf dem nur freigegebene Apps laufen. Wer auch bei einem Ausfall von Telefon und Internet erreichbar bleiben muss, erhält eine Notfall-Verbindung: zwei solche Geräte, ein Server mit Notstrom und eine Anbindung über Satellit. Die Beteiligten weisen wir vor Ort ein und üben den Ablauf gemeinsam.
Was Ihr Betrieb davon hat
Weniger Stoff für gezielte Täuschung
Was nicht mehr öffentlich steht, kann niemand in eine glaubwürdige Fälschung einbauen. Und eine gefälschte Zahlungsanweisung fällt eher auf, wenn Ihr Umfeld weiß, worauf es achten muss.
Gespräche auf Servern, die Sie kontrollieren
Messenger und Telefonanlage laufen auf Ihrer eigenen Infrastruktur. Wer ein Konto erhält und welche Verbindungsdaten anfallen, legen Sie fest und nicht ein fremder Anbieter.
Die Familie ist mit geschützt
Angreifer suchen den leichtesten Weg, und der führt oft über Angehörige. Darum sichern wir auf Wunsch auch deren Geräte und Konten und beziehen sie in die Einweisung ein.
Diskretion vom ersten Gespräch an
Die Zusammenarbeit beginnt mit einer Verschwiegenheitsvereinbarung (englisch NDA), auf Wunsch schon vor dem Erstgespräch. Ihr Name taucht in keiner Referenzliste und in keiner Werbung auf.
So kann das bei Ihnen aussehen
- Familienunternehmen
Weniger Spuren, gesicherte Konten
Die Geschäftsführerin eines Familienunternehmens lässt erfassen, was über sie öffentlich zu finden ist, und die Einträge löschen, die sich entfernen lassen. Ihre Geräte und die ihrer Kinder werden gehärtet, die wichtigen Konten erhalten Zwei-Faktor und einen Wiederherstellungsplan. Assistenz und Buchhaltung lernen, woran sie eine gefälschte Zahlungsanweisung erkennen und wie sie sie prüfen.
- Kanzlei
Vertrauliche Absprachen auf eigenem Server
Der Inhaber einer Kanzlei, die Mandanten bei Unternehmensverkäufen berät, will Absprachen nicht über fremde Messenger führen. Er lässt einen eigenen Matrix-Server in einem Rechenzentrum in Deutschland einrichten, erreichbar nur über einen verschlüsselten Tunnel. Telefonate laufen über eine eigene Telefonanlage, Anrufe von außen kommen über den gewohnten Anschluss an. Wer ein Konto erhält, entscheidet die Kanzlei.
- Produktion
Geschützt auf Auslandsreisen
Der Geschäftsführer eines Maschinenbauers reist regelmäßig zu Kunden in Länder, in denen Behörden auf Geräte und Netze zugreifen können. Für diese Reisen erhält er ein gehärtetes Smartphone mit GrapheneOS, auf dem nur freigegebene Apps laufen. Gespräche mit dem Werk führt er über den eigenen Messenger des Betriebs. Vor der ersten Reise weisen wir ihn und seine Assistenz ein.
Ablauf
In vier Etappen zur fertigen Lösung
Vertrauliches Erstgespräch
Wir klären, was Sie schützen wollen, vor wem und unter welchen Bedingungen. Fachleute nennen das Bedrohungsmodell. Auf Wunsch unterschreiben wir vorher eine Verschwiegenheitsvereinbarung. Sie erhalten eine ehrliche erste Einschätzung, wie sichtbar Sie heute sind, und danach ein Festpreisangebot mit realistischer Lieferzeit.
Bestandsaufnahme
Wir erfassen Ihre Spuren im Netz, sehen uns Geräte, Konten und das vernetzte Zuhause an und prüfen, wie Sie heute schreiben und telefonieren. Daraus entsteht ein Plan, der festhält, was wir in welcher Reihenfolge angehen.
Bereinigen, absichern, einrichten
Wir arbeiten die Löschungen ab, härten die Geräte und richten Zwei-Faktor und Wiederherstellung ein. Wo vereinbart, bauen wir Messenger, Telefonanlage und Notfall-Verbindung auf und prüfen sie mit einem simulierten Angriff. Sie erhalten den Bericht und eine technische Beschreibung.
Einweisung und Begleitung
Wir weisen Sie, Ihre Familie und Ihr Personal ein, auf Wunsch an einem neutralen Ort. Danach begleiten wir Sie weiter, wenn Sie das möchten: Wir spielen Updates ein, überwachen die Anlage und prüfen die Einstellungen in regelmäßigen Abständen. Sie behalten einen festen Ansprechpartner.
Was Executive Protection im Mittelstand bedeutet
Klassische IT-Sicherheit schützt das Firmennetz. Executive Protection schützt die Person an der Spitze und ihr direktes Umfeld: private Geräte, das vernetzte Zuhause, Reisen und alles, was über sie im Netz steht. Gemeint ist digitaler Schutz, kein Personenschutz mit Begleitern. Angriffe auf Einzelpersonen sind oft gezielter, weil der Angreifer vorher recherchiert. Beim CEO-Betrug nutzt er echte Namen, Termine und Gewohnheiten, damit eine Zahlungsanweisung glaubwürdig wirkt. Wer CEO-Betrug verhindern will, setzt deshalb an zwei Stellen an: weniger öffentliche Details und ein Umfeld, das eine ungewöhnliche Anweisung zuerst prüft. Schutz für Geschäftsführer ist damit auch Schutz für den Betrieb.
Eine OSINT-Bereinigung beginnt mit der Frage, was ein Fremder über Sie herausfinden kann, ohne irgendwo einzubrechen. Wir suchen dort, wo auch Angreifer suchen: in Suchmaschinen, sozialen Netzwerken, öffentlichen Registern, Bildersuchen und Sammlungen von Zugangsdaten aus Datenlecks. Das Ergebnis ist eine Übersicht Ihrer Spuren. Danach arbeiten wir die Löschungen ab, Eintrag für Eintrag. Nicht jeder Eintrag lässt sich entfernen. Was bleibt, halten wir fest, damit Sie wissen, womit ein Angreifer rechnen kann. Sind Zugangsdaten aufgetaucht, werden die betroffenen Passwörter geändert und die Konten mit Zwei-Faktor gesichert.
Sichere Kommunikation im Unternehmen entsteht aus mehreren Schichten, von denen jede für sich wirkt. Fachleute nennen das Defense in Depth. Der Server ist aus dem Internet nicht direkt erreichbar, sondern nur über einen WireGuard-Tunnel. Die Verbindung ist nach aktuellem Standard verschlüsselt (TLS 1.3), Nachrichten zusätzlich Ende-zu-Ende. Für Gespräche nutzen wir ein Sprachverfahren mit fester Datenrate, damit sich aus der Größe der Datenpakete keine Sprechpausen ablesen lassen. Fällt eine Schicht aus, halten die anderen. Alle Verfahren sind veröffentlicht und vielfach geprüft. Eine eigene Verschlüsselung erfinden wir nicht. So wird abhörsichere Kommunikation nachvollziehbar: Jede Schicht ist dokumentiert und lässt sich einzeln prüfen.
Wie wir mit Ihren Angaben umgehen
Wer Sie schützen soll, erfährt viel über Sie, Ihre Familie und Ihren Betrieb. Für unsere eigene Arbeit gelten deshalb dieselben Regeln, die wir Ihnen empfehlen.
- Vertraulicher Austausch: Wir schreiben mit Ihnen auf Wunsch über Signal, Proton Mail oder mit PGP verschlüsselte E-Mails. Termine vor Ort sind auch an neutralen Orten möglich, etwa in einem Hotel oder einer Kanzlei.
- Keine US-Clouds für sensible Unterlagen: Akten zu Ihrem Mandat liegen nicht bei US-Cloud-Diensten, solange Sie nichts anderes wünschen.
- Keine Weitergabe: Ihr Mandat geben wir nicht an Subunternehmer weiter. Ein fester Ansprechpartner betreut Sie, und wir nehmen bewusst nur wenige Mandate gleichzeitig an.
- Geprüft und beschrieben: Zu jeder Kommunikationsanlage gehören ein simulierter Angriff mit Bericht und eine technische Beschreibung der Verfahren, der Schlüsselverwaltung und der Updates, die Sie Ihrem Wirtschaftsprüfer vorlegen können.
Häufige Fragen
Für wen ist Executive Protection gedacht?
Für Menschen, deren Name eng mit ihrem Betrieb verbunden ist: Geschäftsführerinnen und Inhaber von Familienunternehmen, Kanzleien, Praxen und Produktionsbetrieben. Sinnvoll ist die Leistung, wenn über Sie viel öffentlich zu finden ist, wenn Sie oder Ihr Umfeld schon Ziel gefälschter Anweisungen waren oder wenn vertrauliche Gespräche nicht über fremde Server laufen sollen. Ob das bei Ihnen zutrifft, klären wir im Erstgespräch.
Was kostet Executive Protection?
Das hängt vom Umfang ab: wie viele Personen und Geräte wir absichern, wie viele Wohnorte und vernetzte Häuser dazugehören und ob wir Messenger, Telefonanlage oder eine Notfall-Verbindung aufbauen. Nach dem Erstgespräch erhalten Sie einen verbindlichen Festpreis. Stundenzettel und Nachträge gibt es nicht. Den Zeitplan nennen wir Ihnen im Angebot.
Reichen Signal oder Threema nicht aus?
Für den Chat im Team oft schon. Signal und Threema Work sind ausgereift, verbreitet und günstiger als eine eigene Anlage, und sie verschlüsseln Nachrichten stark. Die Server betreibt aber in der Regel der Anbieter, und über Konten und Verbindungsdaten bestimmen Sie nur begrenzt. Eine eigene Anlage lohnt sich, wenn Sie Server, Konten und Telefonie selbst in der Hand haben müssen, etwa bei Mandatsgeheimnissen oder Übernahmeverhandlungen. Wo Signal genügt, sagen wir Ihnen das.
Ist das auch gegen staatliche Angreifer sicher?
Pauschale Versprechen wie „unknackbar“ geben wir nicht. Die eingesetzten Verfahren sind veröffentlicht, vielfach geprüft und aktueller Industriestandard. Gegen die meisten gezielten Spionageversuche aus der Wirtschaft gelten sie als ausreichend. Gegen ein Gerät, das bereits übernommen wurde, hilft keine Verschlüsselung. Deshalb gehören gehärtete Smartphones und klare Regeln immer dazu. Für Verschlusssachen von Behörden braucht es eigens zugelassene Geräte. Diese bieten wir nicht an und sagen das offen.
Was tun bei einer laufenden Erpressung?
Melden Sie sich bei uns, auch wenn jemand mit echten oder per KI gefälschten Bildern droht. Wir helfen, Nachrichten und Spuren zu sichern, dokumentieren den Vorfall und unterstützen die technische Untersuchung. Zusätzlich raten wir, eine Strafrechtskanzlei Ihrer Wahl einzuschalten und gegebenenfalls Anzeige bei der Polizei zu erstatten. Wir arbeiten mit Ihren Beratern zusammen, ein festes Partnernetz verkaufen wir nicht.
Wer betreibt die Server?
Sie wählen zwischen einem Server in einem Rechenzentrum in Deutschland und einem Server in Ihrem eigenen Haus. Den Betrieb übernimmt Ihre IT oder wir im Rahmen eines Betreuungsvertrags, mit Updates, Überwachung und regelmäßiger Prüfung der Einstellungen. Kanzleien empfehlen wir meist das Rechenzentrum, Familienunternehmen mit Notfallbedarf eher den eigenen Server mit einer zweiten, unabhängigen Sicherung. Konfiguration und Schlüssel sichern wir täglich verschlüsselt.
Passt gut dazu
Incident Response
Hilft im IT-Notfall, sichert Spuren, bringt Ihre Systeme zurück und übt mit Ihnen den Ernstfall.
Penetration Testing
Greift Ihre Systeme mit Ihrer Erlaubnis an und zeigt, wie Sie gefundene Lücken schließen.
Datenschutzkonforme KI
Richtet KI so ein, dass Ihre Daten in der EU oder im eigenen Netz bleiben.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.