Flow-Monitoring, Vorratsdatenspeicherung, Threat Intelligence, Schwachstellen-Scans und NIS2-Meldungen laufen auf einer Plattform. Einen Angriff stoppen Sie per RTBH beim Upstream, und die Meldung an die Behörde ist vorausgefüllt, bevor Sie sie zu schreiben beginnen.
Ein typischer ISP betreibt fünf getrennte Werkzeuge, fünf Lizenzen und fünf Orte, an denen man Kontext sucht. Jedes weitere System erhöht die Komplexität, die Integrationskosten und das Risiko, dass etwas dazwischen verloren geht.
Eigener Kollektor, eigene Datenbank, eigene Lizenz.
Eine gesetzliche Pflicht, gelöst durch ein weiteres System und einen weiteren Speicher.
Feeds, die irgendwo geladen und irgendwo ausgewertet werden — nicht dort, wo die Flows liegen.
Ein weiteres Werkzeug, eine weitere Konsole, ein weiterer Report, den niemand mit dem Betrieb verbindet.
Tabellen, geteilte Dokumente und Fristen, die von Hand überwacht werden.
Alle fünf Bereiche arbeiten auf denselben Daten. Stoßen Sie im Flow-Datensatz auf eine verdächtige Adresse, sind Reputation, ASN, Angriffshistorie und die Verbindung zu einem offenen Vorfall auf demselben Bildschirm.
Die Aufzeichnung aus dem Livesystem zeigt den Weg vom Flow-Datensatz zur gesperrten Adresse und zur vorausgefüllten Meldung. Ein Video ist schön, aber auf fremden Daten entscheidet man nicht — deshalb bieten wir eine Demo auf Ihrem eigenen Verkehr an.
Wir setzen das System in Ihr Netz und lassen es auf echtem Verkehr laufen. Sie sehen eigene Flows, eigene Angriffe und eigene Schwachstellen — keine vorbereitete Vorführung.
Das Video ist auf Tschechisch mit tschechischen Untertiteln. Eine deutschsprachige Vorführung findet live statt.
Demo auf meinen Daten anfragenFür Internetanbieter und Betreiber von Netzinfrastruktur — kein allgemeines Sicherheitswerkzeug, das ISPs erst nachträglich entdeckt hat.
Internetanbieter mit eigener Netzinfrastruktur in der Region.
Betreiber städtischer Netze und metropolitaner Glasfaserinfrastruktur.
Betreiber mit komplexer Backbone-Infrastruktur.
Betreiber von Colocation- und Cloud-Infrastruktur.
Konnektivitätsanbieter für kritische staatliche und industrielle Netze.
Weniger Lizenzen, weniger Server, weniger Integrationen. Eine Plattform statt fünf Werkzeugen mit eigenen Lizenzgebühren.
Ein System statt mehrerer getrennter. Das Team kümmert sich um Sicherheit, nicht um Werkzeugpflege.
Einen Vorfall untersuchen Sie in Minuten. Der Kontext — Flows, Bedrohungen, Schwachstellen — liegt an einem Ort.
Nachweise und Meldungen an einem Ort, mit allen fünf Meldephasen und der jeweils verbleibenden Zeit.
Tiefe Verkehrsanalyse, Bedrohungserkennung, Mitigation und regulatorische Unterstützung über einen Datenbestand.
Jeder IP-Flow wird in Echtzeit analysiert. IPFIX, NetFlow v9 und Mirroring nativer Schnittstellen.
22 vordefinierte Regeln in drei Familien: Fluten auf Ihre Adressen, Fluten von einem Ihrer Hosts und Scans samt Sweeps. UDP- und TCP-SYN-Flood, Reflexionsangriffe über DNS, NTP, LDAP, SSDP, memcached und chargen, Portscan und Address Sweep. Von einer gespiegelten Schnittstelle benennt das System einen Angriff innerhalb von Sekunden.
Jeder Flow wird mit der Quellenreputation aus acht Feeds angereichert — FireHOL, abuse.ch Feodo und ThreatFox, AlienVault OTX, Emerging Threats Open und MISP. Kommunikation mit Infrastruktur aus Botnetzen und Malware-Kampagnen erkennen Sie, ohne die Payload zu lesen.
Das Modul kennt die NIS2-Pflichten und setzt die tschechische Umsetzung im Detail um (Gesetz Nr. 264/2025 Slg. sowie Verordnungen 409/2025 und 410/2025 Slg.). Es bestimmt das Regime, entscheidet, was ein meldepflichtiger Vorfall ist, und überwacht alle fünf Meldephasen samt Restzeit. Für andere nationale Umsetzungen passen wir das Modul an.
Laufender Abgleich dessen, was im Routing tatsächlich announced wird, mit dem, was Präfixinhaber per ROA autorisiert haben. Eine Abweichung ist ein starkes Signal für einen Präfix-Hijack, ein Route Leak oder einen Konfigurationsfehler.
Aktives und passives Scannen, CVE und CVSS ergänzt um EPSS und KEV — Priorisierung danach, was tatsächlich ausgenutzt wird.
Sie sehen den Angriff nicht nur — das System kappt ihn selbst per RTBH oder FlowSpec beim Upstream-Peer.
Aus Hunderttausenden Scan-Datensätzen wird ein aggregierter. Kleinere Datenbank, schnellere Untersuchung.
FireHOL, abuse.ch Feodo und ThreatFox, OTX, ET Open und MISP — einschließlich Anbindung an Ihren eigenen MISP-Server.
Daten direkt aus den RIR-Registern, mit RPKI-Validierung, BCP-38, MANRS und CAIDA-Rank.
10.542 überwachte Abweichungen zwischen dem, was announced wird, und dem, was autorisiert ist.
CSV, JSON und PDF in jedem Bereich — Flows, Angriffe, ASN, Vorfälle und forensische Analysen.
Das System erfasst Daten über NetFlow v9, IPFIX, Packet Mirroring und TCPdump — aus mehreren Kollektoren, Standorten und Rechenzentren gleichzeitig. Die Erfassungsmethoden lassen sich kombinieren und die verteilte Architektur ohne Begrenzung erweitern, während das Netz wächst.
Übliche Systeme speichern jeden Verbindungsversuch einzeln. Bei Scans oder DDoS entstehen so Hunderttausende bis Millionen Datensätze, die die Datenbank belasten und die Speicherkosten treiben. Das System erkennt Portscans, Brute Force, DDoS-Verkehr und einseitige Verbindungsversuche und überführt sie in aggregierte Datensätze.
Jeder erkannte Angriff lässt sich in die Tiefe zerlegen — über seine Kennung oder durch Prüfung einer konkreten IP-Adresse in einem Zeitfenster. Analysen werden gespeichert, sodass Sie auch einen Monat später darauf zurückkommen, wenn Sie den Abschlussbericht schreiben.
Zu jeder IP-Adresse wissen Sie sofort, wem sie gehört, welche ASN-Reputation sie hat, worüber der Verkehr geleitet wird und welche Beziehungen dieses Netz unterhält. Die Daten stammen aus RIPE NCC (5,0 Mio. Einträge), APNIC (1,2 Mio.), LACNIC, AFRINIC und ARIN über RDAP.
Das System vergleicht laufend, was im Internet-Routing tatsächlich announced wird, mit dem, was Präfixinhaber per ROA autorisiert haben. Eine Route, für die eine abdeckende ROA existiert, die aber das announcende AS nicht autorisiert, ist ein starkes Signal für einen Präfix-Hijack, ein Route Leak oder einen Konfigurationsfehler.
In der Datenbank befinden sich derzeit 10.542 solcher Abweichungen — zu jeder sehen Sie das announcende AS, die autorisierten AS und das betroffene Präfix, mit Export nach PDF und JSON.
Der integrierte Scanner prüft Geräte im Netz in zwei Modi: ein Schnellscan höchstens einmal pro Stunde je Subnetz und ein Vollscan einmal täglich, beide in parallelen Blöcken — ein großes Netz verlängert die Scandauer daher nicht linear.
Das System erkennt nicht nur. Es kann den Angriff bei Ihrem Upstream-Peer stoppen — bevor er Ihren Uplink füllt.
Für jede Aktion legen Sie fest, ab welchem Schweregrad sie auslöst und wie sie mit verspäteten Erkennungen aus Exportern umgeht. Ein Blackhole lässt sich auch manuell für ein bestimmtes Präfix announcen, mit Gültigkeitsdauer oder bis auf Widerruf — und jedes aktive Announcement mit einem Klick zurückziehen.
Die Plattform ist so ausgelegt, dass sie in die bestehende Infrastruktur des Betreibers passt. Die Anbindung läuft über eine REST-API und Webhooks — an praktisch jedes CRM-, Billing- oder Betriebssystem, das ein ISP einsetzt.
Wenn Sie um drei Uhr nachts einen Vorfall bearbeiten, springen Sie nicht zwischen drei Fenstern und zwei SSH-Sitzungen. Der Kontext, den Sie brauchen, liegt auf demselben Bildschirm wie der Flow-Datensatz, der Sie hergeführt hat.
Das System bewältigt Verkehr bis 100 Gbit/s. Die Datenerfassung lässt sich auf mehrere Kollektoren und Probes verteilen, sodass die Architektur mit Ihrem Netz wächst — auch über mehrere Standorte und Rechenzentren.
Wir betreiben die Plattform, Sie verbinden sich. Der schnellste Weg zu ersten Daten, ohne Hardwarebeschaffung und ohne Eingriff in Ihre Infrastruktur.
Sie installieren die Software in Ihrer eigenen Virtualisierung. Die Daten verlassen Ihr Netz nie — für Vorratsdatenspeicherung und für Betreiber mit eigener Richtlinie zum Umgang mit Verkehrsdaten meist die einzig akzeptable Variante.
Zertifiziertes Gerät zur Miete, inklusive Austausch im Störungsfall, Firmware, Monitoring, Fernwartung und SLA. Der Termin hängt von der Hardwareverfügbarkeit ab.
Das Modul bleibt nicht beim allgemeinen Wortlaut der Richtlinie. Es setzt die tschechische Umsetzung — Gesetz Nr. 264/2025 Slg. samt Verordnungen 409/2025 und 410/2025 Slg. — im Detail um. Der Pflichtenrahmen ist EU-weit derselbe; für andere nationale Umsetzungen passen wir das Modul an.
Ein Anbieter eines öffentlichen Kommunikationsnetzes oder -dienstes ist unabhängig von der Größe reguliert — die Ausnahme für Kleinunternehmen gilt für Sie nicht. Über das Regime entscheiden Unternehmensgröße oder Reichweite: höhere Pflichten ab 350.000 aktiven SIM oder 100.000 Festanschlüssen, sonst niedrigere Pflichten. Eine Organisation heißt ein Regime.
Ein meldepflichtiger Vorfall hat drei Merkmale zugleich: Er trat im von Ihnen abgegrenzten Bereich des Sicherheitsmanagements auf, hat seinen Ursprung im Cyberraum, und eine vorsätzliche Ursache lässt sich binnen 24 Stunden nicht ausschließen. Das System kennt diese Merkmale und zeigt Ihnen, warum ein Ausfall zu melden ist und ein anderer nicht.
Erstmeldung ≤ 24 h · Meldung ≤ 72 h (Vertrauensdienste 24 h) · Zwischenbericht auf Anforderung der Behörde · Statusbericht nach 30 Tagen, wenn der Vorfall noch offen ist · Abschlussbericht ≤ 30 Tage nach Behebung. Zu jeder Phase sehen Sie die verbleibende Zeit — oder die Überschreitung.
Meldung an die Behörde, Kontaktdaten, Sicherheitsmaßnahmen innerhalb der gesetzlichen Frist sowie unverzügliche Reaktion auf Warnungen und reaktive Gegenmaßnahmen. Behördenkontakte samt Notfallnummern liegen direkt im System, aufgeteilt nach Ihrem Regime.
| Situation | Ergebnis |
|---|---|
| Nutzer klickte auf Phishing und gab Zugangsdaten ein | Vorfall — meldepflichtig |
| Phishing kam an, aber niemand klickte | Ereignis — nicht meldepflichtig |
| Ausfall während geplanter Wartung | Kein Vorfall — Vorsatz ausgeschlossen |
Nicht zu melden — zu spät, gar nicht oder unter Auslassung der Folgeberichte — ist eine Ordnungswidrigkeit. Die Meldung selbst löst keine Prüfung aus; Vorfälle treffen auch gut abgesicherte Organisationen.
Health Monitor überwacht die Verfügbarkeit der Dienste und gruppiert Ausfälle selbst zu Kandidaten für einen NIS2-Vorfall — mit berechneter Auswirkung und einer Einschätzung, ob die Ursache nach einem Cyberangriff aussieht.
Sie entscheiden dann nur noch. Einen Betriebsausfall weisen Sie ab. Einen echten Vorfall stufen Sie zur Meldung hoch, die bereits vorausgefüllt ist und die Nachweise mitbringt: welche Angriffe, von welchen Adressen, mit welchem Schweregrad.
Die gesetzliche Frist beginnt erst mit Ihrer Entscheidung — bis dahin weist das System nur darauf hin, dass es etwas zu bewerten gibt. Diese Grenze halten wir bewusst ein: Was ein Vorfall ist, entscheidet Ihre verantwortliche Person, nicht die Software.
| Funktion | Protectione | Übliches NetFlow | SIEM |
|---|---|---|---|
| Flow-Monitoring | ✓ | ✓ | ~ |
| Vorratsdatenspeicherung | ✓ | ~ | ✕ |
| Threat Intelligence | ✓ | ✕ | ✓ |
| Schwachstellenmanagement | ✓ | ✕ | ~ |
| Mitigation per RTBH / FlowSpec | ✓ | ✕ | ✕ |
| NIS2 nach nationalem Recht | ✓ | ✕ | ~ |
| RPKI und ASN Intelligence | ✓ | ✕ | ✕ |
| ISP-Spezialisierung | ✓ | ~ | ✕ |
| Einheitliche Plattform | ✓ | ✕ | ✕ |
Der Preis richtet sich nach der Zahl der ISP-Kunden. Keine versteckten Gebühren. Preise ohne MwSt. und für das Band 500–1.000 Kunden; größere Netze werden nach Band berechnet.
Jederzeit kündbarer Vertrag.
Rabatt auf den Gesamtpreis bei zweijähriger Bindung.
Rabatt auf den Gesamtpreis bei dreijähriger Bindung.
Rabatt bei Zahlung ein Jahr im Voraus.
Zertifiziertes Gerät zur Miete: Hardware, Austausch im Störungsfall, Firmware, Monitoring, Fernwartung und SLA-Garantie. Nach Ablauf des Vertrags eine Servicepauschale von 1.000 CZK monatlich oder Ankauf zum symbolischen Preis.
| ISP-Kunden | Start | Advanced | Complete |
|---|---|---|---|
| 500–1 000 | 5 000 | 7 000 | 10 000 |
| 1 001–2 000 | 7 000 | 9 000 | 13 000 |
| 2 001–5 000 | 9 000 | 12 000 | 16 000 |
| 5 001–10 000 | 12 000 | 16 000 | 20 000 |
| 10 001–20 000 | 15 000 | 20 000 | 25 000 |
| 20 001+ | auf Anfrage | auf Anfrage | auf Anfrage |
Monatlich in CZK, ohne MwSt.
Die Preise sind in CZK angegeben; ein Angebot in Euro erstellen wir auf Anfrage. Ab 20.000 Kunden erstellen wir ein individuelles Angebot. Eine garantierte Reaktionszeit (SLA) ist eine eigenständige Leistung zusätzlich zum Tarif.
Die Cloud- und die virtuelle Version sind in 48 Stunden einsatzbereit. Die Hardware-Appliance in einer Woche, je nach Geräteverfügbarkeit. Für die virtuelle Version benötigen wir Ressourcen in Ihrer Virtualisierung und Zugang zu einer gespiegelten Schnittstelle oder einen konfigurierten NetFlow- bzw. IPFIX-Export Ihrer Router.
Bis 100 Gbit/s. Die Erfassung lässt sich auf mehrere Probes und Kollektoren verteilen, auch über Standorte und Rechenzentren hinweg — die Architektur wächst mit dem Netz.
Von einer gespiegelten Schnittstelle innerhalb von Sekunden. Datensätze von IPFIX- und NetFlow-v9-Exportern treffen je nach Routerkonfiguration 15 bis 60 Sekunden nach Verbindungsende ein — das System wertet auch diese aus und kennzeichnet sie als verspätet.
Die Empfindlichkeit stellen Sie mit einem Regler in vier Stufen ein — von hoch für ruhige Netze bis sehr niedrig für Backbone und Transit. Jede einzelne Schwelle lässt sich separat feinjustieren, und Adressen, auf die nie reagiert werden soll, kommen auf eine Whitelist.
Für jede Reaktion legen Sie fest, ab welchem Schweregrad sie auslöst. Die Whitelist arbeitet auch granular — je IP, Port oder Protokoll und getrennt für LAN- und WAN-Seite. Aktive Blackholes stehen in einer Tabelle und lassen sich einzeln mit einem Klick zurückziehen.
Bei der virtuellen und der Hardware-Appliance ja — das System läuft in Ihrem Netz und die Daten verlassen es nicht. Die Cloud-Variante richtet sich an Betreiber, die schnell starten wollen, ohne eigene Hardware; ein Wechsel zwischen den Varianten ist möglich.
Ja — SNMP-Trap, Syslog und URL-Callback gehören zu den Reaktionen des Detektors. Dazu kommt eine REST-API für CRM, Billing, Kundenportal oder Ticketsystem.
Neben CVSS lädt das System EPSS (Ausnutzungswahrscheinlichkeit) und den KEV-Katalog der CISA mit nachweislich ausgenutzten Schwachstellen. Sie patchen nach dem, was wirklich droht.
Das System hat einen Stabilitätstestmodus, der genau solche Geräte findet, und Subnetze wie einzelne Adressen lassen sich vom Scan ausnehmen.
Die Daten gehören Ihnen und ein Export ist jederzeit möglich. Abgerechnet wird nach Datenvolumen gemäß gültiger Preisliste. Den konkreten Betrag berechnen wir Ihnen im Voraus, nicht erst beim Abschied.
Basissupport auf Deutsch und Tschechisch ist im Dienst enthalten. Eine garantierte Reaktionszeit (SLA) ist ein eigenes Monatsabonnement zusätzlich zum Tarif.
Fünfundvierzig Minuten, online, unverbindlich. Wir gehen gemeinsam durch, wie die Plattform bei Ihnen aussähe — wie viele Systeme sie ersetzen würde, wie die NIS2-Meldung bei Ihnen abliefe und was das für Ihr Team bedeutet. Wir führen einzeln durch, deshalb sind die Antworten konkret statt allgemein.
| Dauer | 45 Minuten |
| Format | Online-Videogespräch |
| Teilnehmer | Ihr Team, so viele Sie brauchen |
| Für | ISP-Inhaber, CTOs, Netz- und Sicherheitsteams |
| Preis | Kostenlos und unverbindlich |
Nach dem Absenden melden wir uns innerhalb eines Werktags und vereinbaren einen Termin, der Ihnen passt.
Interesse an einer Demo, einem Pilotbetrieb oder einfach mehr Informationen? Wenden Sie sich direkt an uns. Wir antworten in der Regel innerhalb von 24 Stunden an Werktagen.
Eine Plattform. Eine Datenbank. Ein Dashboard.
