# Die Probleme, mit denen Sie hier sind

> Die Probleme, mit denen IT-Leiter, Einzeladministratoren und MSPs zu uns kommen: was NetSenX heute dagegen tut und was nicht.

Source page: https://netsenx.com/de/problems-we-solve

Geschrieben für die Menschen, die NetSenX betreiben werden: die IT-Leitung eines Unternehmens mit 20 bis 500 Beschäftigten, den Administrator, der die ganze IT-Abteilung ist, und den MSP, der viele kleine Kunden betreut. Zu jedem Problem: wie es sich anfühlt, was NetSenX heute dagegen tut und was es nicht tut.

## Was für das Unternehmen schiefgehen kann, in einfachen Worten

Sie müssen nicht wissen, wie ein Netzwerk funktioniert, um sein Risiko zu verantworten. Das sind die fünf Wege, auf denen ein Cyberangriff meist das Geschäft trifft, und was NetSenX jeweils dagegen tut.

### Die Arbeit steht still

Systeme fallen aus, Bestellungen und Rechnungen bleiben liegen, Produktionslinien warten. Die Wiederherstellung dauert Tage oder Wochen, und das Personal wird fürs Warten bezahlt.

NetSenX warnt Ihr IT-Team, wenn sich ein Rechner wie ein Eindringling verhält, oft bevor etwas abgeschaltet oder gesperrt ist.

### Lösegeldforderungen

Angreifer sperren Ihre Dateien und kopieren sie oft vorher, dann verlangen sie zweimal Geld: fürs Entsperren und dafür, dass nichts veröffentlicht wird.

Das Kopieren und die Ausbreitung laufen über Ihr Netz, bevor gesperrt wird. Genau diese Schritte sucht NetSenX.

### Bußgelder

Nach NIS2, dem EU-Cybersicherheitsrecht, beträgt das Höchstbußgeld mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und mindestens 7 Mio. EUR oder 1,4 % für wichtige. Nach der DSGVO, dem EU-Datenschutzrecht, sind es bis zu 20 Mio. EUR oder 4 %.

NetSenX bewahrt die Nachweise auf, nach denen eine Behörde fragt: was erkannt wurde, wann und was Ihr Team getan hat.

### Meldefristen

Unternehmen unter NIS2 müssen die Behörden innerhalb von 24 Stunden warnen, nachdem sie von einem erheblichen Vorfall erfahren haben, und innerhalb von 72 Stunden und einem Monat nachmelden.

NetSenX verfolgt diese Fristen für jeden Vorfall und bereitet die Datenpannen-Meldung für Ihren Datenschutzbeauftragten vor.

### Verlorenes Kundenvertrauen

Kunden, Versicherer und Großkunden fragen immer öfter, wie Sie ihre Daten schützen, und merken sich, wer keine Antwort hatte.

Die Daten bleiben in der EU, der Auftragsverarbeitungsvertrag ist öffentlich, und jeder Alarm erklärt sich selbst, sodass Sie zeigen können, was Sie wie überwachen.

## Fragen, die Ihr Aufsichtsgremium stellen wird, ehrlich beantwortet

Zwölf Fragen, die Geschäftsführungen und Inhaber wirklich stellen. Jede Antwort hat drei Teile: was Sie heute ohne Werkzeug sagen können, was NetSenX Sie zeigen lässt und was niemand versprechen kann.

### Sind wir gerade gehackt?

- **Was Sie heute sagen können:** Niemand kann beweisen, dass etwas nicht da ist. Sie können sagen, was geprüft wurde: welche Systeme gepatcht sind, wo Mehrfaktor-Authentifizierung aktiv ist, wann zuletzt ein Backup wiederhergestellt wurde und was Logs und Alarme dieser Woche zeigen.
- **Was NetSenX Sie zeigen lässt:** Die aktuellen Alarme in verständlicher Sprache, die Hosts dahinter, offene Vorfälle und welche Netzsegmente tatsächlich überwacht werden. Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Volumen werden in jedem Plan beobachtet, auch im Free-Plan.
- **Was niemand versprechen kann:** Dass niemand drin ist. Ein Netzwerksensor sieht keine Segmente, die er nicht überwacht, nicht, was in einem Host geschieht, und keine Anmeldung mit einem gestohlenen, aber gültigen Passwort.

### Was genau genehmigen wir unter NIS2?

- **Was Sie heute sagen können:** Artikel 20 NIS2 verpflichtet das Leitungsorgan, die Risikomanagementmaßnahmen nach Artikel 21 zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Wie die Haftung geregelt ist, bestimmt das nationale Recht.
- **Was NetSenX Sie zeigen lässt:** Den Nachweis, dass eine dieser Maßnahmen, die Erkennung von Vorfällen im Netzwerk, läuft: Alarme, Entscheidungen und Konfigurationsänderungen in einem Audit-Log in jedem Plan, und jeder Vorfall wird gegen die Fristen nach Artikel 23 verfolgt.
- **Was niemand versprechen kann:** Dass ein Werkzeug Artikel 21 abdeckt. Er nennt viele Maßnahmen, von der Sicherheit der Lieferkette bis zu Backups und Kryptografie; NetSenX deckt die Erkennung im Netzwerk ab.

### Können wir einem Käufer unsere Vorfallshistorie zeigen?

- **Was Sie heute sagen können:** Was Sie heute belegen können: Vorfallstickets, E-Mails, Meldungen an den Versicherer. Eine offen benannte Lücke ist besser als eine aus dem Gedächtnis rekonstruierte Historie.
- **Was NetSenX Sie zeigen lässt:** Die Alarmhistorie und das Audit-Log der Entscheidungen Ihres Teams, aufbewahrt für die Dauer Ihres Plans, die auf der Preisseite veröffentlicht ist, und PDF-Berichte ab dem Starter-Plan.
- **Was niemand versprechen kann:** Aufzeichnungen aus der Zeit vor Beginn der Überwachung. Die Historie beginnt an dem Tag, an dem der Sensor in Betrieb geht.

### Was ist unsere eine Zahl für das Cyberrisiko?

- **Was Sie heute sagen können:** Ein einzelner Wert wirkt genau und ist schwer zu verteidigen. Besser sind einige Zahlen: offene Vorfälle, Patchstand kritischer Systeme, Abdeckung mit Mehrfaktor-Authentifizierung, Datum des letzten erfolgreichen Wiederherstellungstests.
- **Was NetSenX Sie zeigen lässt:** Zahlen, die das Gremium prüfen kann: offene Alarme und Vorfälle mit ihren NIS2-Fristen, überwachte Segmente und Geräte. Eine konforme Schicht begrenzt Fehlalarme unter den gezeigten Alarmen, sobald Ihre eigenen Daten das tragen, und bis dahin sagt das Dashboard es offen.
- **Was niemand versprechen kann:** Die Wahrscheinlichkeit, dass Ihr Unternehmen in diesem Jahr angegriffen wird. Keine seriöse Quelle hat diese Zahl für ein einzelnes Unternehmen.

### Unsere Dateien stehen auf einer Leak-Seite. Wann sind sie hinausgegangen?

- **Was Sie heute sagen können:** Starten Sie jetzt den Vorfallprozess: Holen Sie Ihren Incident-Response-Dienstleister und Ihren Anwalt hinzu und prüfen Sie, ob die Meldung nach Artikel 33 DSGVO binnen 72 Stunden ab Kenntnis greift.
- **Was NetSenX Sie zeigen lässt:** Wenn die Daten innerhalb Ihrer Alarmhistorie ein überwachtes Segment passiert haben: Alarme zu ungewöhnlichem ausgehendem Volumen mit Host, Ziel, Menge und Zeitpunkt.
- **Was niemand versprechen kann:** Dateinamen oder Inhalte. NetSenX entschlüsselt nie Verkehr, und Daten, die über einen nicht überwachten Weg oder vor Beginn der Überwachung hinausgingen, sind nicht in seinen Aufzeichnungen.

### Wird unsere KI-Richtlinie eingehalten?

- **Was Sie heute sagen können:** Welche KI-Werkzeuge freigegeben sind, welche Daten hinein dürfen und wen man fragt. Ohne Kontrolle ist es eine Richtlinie auf Papier.
- **Was NetSenX Sie zeigen lässt:** Ab dem Pro-Plan: welche Hosts welche externen KI-Dienste und lokal laufende Modelle erreichen, wann und wie viele Daten fließen.
- **Was niemand versprechen kann:** Was in einen Prompt eingegeben wurde, oder KI-Nutzung auf Telefonen und in Heimnetzen, die nie über Ihr Netzwerk läuft.

### Müssen wir uns Sorgen wegen Quantencomputern machen?

- **Was Sie heute sagen können:** Es ist ein Planungsthema, kein Notfall. Der EU-Fahrplan vom 23. Juni 2025 will Anwendungsfälle mit hohem Risiko bis Ende 2030 und so viele Systeme wie möglich bis 2035 schützen, beginnend mit einer Bestandsaufnahme.
- **Was NetSenX Sie zeigen lässt:** NQCI, in der Preview, zeigt, welche Verbindungen quantenanfälligen und welche hybriden Post-Quanten-Schlüsselaustausch nutzen. Es ist in jedem Plan sichtbar und ab dem Pro-Plan aktiv, mit Paketmitschnitt auf einem Linux-Agenten oder einem SPAN- oder TAP-Sensor.
- **Was niemand versprechen kann:** Das Jahr, in dem es einen leistungsfähigen Quantencomputer gibt, oder eine abgeschlossene Migration: NetSenX migriert nichts.

### Was kostet uns ein Tag ohne Systeme?

- **Was Sie heute sagen können:** Rechnen Sie mit Ihren eigenen Zahlen: Umsatz, der stillsteht, Mitarbeitende, die nicht arbeiten können, und Wiederherstellungskosten pro Tag, multipliziert mit einer realistischen Zahl von Wiederherstellungstagen.
- **Was NetSenX Sie zeigen lässt:** NetSenX berechnet Ihre Ausfallkosten nicht. Es zeigt Aktivität im Netzwerk, während sie geschieht, und seine Preise sind veröffentlicht, sodass Sie den Vergleich selbst ziehen.
- **Was niemand versprechen kann:** Dass Erkennung Ausfälle verhindert. Sie informiert; einen Angriff eindämmen und wiederherstellen bleiben bei Ihrem Team und Ihren Dienstleistern.

### Sie behaupten, unsere Daten kopiert zu haben. Stimmt das?

- **Was Sie heute sagen können:** Entscheiden Sie nicht allein: Zum Zahlen beraten Ihr Anwalt, Ihr Versicherer und ein Incident-Response-Dienstleister. Fragen Sie, welchen Beweis für den Diebstahl die Angreifer zeigen können.
- **Was NetSenX Sie zeigen lässt:** Ob in den Tagen davor große, ungewöhnliche Uploads überwachte Hosts verlassen haben, zu welchen Zielen und wann.
- **Was niemand versprechen kann:** Einen Beweis, dass nichts kopiert wurde: Daten können über Wege hinausgehen, die ein Sensor nicht sieht. NetSenX berät nicht zum Zahlen.

### Können wir dem Versicherer belegen, dass wir das Netzwerk überwachen?

- **Was Sie heute sagen können:** Beschreiben Sie die Aufstellung, wie sie ist: welche Segmente überwacht werden, wer die Alarme liest und wann. Eine wahre Antwort schützt einen Schadenfall besser als ein pauschales Ja.
- **Was NetSenX Sie zeigen lässt:** Die überwachten Segmente, die Alarmhistorie, das Audit-Log der Entscheidungen und PDF-Berichte ab dem Starter-Plan.
- **Was niemand versprechen kann:** Eine Reaktion von Menschen rund um die Uhr. Die Erkennung läuft ständig; Menschen reagieren, wenn Ihr Team oder Ihr Dienstleister reagiert.

### Wenn ein Vorfall erheblich ist: Was passiert in den ersten 24 Stunden?

- **Was Sie heute sagen können:** Nach Artikel 23 NIS2: eine Frühwarnung binnen 24 Stunden ab Kenntnis, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Nationales Recht kann Einzelheiten ergänzen.
- **Was NetSenX Sie zeigen lässt:** Jeder Vorfall wird gegen diese Fristen verfolgt, mit den Belegen aus den Alarmen an einem Ort, und eine Meldung nach Artikel 33 DSGVO wird für Ihren Datenschutzbeauftragten vorbereitet.
- **Was niemand versprechen kann:** Die Entscheidung, ob der Vorfall erheblich ist, und die Meldung selbst: beides bleibt bei Ihnen.

### Liest die Überwachung die E-Mails unserer Beschäftigten?

- **Was Sie heute sagen können:** Erklären Sie, was aufgezeichnet wird und warum, beziehen Sie Betriebsrat und Datenschutzbeauftragten früh ein und dokumentieren Sie die Bewertung, in einer Datenschutz-Folgenabschätzung (DSFA), wo eine nötig ist.
- **Was NetSenX Sie zeigen lässt:** Metadaten von Geräten und Verbindungen: Adressen, Ports, Mengen, Zeitpunkte sowie Servernamen aus dem TLS-Handshake und aus DNS-Antworten. Verschlüsselter Verkehr wird nie entschlüsselt.
- **Was niemand versprechen kann:** Dass eine Aufstellung überall rechtmäßig ist: Das hängt vom nationalen Arbeitsrecht und Ihren Betriebsvereinbarungen ab.

## Von der Installation bis zum Bericht, in fünf Schritten

1. **Ein kleines Programm installieren** Ihr IT-Team installiert den NetSenX-Agenten auf einem Rechner, der an einem Spiegelport des Netzwerk-Switches hängt, oder auf ausgewählten Servern. Von dort sieht er den Verkehr eines ganzen Netzwerksegments.
2. **Er lernt, was normal ist** Wie ein Nachtwächter, der lernt, wer gewöhnlich kommt und geht, merkt er sich, welche Geräte mit welchen sprechen, wann und wie viel. Den Inhalt von Nachrichten liest er nicht.
3. **Er bemerkt ungewöhnliches Verhalten** Wenn sich ein Gerät wie ein Eindringling verhält, etwa alle paar Minuten einen unbekannten Server anruft, an viele Türen gleichzeitig klopft oder nachts große Datenmengen nach außen schickt, löst er einen Alarm aus.
4. **Er erklärt den Alarm in einfachen Worten** Jeder Alarm sagt, was passiert ist, auf welchem Gerät und warum es verdächtig aussieht, damit auch jemand ohne Sicherheitsfachwissen entscheiden kann.
5. **Er hält fest, was der Bericht braucht** Erweist sich der Alarm als erheblicher Vorfall, verfolgt NetSenX die gesetzlichen Meldefristen und bewahrt die Aufzeichnung auf, die Ihr Bericht braucht.

## Was öffentliche Studien sagen

### Ransomware war beteiligt an Datenschutzverletzungen bei…

- Kleine und mittlere Unternehmen: 88 %
- Größere Organisationen: 39 %

Quelle: [Verizon, 2025 Data Breach Investigations Report (April 2025)](https://www.verizon.com/about/news/2025-data-breach-investigations-report)

### EU-Unternehmen mit Folgen von IKT-Sicherheitsvorfällen im Jahr 2023

- Alle Unternehmen: 21,54 %
- Kleine Unternehmen: 19,85 %
- Große Unternehmen: 38,28 %

Quelle: [Eurostat, ICT security in enterprises (Statistics Explained), reference year 2023](https://ec.europa.eu/eurostat/statistics-explained/index.php?title=ICT_security_in_enterprises)

### Verletzungen unter Beteiligung Dritter

- Bericht 2024: 15 %
- Bericht 2025: 30 %

Quelle: [Verizon, 2025 Data Breach Investigations Report (April 2025)](https://www.verizon.com/about/news/2025-data-breach-investigations-report)

### Eine durchschnittliche Datenschutzverletzung

- 4,44 Mio. $: weltweite Durchschnittskosten einer Datenschutzverletzung, in US-Dollar
- 241: Tage im Schnitt, bis eine Verletzung erkannt und eingedämmt ist

Quelle: [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls)

## Ihr Unternehmen in einer Nacht: Welche Situationen betreffen Sie?

Beschreiben Sie Ihr Unternehmen mit wenigen Klicks. Die Situationen, die ein Unternehmen wie Ihres betreffen, erscheinen auf einer Nacht von 18:00 bis 08:30 Uhr; öffnen Sie jede, um zu sehen, was NetSenX zeigt, was es nicht sieht und welchen Plan es braucht.

Das zeigt, welche Situationen ein Unternehmen wie Ihres betreffen, nicht wie wahrscheinlich sie sind: Dafür bräuchte es eine Statistik, die über Ihr Unternehmen niemand hat. Nichts, was Sie eingeben, verlässt Ihren Browser.

| Uhrzeit | Situation | Was NetSenX zeigt | Was es nicht sieht | Plan | Gilt, wenn |
|---|---|---|---|---|---|
| 18:05 | Ein VPN-Konto meldet sich innerhalb einer Stunde aus zwei Ländern an | Die Anmeldung selbst zeigt nichts; was die Sitzung danach im Netzwerk tut, etwa Scans oder neue Sitzungen zu Servern, schon. | Die Anmeldung und ihr Ort: Das steht in Ihren VPN- und Identitäts-Logs. | Jeder Plan, auch der Free-Plan | Ein Teil arbeitet im Homeoffice |
| 18:20 | Der Buchhaltungs-PC ruft alle fünf Minuten einen unbekannten Server | Command-and-Control-Beaconing: kleine, regelmäßige Verbindungen zu einem neuen Ziel. | Welches Programm auf dem PC die Verbindungen aufbaut: Das sieht der Endpoint-Schutz. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 18:45 | Der Laptop eines ehemaligen Mitarbeiters verbindet sich nachts | Die nächtlichen Verbindungen des Geräts, wenn es in einem überwachten Segment ist oder einen Agenten hat. | Ob das Konto noch existieren sollte: Das ist die Liste Ihres Identitätsanbieters. | Jeder Plan, auch der Free-Plan | Homeoffice und mindestens 10 Personen |
| 19:10 | Der Fernseher im Besprechungsraum spricht mit unbekannten Servern | Regelmäßige Verbindungen zu neuen Zielen und ungewöhnliches ausgehendes Volumen vom Fernseher. | Was der Fernseher in verschlüsselten Sitzungen sendet. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 19:30 | Jemand fügt Kundendaten in einen KI-Chat ein | Verkehr vom Gerät zum KI-Dienst: welches Gerät, welcher Dienst, wie viel. | Was eingefügt wurde: NetSenX sieht die Verbindung, nicht den Inhalt. | Ab Pro | Sie nutzen KI-Werkzeuge |
| 20:00 | Ein Gerät im Gast-WLAN erreicht interne Server | Scans und neue Sitzungen aus dem Gastsegment zu internen Adressen, wenn dieses Segment gespiegelt wird. | Alles in einem Gastnetz, das nicht gespiegelt wird. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 20:30 | Die Gebäudeleittechnik spricht mit dem Internet | Regelmäßige Verbindungen der Steuerungen nach außen, wenn ihr Segment gespiegelt wird. | Änderungen über das Cloud-Portal des Herstellers selbst. | Jeder Plan, auch der Free-Plan | Maschinen oder Gebäudetechnik, oder Fertigung |
| 21:00 | Ein kleiner Rechner steckt in einer Wanddose | Ein neues Gerät auf der Netzwerkkarte und, wenn es sendet, seine regelmäßigen Verbindungen nach außen. | Ein Gerät, das schweigt oder in einem nicht gespiegelten Segment steckt. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 21:30 | Der Kamerarekorder funkt auf einen anderen Kontinent | Stetige Verbindungen nach außen und ungewöhnliches ausgehendes Volumen vom Rekorder. | Ob Ihr Vertrag mit dem Hersteller das erlaubt. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 22:00 | Der Laptop eines Integrators hängt an der Produktionslinie | Ein neues Gerät im Produktionssegment und sein Verkehr zu den Steuerungen. | Was auf dem Laptop installiert ist. | Ab Pro | Maschinen oder Gebäudetechnik, oder Fertigung |
| 22:30 | Ein Drucker scannt plötzlich das Netzwerk | Scans: Ein Host verbindet sich in kurzer Zeit mit vielen internen Adressen und Ports. | Wie der Drucker übernommen wurde. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 23:00 | Jemand rät Passwörter gegen einen internen Server | Brute Force: viele fehlgeschlagene Verbindungsversuche gegen einen Dienst. | Ob ein Versuch am Ende geklappt hat: Das steht im Log des Servers. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 23:30 | Ein Server spricht mit einem frisch gemieteten Cloud-Server | Ein neues gemietetes Cloud-Ziel in der Cloud-Prüfliste und ungewöhnliches Volumen, wenn Daten fließen. | Wer den Server gemietet hat und warum. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 00:00 | Ein Büro-PC schreibt auf eine SPS | Ein Schreibzugriff auf eine Steuerung von einem Host, der sonst nicht darauf schreibt. | Ob der neue Wert für die Maschine sicher ist. | Ab Pro | Maschinen oder Gebäudetechnik, oder Fertigung |
| 00:30 | Ein Arbeitsplatz öffnet plötzlich eine Sitzung zum Domänencontroller | Laterale Bewegung: eine neue Host-zu-Host-Sitzung, die nicht zum Normalverhalten des Arbeitsplatzes passt. | Welches Konto benutzt wurde: Das sagen die Logs des Domänencontrollers. | Jeder Plan, auch der Free-Plan | Mindestens 20 Personen |
| 01:00 | Der infizierte Heim-PC eines Mitarbeiters verbindet sich per VPN | Beaconing oder Scans aus dem VPN-Adressbereich, wenn der VPN-Verkehr gespiegelt wird. | Den Heim-PC selbst, bevor er sich verbindet. | Jeder Plan, auch der Free-Plan | Ein Teil arbeitet im Homeoffice |
| 01:30 | Administrationswerkzeuge um 01:30 Uhr | Neue Sitzungen über SMB, RDP oder WinRM, die nicht zum Normalverhalten des Hosts passen. | Ob die Nutzung berechtigt ist: Das Netzwerk sieht die Sitzung, nicht die Absicht. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 02:00 | Eine SPS wird nachts gestoppt oder umprogrammiert | OT-Aktivität außerhalb der üblichen Arbeitszeiten. | Änderungen direkt am Bedienfeld der Steuerung. | Ab Pro | Maschinen oder Gebäudetechnik, oder Fertigung |
| 02:15 | Ransomware erreicht viele Dateifreigaben auf einmal | Ransomware-Vorbereitung: Ein Host erreicht in kurzer Zeit viele Freigaben. | Die Verschlüsselung selbst auf dem Host: Das sieht der Endpoint-Schutz. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 02:40 | Das Büronetz erreicht die Steuerungsebene | Verkehr über Ebenen des Werksnetzes hinweg, die getrennt bleiben sollten. | Verbindungen über nicht gespiegelte Wege, etwa ein Herstellermodem. | Ab Pro | Maschinen oder Gebäudetechnik, oder Fertigung |
| 03:00 | Der ERP-Server sendet um 03:00 Uhr Daten nach draußen | Ungewöhnliches ausgehendes Datenvolumen gemessen an den üblichen Zielen, Volumen und Zeiten des Servers. | Welche Dateien hinausgingen, in verschlüsselten Sitzungen. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 03:20 | Das nächtliche Backup sieht aus wie Datendiebstahl | Uploads werden mit dem eigenen Normalverhalten jedes Hosts verglichen, daher bleibt ein Backup, das jede Nacht gleich läuft, ruhig. | Ob sich das Backup tatsächlich wiederherstellen lässt. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |
| 03:40 | Ein Entwickler lädt ein großes Archiv in eine private Cloud | Ungewöhnliches ausgehendes Datenvolumen zu einem Ziel, das der Laptop selten nutzt. | Was das Archiv enthält. | Jeder Plan, auch der Free-Plan | Mindestens 20 Personen |
| 04:00 | Ein 4G-Router ist in einem Maschinenschrank versteckt | Wenn seine LAN-Seite in einem gespiegelten Segment liegt: ein neues Gerät und sein Verkehr zu den Steuerungen. | Verkehr über die 4G-Verbindung selbst, der Ihr Netzwerk nie berührt. | Jeder Plan, auch der Free-Plan | Maschinen oder Gebäudetechnik, oder Fertigung |
| 04:30 | Ein alter SSH-Server, an den sich niemand erinnert | Im SSH-Inventar von NQCI, mit dem Paketmitschnitt-Sensor auf einem Linux-Agenten oder einem SPAN/TAP-Sensor: die SSH-Version, die der Server meldet, und ob sie älter als die korrigierte Version ist. | Einen Beweis für eine Lücke: Ein Versionsbanner lässt sich ändern, und Distributionen portieren Korrekturen zurück. | Ab Pro | Jedes Unternehmen |
| 05:00 | Welche Server nutzen noch quantenanfälligen Schlüsselaustausch? | NQCI (Vorschau) auf überwachtem Verkehr, mit dem Paketmitschnitt-Sensor auf einem Linux-Agenten oder einem SPAN/TAP-Sensor: welche Verbindungen quantenanfälligen und welche hybriden Post-Quanten-Schlüsselaustausch nutzen. Der einfache macOS-Modus sieht keine Handshakes. | Daten, die jemand früher aufgezeichnet hat: Ein Inventar zeigt den heutigen Verkehr. | Ab Pro | Unter NIS2 oder unsicher |
| 05:30 | Lagerscanner und Handhelds kommen ins Netzwerk | Neue Geräte auf der Netzwerkkarte und ungewöhnlicher Verkehr von ihnen. | Was die Apps auf den Handhelds in verschlüsselten Sitzungen tun. | Jeder Plan, auch der Free-Plan | Abhängig von der Branche |
| 06:00 | Medizin- oder Laborgeräte, auf denen kein Agent läuft | Ihre Verbindungen aus einem gespiegelten Segment: neue Ziele, Scans, ungewöhnliches Volumen. | Den internen Zustand des Geräts und die Patientendaten darin. | Jeder Plan, auch der Free-Plan | Abhängig von der Branche |
| 06:30 | Kassen und Kartenterminals teilen sich das Netzwerk | Scans oder neue Sitzungen von einer Kasse zu anderen Geräten. | Kartendaten in der verschlüsselten Sitzung des Zahlungsterminals. | Jeder Plan, auch der Free-Plan | Abhängig von der Branche |
| 07:00 | Am zweiten Standort gibt es Geräte, die niemand erfasst hat | Die Netzwerkkarte jedes gespiegelten Standorts: die Geräte in überwachten Segmenten. | Geräte an einem Standort ohne Agenten. | Jeder Plan, auch der Free-Plan | Mehr als ein Standort |
| 08:10 | Die 24-Stunden-Frist der NIS2-Frühwarnung beginnt | Der Vorfall, verfolgt gegen die Fristen aus Artikel 23, mit den Alarmen, die ihn ausgelöst haben. | Ob der Vorfall erheblich ist, und die Meldung selbst. | Jeder Plan, auch der Free-Plan | Unter NIS2 oder unsicher |
| 08:30 | Der Vorstand fragt: Sind wir gerade gehackt? | Jeder Alarm der Nacht in verständlicher Sprache und die Alarmhistorie Ihres Plans. | Ein Versprechen, dass nichts passiert: Die Antwort deckt die überwachten Segmente ab. | Jeder Plan, auch der Free-Plan | Jedes Unternehmen |

## Ob jemand drin ist, wissen Sie nur, wenn Sie hinsehen

Angreifer kündigen sich selten an. Mandiants M-Trends 2026 beziffert die globale mediane Verweildauer, die Zeit vom Eindringen bis zur Entdeckung, für 2025 untersuchte Vorfälle auf 14 Tage; IBMs Cost of a Data Breach 2025 beziffert die durchschnittliche Zeit bis zur Erkennung und Eindämmung einer Datenpanne auf 241 Tage. So verläuft ein typisches Eindringen in einer Nacht, das zeigt NetSenX bei jedem Schritt, und das kann ein Netzwerksensor nicht sehen.

### 18:02 Ein gestohlenes Passwort funktioniert

- **Was der Angreifer tut:** Der Angreifer meldet sich über das VPN oder einen Fernzugangsdienst mit einem anderswo gekauften oder per Phishing erbeuteten Passwort an.
- **Was NetSenX zeigt:** Noch nichts: Eine Anmeldung mit gültigen Zugangsdaten sieht im Netzwerk wie eine normale aus.
- **Was das Netzwerk nicht sieht:** Die Anmeldung selbst steht in den Logs von VPN und Identitätsdienst, nicht im Datenverkehr. Mehrfaktor-Authentifizierung stoppt die meisten dieser Versuche.

### 18:20 Der Rechner meldet sich bei seinem Herrn

- **Was der Angreifer tut:** Ein kleines Programm auf dem ersten Rechner meldet sich alle paar Minuten, Tag und Nacht, beim Server des Angreifers.
- **Was NetSenX zeigt:** Command-and-Control-Beaconing (C2): kleine, regelmäßige Verbindungen zu einem neuen Ziel, markiert in jedem Plan, auch im Free-Plan.
- **Was das Netzwerk nicht sieht:** Welches Programm die Verbindung aufbaut. Das sieht der Endpunktschutz (EDR).

### 23:10 Umsehen

- **Was der Angreifer tut:** Von diesem Rechner aus durchsucht der Angreifer das interne Netz nach Dateiservern, Backups und Domänencontrollern.
- **Was NetSenX zeigt:** Scans: ein Host, der in kurzer Zeit viele interne Adressen und Ports anspricht.
- **Was das Netzwerk nicht sieht:** Suchen auf dem Rechner selbst, etwa das Auslesen des Verzeichnisdienstes, die nie über das Netzwerk laufen.

### 01:30 Weiter zum nächsten Rechner

- **Was der Angreifer tut:** Mit Passwörtern vom ersten Rechner öffnet der Angreifer Fernsitzungen zu Servern, die er nie genutzt hat, mit den Werkzeugen der Administratoren selbst.
- **Was NetSenX zeigt:** Laterale Bewegung: neue Host-zu-Host-Sitzungen über SMB, RDP oder WinRM, die nicht zum normalen Verhalten des Hosts passen.
- **Was das Netzwerk nicht sieht:** Dass das Werkzeug legitim ist: Virenschutz lässt eingebaute Verwaltungswerkzeuge oft passieren, das Netzwerk ebenso.

### 02:40 Ein Gerät, das niemand bestellt hat

- **Was der Angreifer tut:** Manche Angriffe bringen eigene Hardware mit: einen kleinen Rechner oder eine WLAN-Brücke in einer freien Netzwerkdose, die nach draußen kommuniziert.
- **Was NetSenX zeigt:** Steht es in einem überwachten Segment und sendet, erscheinen seine regelmäßigen Verbindungen nach draußen als Beaconing und ungewöhnlicher Verkehr.
- **Was das Netzwerk nicht sieht:** Ein Gerät, das schweigt oder in einem Segment steht, das Sie nicht spiegeln.

### 03:00 Daten gehen in kleinen Stücken hinaus

- **Was der Angreifer tut:** Dateien werden nachts, mittags oder am Wochenende hinauskopiert, in Stücken, die unter einfachen Volumenalarmen bleiben.
- **Was NetSenX zeigt:** Ungewöhnliches ausgehendes Datenvolumen: die Uploads jedes Hosts verglichen mit seinen eigenen üblichen Zielen, Mengen und Tageszeiten.
- **Was das Netzwerk nicht sieht:** Dateinamen und Inhalte in verschlüsselten Sitzungen.

### 08:30 Jemand wird aufmerksam

- **Was der Angreifer tut:** Ihr Team liest die Alarme beim Morgenkaffee. Ist der Vorfall erheblich und gilt NIS2, läuft jetzt die 24-Stunden-Frist für die Frühwarnung.
- **Was NetSenX zeigt:** Jeder Alarm in verständlicher Sprache, das Audit-Log dessen, was gesehen und getan wurde, und die Fristen nach Art. 23 NIS2 für den Vorfall verfolgt.
- **Was das Netzwerk nicht sieht:** Ob der Vorfall erheblich ist, und die Meldung selbst: Diese Entscheidungen bleiben bei Ihnen.

Quellen: [Mandiant (Google Cloud), M-Trends 2026](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/) · [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls)

## Mit und ohne NetSenX: Es ändert sich, wann Sie es wissen

NetSenX verhindert diese Nacht nicht. Es ändert sich, wann Sie davon wissen. Gehen Sie durch die Nacht: Die linke Spur zeigt, was geschieht, wenn niemand das Netzwerk beobachtet, die rechte den Alarm, den jeder Schritt auslöst, oder nichts, wo das Netzwerk nichts sieht.

| Uhrzeit | Was der Angreifer tut | Was NetSenX zeigt | Was das Netzwerk nicht sieht |
|---|---|---|---|
| 18:02 | Ein gestohlenes Passwort funktioniert | Noch nichts: Eine Anmeldung mit gültigem Passwort sieht normal aus. | Die Anmeldung selbst steht in den Logs von VPN und Identitätsdienst, nicht im Datenverkehr. Mehrfaktor-Authentifizierung stoppt die meisten dieser Versuche. |
| 18:20 | Der Rechner meldet sich bei seinem Herrn | Alarm: Command-and-Control-Beaconing (C2). | Welches Programm die Verbindung aufbaut. Das sieht der Endpunktschutz (EDR). |
| 23:10 | Umsehen | Alarm: interne Scans. | Suchen auf dem Rechner selbst, etwa das Auslesen des Verzeichnisdienstes, die nie über das Netzwerk laufen. |
| 01:30 | Weiter zum nächsten Rechner | Alarm: laterale Bewegung. | Dass das Werkzeug legitim ist: Virenschutz lässt eingebaute Verwaltungswerkzeuge oft passieren, das Netzwerk ebenso. |
| 02:40 | Ein Gerät, das niemand bestellt hat | Alarm: Beaconing und ungewöhnlicher Verkehr, wenn das Gerät in einem überwachten Segment sendet. | Ein Gerät, das schweigt oder in einem Segment steht, das Sie nicht spiegeln. |
| 03:00 | Daten gehen in kleinen Stücken hinaus | Alarm: ungewöhnliches ausgehendes Datenvolumen. | Dateinamen und Inhalte in verschlüsselten Sitzungen. |
| 08:30 | Jemand wird aufmerksam | Alarme in verständlicher Sprache erklärt, NIS2-Fristen verfolgt. | Ob der Vorfall erheblich ist, und die Meldung selbst: Diese Entscheidungen bleiben bei Ihnen. |

- Im Plan Free bleiben die Alarme dieser Nacht 30 Tage in der Alarmhistorie.
- Im Plan Solo bleiben die Alarme dieser Nacht 60 Tage in der Alarmhistorie.
- Im Plan Starter bleiben die Alarme dieser Nacht 60 Tage in der Alarmhistorie.
- Im Plan Pro bleiben die Alarme dieser Nacht 90 Tage in der Alarmhistorie.
- Im Plan Business bleiben die Alarme dieser Nacht 365 Tage in der Alarmhistorie.
- Im Plan Enterprise hat die Alarmhistorie keine Zeitgrenze.

Jeder Alarm dieser Nacht ist in jedem Plan enthalten, auch im Free-Plan: Der Plan bestimmt, wie lange die Belege bleiben, nicht, ob Sie sie sehen.

Zur Einordnung, nach den Quellen unten: Die globale mittlere Zeit vom Eindringen bis zur Entdeckung lag bei 14 Tagen für 2025 untersuchte Vorfälle, die durchschnittliche Zeit bis zur Erkennung und Eindämmung einer Datenschutzverletzung bei 241 Tagen. Das sind Werte anderer Organisationen, keine Messung von NetSenX.

Quellen: [Mandiant (Google Cloud), M-Trends 2026](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/) · [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls)

## Wissen, wo Ihre Verschlüsselung ersetzt werden muss

Die EU hat die Mitgliedstaaten aufgefordert, auf Post-Quanten-Kryptografie umzusteigen: Empfehlung (EU) 2024/1101 der Kommission vom 11. April 2024 und der koordinierte Fahrplan der NIS-Kooperationsgruppe vom 23. Juni 2025, der Anwendungsfälle mit hohem Risiko bis Ende 2030 und so viele Systeme wie möglich bis 2035 schützen will. Jede Migration beginnt mit einer Bestandsaufnahme: wo Sie welche Kryptografie einsetzen.

### Warum es wichtig ist

Ein großer Quantencomputer mit dem Shor-Algorithmus könnte RSA und Elliptische-Kurven-Kryptografie brechen, die heute fast jeden Schlüsselaustausch und jede Signatur schützen. Symmetrische Verschlüsselung wie AES wird nur mäßig geschwächt. Einen solchen Computer gibt es noch nicht, und niemand kann das Jahr nennen, in dem es ihn geben wird.

### Was sie ersetzt

Das NIST hat am 13. August 2024 die ersten Post-Quanten-Standards veröffentlicht: FIPS 203 (ML-KEM) für den Schlüsselaustausch, FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) für Signaturen. Browser bieten bereits hybriden Schlüsselaustausch wie X25519MLKEM768 an, der ein klassisches und ein Post-Quanten-Verfahren kombiniert.

### Jetzt sammeln, später entschlüsseln

Heute aufgezeichneter Verkehr könnte gelesen werden, sobald es einen solchen Computer gibt. Das zählt für Daten, die jahrelang geheim bleiben müssen: Gesundheitsdaten, Konstruktionen, lange Verträge. Es ist eine Planungsfrage, kein Notfall.

### Was NetSenX tut

NQCI, das Krypto-Inventar von NetSenX (in der Preview), zeigt aus dem Netzwerk, welche Verbindungen quantenanfälligen Schlüsselaustausch nutzen und welche hybriden Post-Quanten-Schlüsselaustausch. Es ist in jedem Plan sichtbar und ab dem Pro-Plan aktiv. Dafür braucht es den Paketmitschnitt-Sensor, der standardmäßig aus ist: eingeschaltet für einen Linux-Agenten oder als Sensor an einem SPAN- oder TAP-Port. Der Basismodus des Agenten, wie er unter macOS läuft, sieht keine TLS-Handshakes.

### Was es nicht tut

Es migriert nichts und macht Sie nicht regelkonform: Die Kryptografie zu ersetzen ist Arbeit für Sie und Ihre Anbieter. Es sieht Verbindungen, die ein überwachtes Segment passieren, nicht Kryptografie in Anwendungen oder auf Datenträgern.

### Jetzt anfangen? Moscas Faustregel

Addieren Sie, wie viele Jahre Ihre Daten geheim bleiben müssen, und wie viele Jahre Ihre Migration dauert. Ist die Summe größer als die Jahre bis zu einem leistungsfähigen Quantencomputer, fangen Sie jetzt an. Die letzte Zahl kennt niemand, probieren Sie also mehrere.

Diese Zahl kennt niemand, vergleichen Sie also drei Schätzungen. Das Ergebnis unten richtet sich nach der frühesten.

x + y > z

Quellen: [Commission Recommendation (EU) 2024/1101 of 11 April 2024 on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024H1101) · [NIS Cooperation Group, A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (23 June 2025)](https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography) · [NIST, NIST Releases First 3 Finalized Post-Quantum Encryption Standards (13 August 2024)](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards)

## Für wen diese Seite ist

- **IT-Leitung, 20 bis 500 Beschäftigte**: Sie verantworten Sicherheit ohne Sicherheitsteam, die Geschäftsführung fragt nach NIS2, und Sie müssen wissen, was im Netz passiert, ohne den ganzen Tag Logs zu lesen.
- **Der Einzeladministrator**: Sie sind die IT-Abteilung. Alles, was Sie installieren, muss ohne Betreuung laufen, sich selbst erklären und darf kein Wochenende kosten.
- **MSP oder IT-Dienstleister**: Sie betreuen viele kleine Kunden mit jeweils eigenem Netz, und jeder muss von den anderen getrennt bleiben.

## „Wir würden nicht merken, wenn schon jemand in unserem Netz ist.“

**Was NetSenX tut:** NetSenX beobachtet, wie sich jeder Host im Netz verhält, und erkennt C2-Beaconing, Scans, Lateral Movement und ungewöhnliche ausgehende Datenmengen, in jedem Plan, auch im Free-Plan.

**Was es nicht tut:** Es sieht nicht, was innerhalb eines Hosts geschieht, ohne das Netz zu berühren; dafür ist der Endpunktschutz (EDR) da. Ein Alarm ist ein Anlass zur Prüfung, kein Beweis für einen Einbruch.

Mehr dazu: https://netsenx.com/de/is-someone-inside-your-network

## „Wir bekommen Alarme, für die niemand Zeit hat, und die meisten sind Rauschen.“

**Was NetSenX tut:** Jeder Alarm erklärt in verständlicher Sprache, welche Netzwerkmerkmale seine Bewertung bestimmt haben, in jedem Plan. Eine Split-Conformal-Schicht begrenzt die Falsch-Positiven unter den gemeldeten Alarmen, sobald Ihre eigenen Kalibrierungsdaten das tragen; bis dahin sagt das Dashboard das offen. In kostenpflichtigen Plänen kann der AI Analyst Core jedem Alarm eine verständliche Notiz beifügen, mit Ihrem eigenen Schlüssel eines KI-Anbieters.

**Was es nicht tut:** Es ist kein Managed-Detection-Service: Niemand bei NetSenX beobachtet Ihre Alarme rund um die Uhr, und die Entscheidung, was mit einem Alarm geschieht, bleibt bei Ihnen.

Mehr dazu: https://netsenx.com/de/features

## „Die Hälfte unseres Netzes sind Drucker, Kameras und Maschinen, auf denen wir nichts installieren können.“

**Was NetSenX tut:** Ein Agent an einem SPAN- oder TAP-Port beobachtet ein ganzes Netzwerksegment, also auch Geräte ohne Agent. Ab dem Pro-Plan werden Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP und S7comm aus der passiven Erfassung gelesen.

**Was es nicht tut:** OT-Geräte werden nie aktiv abgefragt, und Verkehr in einem Segment, das Sie nicht spiegeln, bleibt unsichtbar.

Mehr dazu: https://netsenx.com/de/ot-network-monitoring

## „NIS2 verlangt, dass wir einen erheblichen Vorfall innerhalb von 24 Stunden melden.“

**Was NetSenX tut:** NetSenX verfolgt jeden Vorfall gegen die Fristen nach Art. 23 NIS2 (24 Stunden, 72 Stunden, ein Monat), bereitet für Ihren Datenschutzbeauftragten eine Meldung nach Art. 33 DSGVO vor und führt ein Audit-Log über Alarme, Analystenentscheidungen und Konfigurationsänderungen. PDF-Berichte ab dem Starter-Plan.

**Was es nicht tut:** Es entscheidet nicht, ob Ihr Unternehmen erfasst ist oder ob ein Vorfall erheblich ist, und übermittelt keine Meldungen an Ihr CSIRT oder Ihre Behörde.

Mehr dazu: https://netsenx.com/de/nis2-incident-reporting-deadlines

## „Fast alles ist heute verschlüsselt, und wir wollen TLS nicht aufbrechen, um hineinzusehen.“

**Was NetSenX tut:** NetSenX analysiert verschlüsselten Verkehr anhand von Timing, Datenmenge und Zielen, ab dem Starter-Plan auch anhand des TLS-Handshakes. Es entschlüsselt nie: kein Interception-Proxy, kein Zertifikat zu installieren. Der Handshake ist nur sichtbar, wo der Agent Pakete mitschneidet: unter Linux oder als Sensor an einem SPAN- oder TAP-Port, nicht im Basismodus unter macOS.

**Was es nicht tut:** Den Inhalt einer verschlüsselten Sitzung kann es nicht lesen.

Mehr dazu: https://netsenx.com/de/encrypted-traffic-analysis

## „Mitarbeitende kopieren Firmendaten in KI-Werkzeuge, die wir nie genehmigt haben.“

**Was NetSenX tut:** Ab dem Pro-Plan markiert NetSenX Verkehr zu externen KI-Diensten und zu lokal betriebenen Sprachmodell-Laufzeiten: welcher Host, welcher Dienst und wie viele Daten.

**Was es nicht tut:** Es liest keine Prompts und keine gesendeten Inhalte und sperrt einen Dienst nicht von sich aus.

Mehr dazu: https://netsenx.com/de/shadow-ai-detection

## „Enterprise-NDR ist für Konzerne bepreist, und niemand veröffentlicht einen Preis.“

**Was NetSenX tut:** NetSenX veröffentlicht seine Preise und hat einen Free-Plan ohne zeitliche Begrenzung. Ein Gerät ist ein Host mit dem Agenten, und ein Agent an einem SPAN- oder TAP-Port zählt als ein Gerät für das ganze beobachtete Segment.

**Was es nicht tut:** On-Premises-Betrieb und White-Label-Berichte gibt es nur im Enterprise-Plan.

Mehr dazu: https://netsenx.com/de/pricing

## „Unsere Daten müssen in der EU bleiben, und die Rechtsabteilung will die Liste der Unterauftragsverarbeiter.“

**Was NetSenX tut:** Kundendaten werden in der EU gespeichert: die Datenbank in Irland, die API in Frankfurt und Paris. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist mit der vollständigen Liste der Unterauftragsverarbeiter veröffentlicht.

**Was es nicht tut:** On-Premises-Betrieb, für Daten, die Ihr Haus nicht verlassen dürfen, gibt es nur im Enterprise-Plan.

Mehr dazu: https://netsenx.com/de/eu-data-residency

## „Wir betreuen die IT vieler kleiner Kunden und können nicht für jeden ein SOC aufbauen.“

**Was NetSenX tut:** Jeder Kunde ist ein eigener Mandant, in der Datenbank durch Row-Level Security getrennt, und jeder kann mit dem Free-Plan beginnen. White-Label-Berichte gibt es im Enterprise-Plan; das Partnerprogramm richtet sich an MSSPs und Reseller.

**Was es nicht tut:** NetSenX betreibt keinen Managed Service in Ihrem Namen; die Untersuchung von Alarmen bleibt bei Ihnen oder Ihrem Team.

Mehr dazu: https://netsenx.com/de/partners