Sicherheits-Check
ab 4.900 € netto
Für MVPs und kleinere Projekte.
- ◆ Threat-Modeling-Workshop
- ◆ Schutzbedarfsanalyse
- ◆ Kurzprüfung der Architektur
- ◆ Maßnahmenliste mit CVSS-Bewertung
Sicherheit & Compliance vom ersten Sprint an verankert
MARCODES baut Sicherheits-Setups und Compliance-Strukturen, die im Alltag ruhig laufen und im Audit-Fall die richtigen Antworten liefern - Threat-Modeling, Schutzbedarfsanalyse, Pen-Tests und auditfeste Architekturen ab Tag eins.
Engineering-Praxis
Sicherheit, die nicht im Footer steht, sondern im Datenmodell
Sicherheit und Compliance sind keine Endabnahme-Checkliste. Sie sind Architektur-Entscheidungen, die ab dem ersten Sprint mitlaufen müssen - sonst sind sie später teuer nachzurüsten.
Setup-Disziplinen vor dem ersten Sprint
In jedem regulierten Software-Projekt entscheiden drei Setup-Disziplinen über die spätere Audit-Fähigkeit: Threat-Modeling, Schutzbedarfsanalyse und Berechtigungs-Architektur. Bei MARCODES setzen wir alle drei vor den ersten Sprint - mit den Personen aus Compliance, Datenschutz und Engineering gemeinsam am Tisch. Das Ergebnis ist ein technisches Konzept, das BaFin-, KHZG-, DSGVO- oder BSI-Audits standhält, ohne dass Engineering nachher Sondereinsätze fahren muss.
Unsere Sicherheits-Setups sind robust und gleichzeitig praxistauglich. Wir kombinieren AES-256-Verschlüsselung für Daten in Ruhe, sauber implementierte OAuth-2- und SCA-Flows für Identität, Row-Level-Security oder schema-basierte Trennung für Multi-Tenancy, und einen lückenlosen Audit-Trail, der jede relevante Aktion nachvollziehbar macht. Pen-Tests gehören für uns in den Liefer-Prozess, nicht in das nachgelagerte „Wir hoffen, es geht durch“. Einfache Prüfungen übernehmen wir selbst, umfassende Pentests führen wir mit externen Prüfern durch.
Häufige Fragen
Fragen zu Sicherheit & Compliance
Wie gehen Sie mit DSGVO-Anforderungen um?
Wie sorgen Sie für Sicherheit von Anfang an in einem Software-Projekt?
Ab dem ersten Sprint verankern wir Sicherheits- und Compliance-Entscheidungen in der Architektur, damit sie nicht nachträglich teuer nachgerüstet werden müssen. Dabei setzen wir Threat-Modeling, Schutzbedarfsanalyse und Berechtigungs-Architektur direkt vor Projektstart um.
Welche Methoden nutzen Sie für Threat-Modeling?
Wir wählen die Threat-Modeling-Methode passend zum Projekt aus, zum Beispiel STRIDE, DREAD oder Attack Tree. So stellen wir sicher, dass die Bedrohungen systematisch identifiziert und adressiert werden.
Wie integrieren Sie Penetrationstests in den Entwicklungsprozess?
Penetrationstests führen wir als festen Bestandteil des Liefer-Prozesses durch, nicht erst nach Fertigstellung. So können wir Sicherheitslücken frühzeitig erkennen und beheben, bevor die Software in den Produktivbetrieb geht.
An welchen Standards orientieren Sie sich bei Ihren Sicherheits-Setups?
Unsere Sicherheitskonzepte basieren auf etablierten Standards wie BSI-Grundschutz, ISO 27001, OWASP Top 10 und NIST. Für DSGVO-relevante Daten ergänzen wir dokumentierte Datenfluss-Analysen, bei BaFin-Aufsicht setzen wir zusätzlich MaRisk, BAIT und DORA um.
Wie stellen Sie sicher, dass Compliance-Anforderungen auditfähig umgesetzt werden?
Wir setzen die kritischen Setup-Disziplinen gemeinsam mit Compliance, Datenschutz und Engineering vor dem ersten Sprint um. Das Ergebnis ist ein technisches Konzept, das BaFin-, KHZG-, DSGVO- und BSI-Audits standhält, ohne aufwändige Nachbesserungen im Engineering.
Setzen Sie Sicherheitsmaßnahmen um, die den Alltag der Nutzer stören?
Unsere Sicherheits-Setups sind robust und praxisnah zugleich. Wir verwenden zum Beispiel AES-256-Verschlüsselung, OAuth-2- und SCA-Flows sowie Row-Level-Security, ohne die tägliche Nutzung unnötig zu erschweren.
Wie vermeiden Sie unnötiges Goldplating bei der Umsetzung von Sicherheitsstandards?
Wir wählen nur die Bausteine aus etablierten Standards, die echten Schutz bringen, und lassen überflüssiges Goldplating weg. So setzen wir Sicherheits- und Compliance-Anforderungen effizient und ohne unnötigen Aufwand um.
Threat-Modeling gefällig?
STRIDE, DREAD oder Attack Tree. Wir wählen die Methode, die zu Ihrem Projekt passt.
Aus dem Code
Warum Ihr Vertrauen im Datenmodell beginnt
Vom Startup bis zum Konzern - ohne saubere Sicherheits-Architektur bricht jede Compliance-Story am ersten Audit.
Sicherheit als durchgängiges Design-Prinzip
In der heutigen Software-Welt reicht es nicht mehr aus, „TLS am Endpunkt“ zu haben. Sicherheit und Compliance sind ein durchgängiges Design-Prinzip - vom Datenmodell über Berechtigungs-Architektur bis zur Logging-Strategie. Wer das ernst nimmt, baut Software, die regulatorischen Druck überlebt, ohne dass jede Aufsichtsprüfung zur Sondereinsatz-Übung wird. Bei MARCODES setzen wir Sicherheit als Architektur-Entscheidung, nicht als nachträgliche Härtung.
Standards anwenden, ohne Goldplating
Unsere Setups orientieren sich an etablierten Standards: BSI-Grundschutz, ISO 27001, OWASP Top 10, NIST. Bei DSGVO-relevanten Daten kommt eine dokumentierte Datenfluss-Analyse dazu, bei BaFin-Aufsicht zusätzlich MaRisk, BAIT und DORA. Dabei vermeiden wir das Theater, das Standards oft auslösen - wir nehmen die Bausteine, die wirklich Schutz bringen, und lassen das Goldplating weg.
Im Roll-out
Säulen, die jedes regulierte Projekt tragen
Threat-Modeling & Schutzbedarf
Bevor die erste Zeile Code fällt, klären wir gemeinsam: Welche Daten gibt es, welchen Schutzbedarf haben sie, welche Angriffsflächen entstehen? Ergebnis ist eine konkrete Maßnahmen-Liste, die in die Sprints einfließt.
Sichere Architektur & Berechtigungen
AES-256 in Ruhe, TLS in Übertragung, OAuth-2 mit Strong Customer Authentication, wo nötig, Row-Level-Security oder schema-basierte Mandanten-Trennung. Standards sind Standards.
Audit-Trail & Compliance-Fitness
Lückenlose Protokollierung aller relevanten Aktionen, dokumentierte Datenflüsse, fertige AVV-Vorlagen, Reporting-Pfade für Aufsichten. Audit-Wechseltermine werden zum normalen Donnerstag.
Unsere Haltung
Sicherheit ist eine Designentscheidung, kein Add-on. Wenn Sie das ernst nehmen, gewinnen Sie das Audit am Donnerstag - nicht im Sondereinsatz.
Compliance-Sprechstunde gefällig?
Wenn die nächste Aufsichtsprüfung näher rückt oder ein neues Audit-Thema auftaucht - wir gehen mit Ihnen die Roadmap durch.
Pragmatisch, ohne Buzzword-Bingo, mit klaren Prioritäten für Engineering, Compliance und Datenschutz.
Implementierung
Warum Sicherheit & Compliance von MARCODES?
Aus zwanzig Jahren Software-Praxis in regulierten Branchen kennen wir die Unterschiede zwischen formal richtig und tatsächlich sicher.
Sicherheit an den Anfang, nicht ans Ende
In vielen Projekten wird Sicherheit erst gegen Projektende relevant - wenn die Architektur längst steht und Sicherheit nur noch nachträglich ausgebessert werden kann. Das ist teuer, langsam und am Ende selten wirklich sicher. Bei MARCODES kommt Sicherheit an den Anfang: Threat-Modeling, Schutzbedarfsanalyse und Berechtigungs-Konzept laufen parallel zur Anforderungs-Phase. So sind Sicherheit und Compliance Teil des Liefer-Prozesses, nicht ein gesonderter Sondereinsatz vor dem Go-Live.
Bei MARCODES bauen wir nicht nur sichere Software, wir bauen Auditfähigkeit
Unsere Sicherheits-Setups arbeiten mit klar dokumentierten Datenflüssen, sauberen Berechtigungs-Konzepten und Audit-Trails, die jede Aufsichtsanfrage in Sekunden beantworten. Wir kennen die Vorgaben von BaFin, DSGVO, BSI-Grundschutz, ISO 27001 und DORA aus der Praxis - und wissen, welche Maßnahmen wirklich Schutz bringen und welche nur Häkchen erzeugen.
Im Roll-out
Sicherheits-Setups für jede Projektgröße
MARCODES liefert flexible Sicherheits- und Compliance-Pakete - vom MVP-Schutz bis zur DORA-tauglichen Banken-Plattform.
Vom MVP-Schutz zum vollen Programm
Wir wissen, dass jedes Projekt einen anderen Schutzbedarf hat. Ein MVP eines Startups braucht keine ISO-27001-Zertifizierung, aber sehr wohl saubere Auth und ein sauberes Datenmodell. Eine Banken-Plattform braucht das volle Programm. Deshalb bieten wir gestaffelte Pakete - vom kompakten Security-Audit bis zum vollständigen Compliance-Programm.
Skalierung ohne Bruch im Setup
Sicherheits-Pakete müssen mit dem Projekt wachsen können, ohne dass wir bei jedem Sprung das Datenmodell neu aufrollen. Wir bauen Setups so, dass aus dem MVP-Schutz später ein DORA-taugliches Programm wird - mit denselben Konzepten für Auth, Audit-Trail und Berechtigungen, nur in tieferer Ausprägung. So bleibt Ihnen der teure Plattform-Bruch erspart, wenn aus dem Piloten ein produktiver Regelbetrieb wird.
Empfohlen
Sicherheits-Einrichtung
ab 19.900 € netto
Für regulierte Projekte mittlerer Größe.
- ◆ Berechtigungskonzept und Verschlüsselung
- ◆ Logging- und Audit-Konzept
- ◆ AVV- und Datenfluss-Dokumentation
- ◆ Koordination eines externen Penetrationstests
zzgl. Fremdkosten für den externen Penetrationstest
AnfragenLaufende Compliance
ab 3.900 € netto/Monat
Für Banken, Versicherer und KRITIS-Betroffene.
- ◆ Ausrichtung an BaFin, DORA und BSI-Grundschutz
- ◆ Vorbereitung auf ISO-27001-Audit Stufe 1 und 2
- ◆ Regelmäßige Penetrationstests koordiniert
- ◆ Vierteljährliche Überprüfung
zzgl. Fremdkosten für externe Penetrationstests
AnfragenAudit in Sicht?
Wir machen Sie fit - ohne Goldplating, mit dem Fokus auf die echten Risiken.
Architektur konkret
Sichern Sie sich jetzt unverbindlich Ihr Security-Briefing
Sie haben ein konkretes Sicherheits- oder Compliance-Thema und brauchen eine ehrliche Einschätzung? Wir hören Ihnen zu.
Briefing mit klaren Prioritäten
Vereinbaren Sie jetzt ein kostenfreies und unverbindliches Security-Briefing mit unserem Team. Wir gehen Ihr aktuelles Setup durch - Datenmodell, Berechtigungen, Logging, Hosting-Konstellation - und liefern eine konkrete Priorisierung: Was muss vor dem nächsten Audit gemacht werden, was kann warten, wo lohnt sich ein externer Pen-Test?
NDA vor dem ersten Klick
Bevor wir Zugänge oder vertrauliche Architekturen sehen, unterzeichnen wir auf Wunsch eine Vertraulichkeitsvereinbarung nach Ihrem Muster. Sensible Themen wie Datenleck-Verdacht, laufende Vorfälle oder C5-Vorbereitung gehören nicht in unverbindliche Chat-Nachrichten.
Die Erkenntnisse aus dem Briefing landen ausschließlich bei Ihrem internen Ansprechpartner - kein Salesforce-Eintrag mit Befunden, kein Case-Study-Material. Das ist für uns selbstverständlich, sagen wir aber gerne vorher, damit Sie ohne Bauchschmerzen aufmachen können.
Aus dem Sprint
Vertrauen durch saubere Implementierung
Eine sauber implementierte Sicherheits-Schicht zahlt sich nicht nur im Audit aus - sie schafft Vertrauen bei Kunden, Partnern und Aufsichten.
Mit der richtigen Sicherheits-Architektur können Sie mehr leisten
Saubere Auth-Flows, klare Berechtigungen und ein lückenloser Audit-Trail beschleunigen oft auch das Tagesgeschäft, weil Eskalationen seltener werden und Rückfragen schneller beantwortet sind. Sicherheit wird so vom Kostenfaktor zum Effizienz-Hebel.
Technische Substanz hinter Versprechen
Bei MARCODES verstehen wir, dass Sicherheit und Compliance keine Selbstzwecke sind - sie sind Bausteine für Vertrauen. Wer Kunden verspricht, dass ihre Daten sicher sind, sollte das auch belegen können. Wir liefern die technische Substanz hinter solchen Versprechen: Datenflüsse, Logs, Konzepte, Nachweise.
Pen-Test, ehrlich besprochen
White-Box, Black-Box oder Grey-Box? Wir sagen vorab, welche Methodik den höchsten Erkenntnisgewinn bringt.
Keine 50-seitigen Befunde, die niemand priorisiert. Sondern eine konkrete Liste mit CVSS-Bewertung und Sprint-Zuordnung.
Test-First
Wichtige Fakten zu Sicherheits-Vorfällen und Audits
Die meisten erfolgreichen Angriffe und Audit-Befunde gehen nicht auf Zero-Days zurück, sondern auf Basics, die nicht konsequent umgesetzt waren.
Basics konsequent umgesetzt
Diese Zahlen zeigen, dass Sicherheit und Compliance keine Sondervorgänge mehr sind, sondern Standard-Disziplinen jeder seriösen Software-Entwicklung. Wer das ernst nimmt, ist nicht nur audit-fester, sondern reduziert auch die Risiken aus Datenpannen, Reputationsschäden und Bußgeldern deutlich.
Kosten eines Vorfalls
Die direkten Kosten eines Daten-Vorfalls in der DACH-Region liegen laut aktuellen Berichten mittlerweile im niedrigen siebenstelligen Bereich pro Fall - Bußgelder, forensische Aufarbeitung, Krisenkommunikation und IT-Wiederherstellung zusammengerechnet. Indirekte Folgen wie Kundenabwanderung und Reputationsverlust kommen obendrauf.
Im Vergleich dazu kosten saubere Architektur-Reviews, regelmäßige Pen-Tests und ein dokumentiertes Berechtigungskonzept oft weniger als ein einziger Tag im Krisenmodus. Die Mathematik hinter „Security by Design“ ist nüchtern - und meistens deutlich günstiger als das Aufräumen danach.
- Anlehnungs-Standard
- ISO 27001
- Verschlüsselung im Ruhezustand
- AES-256
- Routine-Check
- OWASP Top 10
- Grundschutz-Bausteine
- BSI
Pen-Tests
Pen-Tests und externe Audits als Teil des Liefer-Prozesses
Wenn interne Reviews und automatisierte Tests nicht ausreichen, kommen externe Pen-Tests und Audit-Begleitungen ins Spiel.
Externe Pen-Tests, sauber koordiniert
Manchmal reichen interne Reviews und automatisierte Sicherheitschecks nicht aus, um die Anforderungen einer Aufsicht oder eines Großkunden-Audits zu erfüllen. In solchen Fällen koordinieren wir externe Pen-Tester und begleiten den gesamten Prozess - von der Beauftragung bis zur Befund-Abarbeitung.
Audit-Vorbereitung ohne Theater
Bei ISO-27001-Vorhaben begleiten wir auch die Vorbereitung auf das Stage-1- und Stage-2-Audit: Dokumenten-Set, Maßnahmen-Listen, Schulungs-Inhalte. Lassen Sie uns gemeinsam herausfinden, welches Audit-Setup zu Ihrem Anwendungsfall passt.
Vorfall passiert?
Wir machen eine schnelle Erst-Einordnung und priorisieren die nächsten 72 Stunden.
Im Refactoring
Mit einem Sicherheits-Setup von MARCODES sind Sie gut aufgestellt
Vertrauen Sie auf unsere Erfahrung aus zwanzig Jahren regulierter Software-Entwicklung und erleben Sie, wie Sicherheit zum strategischen Vorteil wird.
Vertrauens-Kapital aus zwanzig Jahren Praxis
Unsere Sicherheits-Setups, Compliance-Strukturen und Audit-Begleitungen sind mehr als nur regulatorische Pflicht - sie sind Vertrauens-Kapital für Ihr Geschäft. Mit MARCODES als Partner haben Sie ein Setup, das aus zwanzig Jahren Praxis in Finanz, Gesundheit, Energie und Industrie kommt. Lassen Sie uns gemeinsam herausfinden, welche Sicherheits-Architektur zu Ihren Anforderungen passt - ohne Theater, mit dem Fokus auf die echten Risiken.
Über Audits hinaus denken
Ein bestandenes Audit ist ein Meilenstein, aber kein Dauerzustand. Bedrohungslagen verschieben sich, Regulierungen verschärfen sich, neue Schnittstellen und Subunternehmer kommen ins System. Wir denken Sicherheit deshalb als laufenden Prozess - mit klaren Reviews, dokumentierten Maßnahmen und einem ehrlichen Risiko-Register.
Im Ergebnis stehen Sie nicht nur beim nächsten Termin mit der Aufsichtsbehörde gut da, sondern auch beim ungeplanten Lieferanten-Audit, bei einem M&A-Due-Diligence-Termin oder bei der Frage des CISO Ihres Großkunden. Compliance wird zum Geschäftsvorteil statt zur jährlichen Hürde.
Vom MVP zur Plattform
Vielleicht reicht Ihnen klassisches Hosting?
Nicht jedes Projekt braucht ein volles Compliance-Programm. Wir bieten auch leichtere Alternativen.
Leichtere Alternativen als Basis-Schutz
Wenn Sie das Gefühl haben, dass ein volles Compliance-Programm für Ihr Projekt zu viel ist, gibt es leichtere Alternativen. Vielleicht reicht Ihnen unser Hosting in deutschen Rechenzentren mit klaren AVVs als Basis-Schutz. Oder ein sauberes Datenbank-Setup mit Verschlüsselung, Row-Level-Security und ordentlichen Backups - oft die Hälfte der Sicherheits-Miete in modernen Web-Anwendungen.
Beratung, APIs und Wartung im Paket
Bei MARCODES bieten wir auch begleitende Leistungen wie Schnittstellen und APIs mit eingebauten Sicherheits-Layern oder eine vorgelagerte IT-Beratung für die strategische Roadmap. Wer langfristig Vertrauen aufbauen will, kombiniert das Ganze mit kontinuierlicher Wartung. Kontaktieren Sie uns, um die passende Sicherheits-Tiefe für Ihr Projekt zu finden.
Lassen Sie uns reden
Schicken Sie uns ein paar Sätze zum Vorhaben. Wir antworten mit einer ehrlichen Einschätzung - inklusive der unbequemen Fragen, die Sie im nächsten Audit ohnehin gestellt bekommen.