Français
Nederlands
EnglishPenetrationstests
Wissen, was ein Angreifer finden würde, bevor er es findet. Wir testen Ihre Anwendungen, Netzwerke und Mitarbeitenden in einem autorisierten Rahmen und übergeben Ihnen anschließend nach Priorität geordnete Korrekturmaßnahmen.
Wann ein Penetrationstest sinnvoll ist
- Vor der Inbetriebnahme einer Anwendung oder API.
- Nach einer wesentlichen Änderung Ihrer Infrastruktur oder einer Migration.
- Um die Wirksamkeit Ihrer Sicherheitsmaßnahmen im Rahmen von NIS2, CyFun oder ISO 27001 nachzuweisen.
- Auf Verlangen eines Kunden, eines Versicherers oder eines Auditors.
- Nach einem Vorfall, um sicherzustellen, dass keine Tür offen geblieben ist.
Was wir testen
Webanwendungen und APIs
Authentifizierung, Sitzungsverwaltung, Rechteprüfung, Injections und Geschäftslogik.
Externe Infrastruktur
Was im Internet erreichbar ist: Dienste, Fernzugänge, E-Mail-Systeme und Konfigurationen.
Interne Infrastruktur
Was ein Angreifer von einem kompromittierten Arbeitsplatz aus erreichen könnte: Verzeichnisdienst (Active Directory), Freigaben, privilegierte Konten.
Schwachstellenbewertung
Erfassung der bekannten Schwachstellen Ihrer Systeme und Priorisierung der Korrekturen nach dem tatsächlichen Risiko.
Simuliertes Phishing
Test- und Sensibilisierungskampagnen, um die Reflexe Ihrer Mitarbeitenden zu messen und zu verbessern.
KI-gestützte Tests
Auf offensive Sicherheit spezialisierte KI-Werkzeuge erweitern die Abdeckung und beschleunigen die Analyse. Jedes Ergebnis wird von einem Experten geprüft, innerhalb des autorisierten Umfangs und unter der Vertraulichkeit des Auftrags.
Ablauf
Jeder Test verbindet die manuelle Analyse eines Spezialisten (Geschäftslogik, Verkettung von Schwachstellen, Umgehung von Kontrollen) mit anerkannten Werkzeugen. Wir folgen öffentlichen Referenzrahmen: dem Web Security Testing Guide der OWASP für Anwendungen und APIs, dem PTES und NIST SP 800-115 für Infrastrukturen.
Festlegung
Ziele, Umfang, Termine und Notfallkontakte werden schriftlich festgelegt. Kein Test beginnt ohne Ihre unterschriebene Genehmigung.
Tests
Manuelle Analyse sowie Werkzeuge zur Kartierung, Schwachstellensuche und Ausnutzung, in den vereinbarten Zeitfenstern und unter Berücksichtigung sensibler Systeme.
Bericht
Jede Schwachstelle wird nachgewiesen, nach Kritikalität eingestuft und mit einer Korrekturempfehlung versehen. Eine Zusammenfassung richtet sich an die Geschäftsleitung.
Ergebnisbesprechung
Präsentation der Ergebnisse für Ihre Teams und Priorisierung der Korrekturen. Auf Wunsch prüft ein Nachtest deren Wirksamkeit.
Häufige Fragen
Was ist der Unterschied zwischen einem Schwachstellenscan und einem Penetrationstest?
Der Scan erfasst automatisch bekannte Schwachstellen. Der Penetrationstest geht weiter: Ein Spezialist prüft, ob sie ausnutzbar sind, kombiniert sie und ermittelt, wie weit ein Angreifer kommen könnte.
Kann der Test unsere Systeme beeinträchtigen?
Das Risiko wird eingegrenzt: im Voraus festgelegter Umfang und feste Zeitfenster, an sensible Systeme angepasste Methoden und direkter Kontakt mit Ihren Teams während der Tests. Die invasivsten Maßnahmen erfolgen nur mit Ihrer ausdrücklichen Zustimmung.
Ist ein Penetrationstest unter NIS2 Pflicht?
Die NIS2-Richtlinie schreibt ihn als solchen nicht vor, doch ihr Artikel 21 verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen. Der Penetrationstest ist eines der konkretesten Mittel, dies nachzuweisen.
Wie lange dauert ein Test?
Das hängt vom Umfang ab: einige Tage für eine gezielte Anwendung, mehr für eine umfangreiche Infrastruktur. Das Angebot nennt Dauer, Methode und Ergebnisdokument.
Setzen Sie bei den Tests künstliche Intelligenz ein?
Ja, als ergänzendes Werkzeug: Auf offensive Sicherheit spezialisierte Modelle erweitern die Abdeckung und beschleunigen die Analyse, doch jedes Ergebnis wird von einem Experten geprüft, bevor es in den Bericht aufgenommen wird. Die Daten Ihres Auftrags werden nicht zum Training dieser Modelle verwendet, und ihr Einsatz bleibt auf den von Ihnen genehmigten Umfang beschränkt.