Wie MAIA die GObugfree-Plattform für Audits nutzt

Auf einen Blick

• MAIA lässt seine KI-Plattform mindestens zweimal jährlich extern auf Schwachstellen prüfen.
• Die GObugfree-Plattform bildet die gesamte Historie der Findings ab, von der Validierung über die Bewertung bis zur Behebung.
• Für Audits kann MAIA direkt nachweisen, welche Findings aufgetreten sind, wie sie bewertet wurden und wie das Unternehmen damit umgegangen ist.

Mathias, was genau macht MAIA?

MAIA ist vereinfacht gesagt eine Gen-AI für Unternehmenswissen und AI-Adaption. Unser Fokus liegt bisher vor allem auf Maschinenbau und MedTech. Dort gibt es grosse Mengen komplexer technischer Informationen: Produktdaten, Formeln, Zahlen, Zusammenhänge und viel Wissen, das über Jahre in Dokumenten festgehalten wurde oder in den Köpfen von Mitarbeitenden steckt.

Wir machen dieses Wissen zugänglich und nutzbar. Dafür können verschiedene Datenquellen eingebunden und auch individuelle Agents aufgebaut werden. Entscheidend ist für uns eine hohe Antwortqualität und nachvollziehbare Ergebnisse.

Warum ist Security für euch besonders wichtig?

Unsere Kunden arbeiten mit sehr sensiblen Informationen. Produktinformationen, Weiterentwicklungen, technisches Know-how und geistiges Eigentum können beispielsweise für Industriespionage besonders interessant sein.

Da wir eine Cloud-Lösung anbieten, ist gerade bei Industrieunternehmen das Vertrauen in den sicheren Umgang mit diesen Daten zentral. Externe Security Tests gehören für uns deshalb einfach dazu. Wir führen mindestens zweimal pro Jahr Pentests durch.

Wie habt ihr den GObugfree Bugtest eingesetzt?

GObugfree hat unsere Plattform im Rahmen eines fünftägigen Bugtests geprüft. Nach dem Test erhielten wir die Findings mit den entsprechenden Nachweisen und konnten diese direkt über die Plattform bearbeiten.

Der externe Security Test hilft uns, bestimmte Anforderungen abzudecken und gibt uns gleichzeitig eine unabhängige Einschätzung zur Sicherheit unserer Plattform.

Welchen Mehrwert bringt euch die GObugfree Plattform?

In der Plattform sehen wir die ganze Historie: was wurde wann gefunden, wie wurde das Finding nachgewiesen, wie haben wir es bewertet und was haben wir damit gemacht.

Für unseren ISO-Prozess ist das sehr wertvoll. Bei einem Audit können wir die Plattform öffnen und direkt zeigen, welche Findings es gab und wie wir damit umgegangen sind. Die Einträge haben einen Zeitstempel und die Findings wurden von GObugfree validiert.

Für ein Audit haben wir den Nachweis direkt in der Plattform, ohne die Informationen separat zusammenzusuchen.

Wie geht ihr mit Findings um?

Wir übernehmen die Einstufung eines Findings nicht automatisch eins zu eins. Ein CVSS-Score bildet die tatsächliche Relevanz für unsere konkrete Umgebung nicht immer vollständig ab. Deshalb bewerten wir Findings zusätzlich anhand von Wahrscheinlichkeit und möglichem Impact.

Diese Einschätzung können wir direkt in der Plattform dokumentieren, ebenso wie die Entscheidung, ein Finding zu beheben oder bewusst nicht umzusetzen. So bleibt nachvollziehbar, wie wir zu einer Entscheidung gekommen sind.

Was kam beim letzten Test heraus?

Es wurden keine kritischen Schwachstellen gefunden und nichts, was einen sofortigen Hotfix notwendig gemacht hätte. Es gab einige Findings im mittleren Bereich, die wir anschliessend geprüft und bearbeitet haben.

Für uns ist das ein gutes Ergebnis: Ein Security Test muss relevante Schwachstellen aufdecken. Menge ist kein Qualitätsmerkmal.

Wie verändert KI Security Testing aus deiner Sicht?

Das beschäftigt uns sehr, weil wir selbst stark mit KI und Agentic Coding arbeiten und sehen, wie rasant KI die Softwareentwicklung vorantreibt.

KI prägt inzwischen auch die andere Seite des Security Testings. Wir erhalten regelmässig E-Mails mit vermeintlichen Security Findings, die offenbar KI-generiert sind. Manche davon sehen auf den ersten Blick sehr glaubwürdig aus, obwohl dahinter kein wirklich relevantes Finding steckt. Für uns hält sich der Aufwand bislang allerdings in Grenzen. Solche Meldungen lassen sich mit einem Agenten in kurzer Zeit validieren.

Was hat euch an der Zusammenarbeit mit GObugfree gefallen?

Schon beim Kick-off war klar, was GObugfree von uns braucht und was wir am Ende bekommen. Danach hat das Team selbstständig gearbeitet, den Test sauber durchgeführt und die Ergebnisse gut erklärt. Für uns war die Zusammenarbeit dadurch sehr unkompliziert und stressfrei.

Würdet ihr GObugfree anderen Unternehmen empfehlen?

Ja. Die Zusammenarbeit war professionell, verlässlich und unkompliziert. Gerade bei einem Security Test ist es viel wert, wenn man weiss, was man bekommt und sich darauf verlassen kann, dass es sauber umgesetzt wird.