DEF
DEF
Ein Einzelunternehmen. Das ist der Punkt.
Bei DEF.S3C spricht die Person mit Ihnen, die auch die Prüfung durchführt. Kein Vertrieb, der etwas zusagt, was die Technik später geradebiegen muss.
Wer dahintersteht
DEF.S3C e.U. wurde von Arian Schön gegründet und ist seit August 2026 am Markt. Der Sitz ist Graz, gearbeitet wird österreichweit – remote und vor Ort.
Wie wir arbeiten
Jede Prüfung beginnt mit einer schriftlichen Beauftragung und unterzeichneten Rules of Engagement. Ohne diese beiden Dokumente fassen wir nichts an. Was wir finden, sehen Sie live im Portal, und was wir dokumentieren, wird spätestens 14 Tage nach Missionsende automatisch gelöscht.
Was wir nicht tun
Wir betreiben kein 24/7-SOC, keinen laufenden Helpdesk und verkaufen keine Software-Lizenzen. Wenn Sie das brauchen, sagen wir es Ihnen im Erstgespräch und nennen Ihnen, was stattdessen sinnvoll ist.
Warum es DEF.S3C gibt.
Nicht aus einer Geschäftsidee heraus, sondern aus einer Frage, die sich im Arbeitsalltag als Administrator jeden Tag stellt und dort nie beantwortet wird.
Der Blick von der anderen Seite
Als Administrator sieht man jeden Tag, was konfiguriert, gepatcht und abgesichert gehört. Was man praktisch nie sieht, ist, wie jemand genau das ausnutzt.
Hinter DEF.S3C stehen jahrelange Erfahrung als IT-Systemadministrator und die tägliche Verantwortung für Netzwerke, Server und die technische Umsetzung von Sicherheitsstandards. In dieser Zeit sammelt sich ein Wissen an, das in keiner Prüfungsvorbereitung steht: wo im Alltag tatsächlich die Fehler passieren. Nicht die spektakulären, sondern die banalen – die Ausnahme, die für ein Projekt eingerichtet und nie zurückgenommen wurde, das Dienstkonto mit dem Kennwort von vor fünf Jahren, die Firewall-Regel, die niemand mehr zuordnen kann.
Was in dieser Rolle fehlt, ist die Gegenprobe. Man baut auf, sichert ab und dokumentiert – aber ob es hält, erfährt man im Ernstfall oder gar nicht. Genau dieser Perspektivwechsel wurde mit der Zeit interessanter als die Verwaltung selbst: nicht zu fragen, was alles eingerichtet gehört, sondern wie weit jemand kommt, wenn er es darauf anlegt.
Offensive Sicherheitsarbeit ist deshalb kein Gegenteil guter IT-Arbeit, sondern ihre logische Fortsetzung. Wer selbst administriert hat, prüft anders: nicht entlang einer Liste, die abgehakt wird, sondern entlang der Stellen, an denen er weiß, dass im Alltag geschlampt wird – weil er dort selbst unter Zeitdruck stand.
Die Vision: Sicherheit muss man erklären können
Sicherheit soll nicht das Vorrecht derer sein, die sich eine eigene Abteilung dafür leisten können. Sie gehört erklärt – jedem, der etwas zu schützen hat.
Das Ziel hinter DEF.S3C ist nicht, möglichst viele Prüfungen zu verkaufen. Es ist, ein Bewusstsein dafür zu schaffen, wie Angriffe tatsächlich ablaufen – und zwar bei allen, die davon betroffen sind. Beim Geschäftsführer genauso wie bei der Person am Empfang, bei der Lehrerin genauso wie bei der Schülerin, beim Vereinskassier genauso wie bei der Familie am Küchentisch.
Deshalb hat diese Website eigene Seiten für Schulen, Vereine, Einzelunternehmen und Privatpersonen und nicht nur für Unternehmen mit IT-Abteilung. Deshalb steht auf jeder Leistungsseite ein Kasten, der die Fachbegriffe in normaler Sprache erklärt. Und deshalb gibt es eine eigene Seite, die ohne einen einzigen Fachbegriff erklärt, was ein Pentest überhaupt ist. Das ist kein Beiwerk – das ist der eigentliche Punkt.
Eine Prüfung, deren Bericht niemand versteht, verändert nichts. Ein Vortrag, nach dem die Zuhörer Angst haben, aber nicht wissen, was sie morgen anders machen sollen, ebenso wenig. Wirksam wird Sicherheit erst dort, wo jemand begreift, warum eine Maßnahme nötig ist – dann hält sie auch, wenn niemand hinsieht.
Die Person am Telefon ist dieselbe, die im Serverraum steht.
Bei größeren Anbietern spricht im Erstgespräch oft der Vertrieb, und im Test ein Team, das Sie nie kennenlernen. Bei DEF.S3C gibt es diesen Bruch nicht: Arian Schön führt das Erstgespräch, plant den Test und steht – bei physischen Prüfungen im Zweifel wörtlich – vor Ort. Das begrenzt, wie viele Aufträge gleichzeitig laufen können. Es bedeutet auch, dass niemand etwas zusagt, das die Technik später nicht halten kann.
Drei Dinge, die sich nicht verhandeln lassen.
Nachvollziehbarkeit
Jeder Fund trägt Zeitstempel, Beweis und CVSS-Score. Kein Test endet mit einem PDF, das man glauben muss – Sie sehen im Portal, wie der Befund entstanden ist.
Verschwiegenheit
Eine Verschwiegenheitserklärung liegt auf Wunsch schon vor dem Erstgespräch vor. Was wir bei Ihnen sehen, bleibt bei Ihnen.
Ehrliche Abgrenzung
Wenn eine Anfrage besser bei einem anderen Anbieter aufgehoben ist – etwa weil dauerhafte Überwachung nötig ist – sagen wir das im Erstgespräch, statt sie trotzdem anzunehmen.
DEF.S3C in Zahlen:
Zwei Angriffswege, ein Ansprechpartner, ein Portal
Läuft es gerade schief? Dann rufen Sie an, nicht später.
Eine Lösegeldforderung am Bildschirm, ein Postfach, das plötzlich weiterleitet, ein Zugang, den niemand angelegt hat: In den ersten Stunden entscheidet sich, wie teuer der Vorfall wird.
Damit Sie wissen, woran Sie sind: DEF.S3C betreibt kein 24/7-SOC und keine dauerhafte Überwachung. Wir leisten Erstreaktion und Aufarbeitung innerhalb vereinbarter Zeitfenster.