Die richtigen Fragen vor der Beauftragung stellen

Ein ernstzunehmender Anbieter identifiziert sich nicht über einen Chatnamen, sondern über Antworten, die Sie nachprüfen können. Die entscheidende Prüfung findet vor Ihrer Unterschrift statt: im Erstgespräch. Führen Sie dieses Gespräch wie eine fachliche Bewertung — mit Rückfragen zu Nachweisen, Vorgehen, Grenzen und Verantwortung. Wie jemand auf solche Rückfragen reagiert, trennt Fachleute von Betrügern zuverlässiger als jede Online-Bewertung.

Wir sagen im Erstgespräch offen, was wir übernehmen und worauf wir ausdrücklich verzichten: Eindringen in fremde Konten, Ausspähen privater Geräte oder das Umgehen von Passwörtern ohne nachweisbare Zustimmung gehört für uns nie zum Angebot.

Wann fachliche Unterstützung wirklich weiterbringt

Hilfe ist die richtige Adresse, wenn der Auftrag etwas berührt, das Sie legitim beauftragen dürfen: der eigene Server Ihres Unternehmens, ein Netzwerk, dessen Eigentum Sie belegen können, oder ein technischer Vorfall, dessen Ausmaß Sie allein nicht sicher einschätzen. Anders verhält es sich bei Wünschen wie einem Zugang zum Gerät der Partnerin oder dem Passwort des Kollegen: Ohne schriftliche Berechtigung ist so etwas für jeden Beteiligten ein Risiko — rechtlich wie finanziell. Merken Sie sich die Faustregel: Wer am Objekt kein Recht vorlegt, erhält bei seriösen Fachleuten keinen Auftrag. Und wer diese Grenze ignoriert, zeigt Ihnen im ersten Gespräch bereits, dass Recht für ihn nur ein Detail ist.

Der Prüfplan: so führen Sie das Erstgespräch

Bewerten lässt sich nur, wer strukturiert fragt. Nutzen Sie die folgenden 18 Fragen als Leitfaden. Routinierte Fachkräfte beantworten derartige Punkte ohne Zögern; Ausweichen, Schlagworte oder ein sofortiges Preisgespräch ohne Kontext sind bereits eine Auskunft.

Nachweise und Referenzen

Unter welchem Namen und in welcher Rechtsform treten Sie auf? Erwartbare Auskunft: vollständige Angaben zu Firma, Anschrift und Gewerbe — keine Pseudonyme im Messenger.
Welche Qualifikationen besitzen die Personen, die tatsächlich arbeiten? Anerkannte Nachweise aus der Informationssicherheit (etwa OSCP, CEH oder vergleichbare Zertifikate) sagen mehr aus als jedes Profilfoto.
Beschreiben Sie bitte abgewickelte Mandate mit ähnlichem Umfang. Durchdachte, anonymisierte Fallbeispiele — Ausgangslage, Vorgehen, Ergebnis — sind aussagekräftiger als Sternevergleiche.
Wie kann ich Sie verifizieren, bevor Geld fließt? Videotermin, Registerauszug oder ein dokumentierter Zahlungsweg sind hier das Erwartungsminimum.

Umfang, Methoden und Spielregeln

Welchen Prüfbereich schlagen Sie vor — und warum genau diesen? Gute Antworten nennen untersuchte Systeme, Zeiträume und Grenzen schriftlich.
Welche Methoden schließen Sie ausdrücklich aus? Rechtfertigt ein Risiko den Erkenntnisgewinn nicht, gehört die Methode auf eine dokumentierte Ausschlussliste — nicht in eine mündliche Zusage.
Was gilt, wenn Sie während der Prüfung einen kritischen Fehler entdecken? Erwarten Sie eine feste Stopp-Regel und eine sofortige Meldung an eine namentlich vereinbarte Person.
Wer haftet, wenn ein System durch die Prüfung ausfällt? Diese Frage gehört in den Vertrag, nicht in einen Nebensatz; fragen Sie nach Haftungsregeln und Versicherung.

Bericht, Priorisierung und Nachtest

Zeigen Sie mir bitte einen Musterbericht. Profis halten Vorlagen bereit: Kurzfassung für das Management, Fachteil für die IT, Anhang mit Belegen.
Nach welchem Maßstab bewerten Sie Ihre Funde? Ein einheitliches Schema (beispielsweise CVSS oder ein dokumentiertes Eigenverfahren) ist besser als drastische Einzelbeschreibungen.
Bieten Sie einen Nachtest an, um die Behebung zu bestätigen? Ein abschließender Wiederholungstest sollte im Umfang vertraglich festgehalten werden.

Haftung, Vertraulichkeit und Datenschutz

Setzen Sie ein Vertraulichkeitsabkommen ein — unterzeichnet, nicht nur mündlich? Es muss benennen, wen die Schweigepflicht bindet und für welchen Zeitraum.
Wo liegen meine Daten, und wer kann darauf zugreifen? Erwartbar: benannte Personen, ein dokumentierter Speicherort und feste Löschfristen. Bei sensiblen Mandaten ist der DSGVO-Maßstab — insbesondere Art. 32 zur Sicherheit der Verarbeitung — die Grundlinie, kein Werbeversprechen.
Prüfen Sie vor der Annahme, ob ich den Auftrag überhaupt geben darf? Eine schriftliche Bestätigung der Berechtigung gehört vor jedem Testlauf dazu.

Organisation, Kommunikation und Preis

Wer ist meine Hauptansprechperson, und über welche Kanäle ist diese Person erreichbar?
In welchem Rhythmus erfahre ich, was bereits geprüft wurde? Feste Zwischenberichte statt zwei Wochen Funkstille.
Was passiert, wenn außerhalb der üblichen Zeiten etwas Kritisches auftaucht? Ein definierter Eskalationsweg mit Namen und Reaktionszeit gehört in den Ablaufplan.
Wie setzt sich der Preis zusammen, und welche Zahlungsmodelle gibt es? Üblich sind Festpreis nach Umfang, Tagessatz oder Stundenkontingent, aufgeschlüsselt nach Planung, Durchführung und Nachprüfung — plus reguläre Rechnung.

Rote Flaggen und grüne Flaggen im direkten Vergleich

Thema	Rote Flagge (so nicht)	Grüne Flagge (so ja)
Ergebnisversprechen	„Zugang garantiert in 24 Stunden“	„Möglichkeiten und Zeitplan klären wir erst nach Sichtung“
Referenzen	„5.000 Kunden, deren Namen dürfen wir nicht nennen“	„Anonymisierte, nachvollziehbar aufgebaute Fallbeispiele“
Zahlung	„Nur Vorkasse in Krypto, Vertrag unnötig“	„Festpreis oder Tagessatz mit Rechnung und dokumentiertem Zahlungsweg“
Grenzen	„Alles machbar, nur eine Frage der Technik“	„Eine feste Liste dessen, was wir ausdrücklich ablehnen“
Bericht	„Das Endergebnis reicht völlig“	„Musterbericht, Bewertungsschema und Nachtestregeln vor der Unterschrift“

Wozu ein seriöser Anbieter ausdrücklich Nein sagt

Ein zuständiger Fachbetrieb lehnt im Erstgespräch schlicht ab: den Zugang zu fremden E-Mail-, Social-Media- oder Bankkonten ohne Rechtenachweis; die Forensik an Geräten oder Konten, für die niemand eine Berechtigung vorlegt; die unbemerkte Überwachung von Beschäftigten oder Partnern ohne deren Wissen; das Überwinden technischer Schutzmechanismen aus reiner Neugier; Aufträge ohne Vertrag, Rechnung und überprüfbare Identität. Jemand, der über nichts ein Nein übrig hat, beantwortet damit auch die Frage nach seiner Seriosität.

Welche Ergebnisse ein korrekt beauftragter Auftrag liefert

Ein sauberer Abschluss liest sich anders als ein Chatverlauf. Erwartbar sind: eine kurze Fassung für die Führungsebene, ein Fachanhang mit technischen Details und Belegen, sämtliche Funde mit Einstufung und Handlungsempfehlung, das Ergebnis eines vereinbarten Nachtests sowie eine dokumentierte Aufbewahrung. Erst diese Aufbereitung macht aus der Prüfung dauerhaften Nutzen — für Audits, Versicherungsfälle oder interne Schulungen.

Cyberlord

Bei Cyberlord läuft jedes Mandat mit denselben klaren Regeln ab: Wir erfragen zuerst Eigentum, Berechtigung und Zielsetzung und beantworten anschließend Ihre Rückfragen aus der Liste oben — mit Belegen, Zeitplan und schriftlichem Rahmen. Schicken Sie uns Fakten, Zeitpunkte und Ihr Anliegen; wir sagen Ihnen zuerst, was rechtmäßig und technisch sinnvoll ist.

Wie erkenne ich im Erstkontakt ein unseriöses Angebot?
Daran, dass auf jede konkrete Prüffrage nur Schlagworte kommen und Verträge, Rechnungen oder Referenzen als Zeitverschwendung abgetan werden.

Darf ich jetzt schon Passwörter übermitteln?
Nein. Erst wenn Prüfbereich, Berechtigung und Übergabeweg schriftlich stehen, bewegt sich etwas. Bis dahin bleibt alles bei Ihnen.

Was kostet ein solcher Auftrag bei realer Kalkulation?
Der Umfang entscheidet; als grobe Größenordnung bewegen sich begrenzte Prüfungen häufig im niedrigen vierstelligen Euro-Bereich, umfangreichere Mandate deutlich darüber. Verlässlich wird der Betrag erst nach Sichtung des konkreten Falls.

Die richtigen Fragen vor der Beauftragung eines Hackers