SecCheck: Security- und Compliance-Analyse für Windows

So läuft eine Analyse

1. Collector bereitstellen. SecCheck Report™ ist portabel: keine Installation, kein Agent, kein Dienst. Der Collector wird aus dem Portal geladen und liegt auf einem Laufwerk, einer Freigabe oder in Ihrer Softwareverteilung.
2. Scan ausführen. Manuell oder automatisiert über Intune, MECM, Gruppenrichtlinie oder Aufgabenplanung. Der CLI-Wizard im Portal baut die Kommandozeile: Lizenz-Token, Ausführung im Computer- oder Benutzerkontext, Scan-Modus Quick, Normal oder Deep, Berichtssprache, E-Mail-Empfänger, lokaler Ablagepfad - und zeigt an, wann ein Scan ganz ohne Benutzereingriff läuft (Zero-Touch).
3. Ergebnis übergeben. Die Erfassung ist strikt lesend und erzeugt maschinenlesbares JSON. Es wird direkt übertragen oder - ohne Internet - lokal abgelegt und später kontrolliert übergeben.
4. Bericht und Dashboard. Das Portal macht aus jedem Ergebnis einen HTML-Bericht, führt die Historie je Gerät und bringt alle Geräte einer Organisation in einem Dashboard zusammen.

CLI-Wizard: Parameter wählen, Kommandozeile kopieren, in der Softwareverteilung hinterlegen.

Das Portal

Ein Workspace je Organisation - IT-Dienstleister verwalten mehrere Kunden getrennt. Das Dashboard zeigt, wo die Flotte steht: Geräte, Compliance-Rate, kritische Findings, gefährdete Systeme, Findings nach Schweregrad, Compliance je Kapitel, die am häufigsten verfehlten Richtlinien und die Aktualität der Berichte. Die Client-Liste zeigt jedes Gerät mit Hersteller, Modell, Domäne, letztem Bericht und Berichtshistorie.

• Mitglieder und Rollen je Workspace, Anmeldung mit Microsoft Entra ID.
• Lizenzen und Tokens je Workspace; der Token steuert den Collector.
• Historie - Berichte bleiben je Gerät erhalten; die Drift-Analyse über die Zeit ist in Entwicklung.
• Deutsch und Englisch, hell und dunkel.

Produktstruktur

Analyse und Umsetzung sind bewusst getrennt: SecCheck liefert die technische Entscheidungsgrundlage; die Verantwortung für Bewertung und Umsetzung bleibt beim Kunden oder beim beauftragten Dienstleister.

SecCheck ist kein EDR-, SIEM- oder Monitoring-System, kein Penetrationstest und kein Schwachstellenscanner und bewertet ausschließlich Windows-Systeme; es ersetzt kein Audit und keine Zertifizierung, sondern liefert den technischen Nachweis dafür.

Die genannten Vorgaben in einem Satz

Die Kacheln nennen die Vorgaben, an denen sich die jeweilige Branche messen lassen muss. Was dahinter steht, in Kürze. SecCheck liefert dafür den technischen Nachweis je Gerät, ersetzt aber keine rechtliche Bewertung.

NIS2

EU-Richtlinie zur Cybersicherheit, in Deutschland über das BSI-Gesetz umgesetzt: wichtige und besonders wichtige Einrichtungen müssen Risiken managen, Vorfälle melden und Maßnahmen nachweisen; die Geschäftsleitung trägt die Verantwortung dafür.

KRITIS

Betreiber kritischer Infrastrukturen (unter anderem Energie, Wasser, Gesundheit, IT, Verkehr) nach BSI-Gesetz und KRITIS-Verordnung: Stand der Technik umsetzen, alle zwei Jahre nachweisen, Störungen melden.

BSI IT-Grundschutz

Methodik und Bausteinkatalog des BSI für ein Informationssicherheits-Managementsystem; Maßstab für Bundesbehörden und Grundlage der Zertifizierung "ISO 27001 auf der Basis von IT-Grundschutz".

ISO 27001

Internationale Norm für Informationssicherheits-Managementsysteme, zertifizierbar; verlangt unter anderem gehärtete, dokumentierte und überwachte Systemkonfigurationen.

BSI C5

Kriterienkatalog des BSI für Cloud- und Rechenzentrumsdienste; Anbieter lassen die Einhaltung durch Wirtschaftsprüfer testieren.

DORA

EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, anwendbar seit 17. Januar 2025: IKT-Risikomanagement, Tests, Meldung von Vorfällen und Steuerung von IKT-Dienstleistern.

MaRisk

Rundschreiben der BaFin mit Mindestanforderungen an das Risikomanagement von Banken; konkretisiert die Pflichten zu Organisation, Risikosteuerung und IT nach dem Kreditwesengesetz.

IT-Sicherheitskatalog

Katalog der Bundesnetzagentur nach § 11 EnWG für Strom- und Gasnetzbetreiber sowie Energieanlagen: ein zertifiziertes ISMS nach ISO 27001 ist Pflicht.

B3S

Branchenspezifische Sicherheitsstandards, etwa der B3S Krankenhaus der Deutschen Krankenhausgesellschaft; vom BSI als geeignet anerkannt, um die KRITIS-Anforderungen zu erfüllen.

TISAX

Prüf- und Austauschverfahren der Automobilindustrie (ENX, auf Basis des VDA ISA) für die Informationssicherheit von Zulieferern; geprüft wird durch akkreditierte Stellen, die Ergebnisse teilen sich die Hersteller.

GxP

Sammelbegriff für die Regeln der guten Praxis in Pharma und Medizintechnik (GMP, GLP, GCP): IT-Systeme müssen validiert, nachvollziehbar und manipulationssicher sein, etwa nach EU-GMP Annex 11 und 21 CFR Part 11.

Geheimschutz

Regeln für den Umgang mit Verschlusssachen nach Sicherheitsüberprüfungsgesetz und Verschlusssachenanweisung, in der Wirtschaft nach dem Geheimschutzhandbuch; verlangt zugelassene, dokumentierte und kontrollierte IT.

DoD STIGs

Security Technical Implementation Guides der DISA (US-Verteidigungsministerium): detaillierte Härtungsvorgaben je Produkt, international als Referenz für Systemhärtung genutzt.

DSGVO

EU-Datenschutz-Grundverordnung; Art. 32 verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik, Art. 5 Abs. 2 den Nachweis, dass sie wirken.

KDG und DSG-EKD

Kirchliche Datenschutzgesetze der katholischen Kirche (KDG) und der evangelischen Kirche (DSG-EKD), die für kirchliche und soziale Träger an die Stelle der DSGVO treten, mit eigenen Aufsichten.

§ 203 StGB und Berufsrecht

Strafnorm zum Schutz von Privatgeheimnissen bei Ärzten, Anwälten, Steuerberatern und anderen Berufsgeheimnisträgern; Absatz 3 regelt seit 2017 die Einbindung von IT-Dienstleistern, die Berufsordnungen ergänzen Anforderungen an die IT-Sicherheit.

StaRUG

Unternehmensstabilisierungs- und -restrukturierungsgesetz, in Kraft seit 1. Januar 2021; § 1 verpflichtet Geschäftsleiter haftungsbeschränkter Unternehmen, Entwicklungen, die den Fortbestand gefährden können, fortlaufend zu überwachen und gegenzusteuern.

Geschäftsführung und IT-Sicherheit

Ein schwerer IT-Sicherheitsvorfall kann eine solche bestandsgefährdende Entwicklung sein. Für Geschäftsleiter von GmbH, AG, UG, gGmbH und Genossenschaft folgt daraus: Sie müssen den Stand der IT-Sicherheit kennen und überwachen, mit der Sorgfalt eines ordentlichen Geschäftsmanns (§ 43 Abs. 2 GmbHG, § 93 Abs. 2 AktG). Die NIS2-Umsetzung verlangt von der Geschäftsleitung zusätzlich, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich schulen zu lassen. Behörden fallen nicht unter das StaRUG, kommunale Gesellschaften in privater Rechtsform schon. SecCheck liefert dafür den belegten Stand je Gerät: nachvollziehbar, wiederholbar, als Bericht. Eine rechtliche Bewertung ersetzt das nicht.