Unsere Pentests führen Menschen durch: aktive Sicherheitsforscher und Bug-Bounty-Hunter. Sie prüfen Ihre Systeme so, wie ein Angreifer vorgehen würde, und belegen, was tatsächlich ausnutzbar ist. Automatisierte Scans ergänzen das, wo es schnell gehen oder regelmäßig wiederholt werden soll.
Meist gibt es einen konkreten Anlass. Diese fünf begegnen uns am häufigsten.
01
Ein Kunde verlangt einen Nachweis.
Große Auftraggeber fragen in Lieferanten-Fragebögen nach einer unabhängigen Prüfung. Die Prüfbescheinigung können Sie direkt weitergeben.
02
Ein neues System geht live.
Eine Anwendung, ein Onlineshop, eine App oder eine Schnittstelle nach außen.
03
Ein Umbau ist abgeschlossen.
Nach einer Migration, einem neuen Netzaufbau oder dem Wechsel in die Cloud.
04
Ein Audit steht an.
Zum Beispiel für ISO 27001, TISAX oder im Rahmen von NIS2.
05
Nach einem Sicherheitsvorfall.
Um zu prüfen, ob der Weg des Angreifers wirklich geschlossen ist.
Läuft der Vorfall noch? Dann ist kein Pentest der nächste Schritt. Rufen Sie uns an: 02151-4547786.
NIS2: Wer unter das neue BSI-Gesetz fällt, braucht Konzepte und Verfahren, mit denen sich die Wirksamkeit der eigenen Sicherheitsmaßnahmen bewerten lässt. Einen Pentest schreibt das Gesetz nicht ausdrücklich vor. Er ist aber ein belastbarer Weg, diese Wirksamkeit für technische Maßnahmen nachzuweisen.
Ein automatisierter Scan und ein manueller Pentest sind zwei verschiedene Leistungen. Beide sind nützlich. Wichtig ist nur, dass draufsteht, was drin ist.
Befunde werden einzeln gemeldet, nicht miteinander verbunden.
Wer prüft
Ein Werkzeug, das Ihre Systeme mit einer Datenbank bekannter Schwachstellen abgleichtEin Mensch, der vorgeht wie ein Angreifer und Werkzeuge gezielt einsetzt
Ergebnis
Liste von Befunden mit RohbewertungBericht mit Angriffsweg, Bewertung für Ihre Umgebung und priorisierten Maßnahmen
Tempo
Schnell und beliebig oft wiederholbar, gut für einen festen TaktBraucht mehr Zeit, sinnvoll zu festen Anlässen und in größeren Abständen
Manueller Pentest: alle sechs Bereiche von Menschen geprüft, relevante Befunde nachgestellt und belegt, dazu die Verkettung bis zum Zugriff.
Alle Kriterien im Überblick
Kriterium
Automatisierter Scan
Manueller Pentest
Wer prüft
Ein Werkzeug, das Ihre Systeme mit einer Datenbank bekannter Schwachstellen abgleicht
Ein Mensch, der vorgeht wie ein Angreifer und Werkzeuge gezielt einsetzt
Prüfläufe zwischen zwei manuellen Tests, nicht nur einmal im Jahr
Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
Wenn wir scannen, nennen wir es Scan.
3Team
Wer bei Ihnen prüft.
Geprüft wird bei uns auf dem Niveau von Sicherheitsforschern.
Unsere Pentests führen aktive Sicherheitsforscher und Bug-Bounty-Hunter durch, die Schwachstellen auch außerhalb von Kundenprojekten suchen und den Herstellern verantwortungsvoll melden. In Ihrem Test arbeiten sie genauso gründlich und mit derselben Arbeitsweise wie in ihrer eigenen Forschung.
Sie sprechen dabei direkt mit den Menschen, die prüfen: vom Erstgespräch über die Abstimmung während des Tests bis zur Abschlussbesprechung.
Zertifizierungen im Team
Im Team sind die gängigen Zertifizierungen für Penetrationstests vertreten. Die Abzeichen laufen im Band oben auf der Seite.
Methodik
Wir arbeiten nach CREST-Standard, einem international verbreiteten Rahmen für Ablauf und Qualität von Pentests.
Geprüft wird immer auf Forscherniveau. Wie viel wir prüfen, hängt vom gebuchten Zeitraum ab. Umfang und Dauer legen wir gemeinsam im Scoping fest, nach Ihrem Schutzbedarf und nicht nach Maximalumfang.
Black, Grey oder White Box?
Die drei Begriffe beschreiben, mit wie viel Vorwissen wir starten. An Gründlichkeit und Arbeitsweise ändert das nichts. Welche Ausgangslage passt, stimmen wir im Scoping ab.
Arbeitsweise: Forscherniveauin allen drei Ausgangslagen gleich
Was wir vorab bekommen
Freigegebene Ziele: ja
Benutzerzugang: nein
Aufbau, Konfiguration, Quellcode: nein
Gebuchte Zeit (Schema)
ErkundenPrüfung
Ausgangslage
Von außen, ohne Vorwissen
Was wir vorab bekommen
Nur die freigegebenen Ziele, etwa Adressen oder Domains
Welche Frage es beantwortet
Was erreicht ein Angreifer, der nichts über Ihr Unternehmen weiß?
Was das für den Test heißt
Ein Teil der gebuchten Zeit geht in das Erkunden. Bereiche hinter einer Anmeldung sind ohne Zugang nicht erreichbar.
Ausgangslage
Mit Zugang wie ein normaler Nutzer
Was wir vorab bekommen
Zusätzlich Zugangsdaten für ein oder mehrere Benutzerkonten und eine kurze Einführung
Welche Frage es beantwortet
Was erreicht ein angemeldeter Nutzer oder jemand, der ein Konto übernommen hat?
Was das für den Test heißt
Die Zeit fließt direkt in die Prüfung der Funktionen hinter der Anmeldung.
Ausgangslage
Mit Einblick in Aufbau und Konfiguration
Was wir vorab bekommen
Zusätzlich Unterlagen zum Aufbau, Konfigurationen, auf Wunsch Quellcode
Welche Frage es beantwortet
Wo stecken Schwachstellen, wenn man den Aufbau kennt, etwa vor dem Livegang eines Systems?
Was das für den Test heißt
Die Zeit fließt in die Prüfung mit vollem Überblick, auch über Teile, die von außen nicht sichtbar sind.
Bei gleichem Zeitraum bleibt die Arbeitsweise gleich. Es ändert sich nur, womit wir starten.
Was wir prüfen
Interne NetzwerkeWas ist möglich, wenn jemand bereits im Netz ist, etwa über einen kompromittierten Rechner? Rechte, Freigaben, Verbindungen zwischen Systemen.z. B. Micon GmbH
Externe NetzwerkeWas von Ihrem Unternehmen aus dem Internet erreichbar ist: Server, Dienste, Fernzugänge.
Webanwendungen und APIsAnmeldung, Rechte, Mandantentrennung, Schnittstellen zu anderen Systemen.z. B. SaaS-Anbieter (anonym)
E-Commerce-PlattformenShop, Bezahlweg, Kundenkonten und die Systeme dahinter.z. B. EDEKA
Cloud-UmgebungenKonfiguration, Rechte und Zugänge in Ihren Cloud-Diensten.
Mobile AppsDie App selbst und die Schnittstellen, mit denen sie spricht.
OT und ProduktionsanlagenSteuerungen und Netze in der Produktion, mit besonderer Rücksicht auf den laufenden Betrieb.
KI-AnwendungenChatbots, Assistenten und Agenten: was sie preisgeben, welche Aktionen sie auslösen können und wer sie dazu bringen kann.
Bei Produktionsanlagen legen wir besonders genau fest, was geprüft wird und wann. Empfindliche Systeme können Sie ausnehmen oder in ein eigenes Zeitfenster legen.
Red Teaming: Statt einzelner Systeme prüfen wir einen gezielten Angriff über mehrere Wege, so wie ein entschlossener Angreifer vorgehen würde. Das zeigt, ob Schutz, Erkennung und Reaktion zusammen funktionieren.
Menschen: Auch Mitarbeitende gehören zur Angriffsfläche. Realistische Phishing- und Telefon-Tests Social Engineering & Awareness
5Ablauf
So läuft ein Pentest.
Sechs Schritte, jeder mit klarer Zuständigkeit. Sie müssen zu Beginn nicht alles wissen. Was für den Test fehlt, klären wir gemeinsam.
1
Erstgespräch und Scoping
Kostenlos, 30 Minuten, telefonisch oder online. Wir klären Anlass, Ziele, Ausgangslage (Black, Grey oder White Box) und den Zeitraum. Danach erhalten Sie auf Wunsch ein Angebot.
2
Freigabe
Sie geben jedes Ziel einzeln frei und legen die Zeitfenster fest. Auf beiden Seiten steht ein fester Ansprechpartner.
3
Manuelle Prüfung
Unsere Sicherheitsforscher prüfen wie ein Angreifer, auch auf Logikfehler und verkettete Lücken.Kritische Befunde melden wir Ihnen sofort, noch während des Tests.
4
Bericht und Bescheinigung
Jeder Befund mit Bewertung, Nachweis und konkreter Maßnahme, dazu eine Zusammenfassung für die Geschäftsführung. Zusätzlich erhalten Sie eine Prüfbescheinigung für Dritte.
5
Abschlussbesprechungen
Getrennt für Technik und Geschäftsführung: einmal die Details zur Behebung, einmal Risiken und Entscheidungen in verständlicher Sprache.
6
Retestinklusive
Nach der Behebung prüfen wir erneut, ob die Maßnahmen wirken. Der Retest ist im Preis enthalten, das Ergebnis steht im Bericht.
Ein Bericht ist nur so gut wie das, was Sie daraus tun können. Deshalb steht bei jedem Befund, was er bedeutet, wie wir ihn nachgewiesen haben und was zu tun ist.
Lesbar für die IT. Und für die Geschäftsführung.
Beispiel aus einem anonymisierten Projekt, vereinfacht
Pentest-Bericht · AuszugBefund 01
Fehlende Mandantentrennung in der APIKunden können Daten anderer Kunden sehen
CriticalKritisch: sofort beheben
Ausgangslage
Grey Box, Webanwendung und API, 3 Wochen aktive TestphaseGeprüft mit einem normalen Kundenzugang
Auswirkung
Ein angemeldeter Nutzer kann über die API Datensätze anderer Mandanten abrufen.Vertrauliche Daten eines Kunden sind für andere Kunden erreichbar. Das betrifft Vertraulichkeit, Verträge und Datenschutz.
Nachweis
Nachgestellt mit einem Testkonto: Anfrage mit fremder Mandanten-Kennung, Antwort enthält fremde Datensätze.Wir haben den Zugriff mit einem Testkonto nachgestellt und dokumentiert.Testkonto Mandant AAnfrage Datensätze mit Kennung ‹Mandant B›Antwort Datensätze von Mandant B(stilisiert, ohne echte Daten)
Maßnahme
Mandantenzugehörigkeit bei jeder Anfrage serverseitig prüfen, nicht nur in der Oberfläche.Die Entwicklung passt die Rechteprüfung an, danach prüfen wir erneut.
Status
Retest: geschlossenBehoben und bestätigt
Kritische Funde melden wir sofortBehobenRetest: geschlossen
In diesem Projekt standen 31 Befunde im Bericht, davon 2 kritisch und 5 hoch. Nach dem Retest waren alle kritischen und hohen Befunde geschlossen. Zum Projekt
Was Sie erhalten
1Management-Zusammenfassung: Gesamtbild, die wichtigsten Risiken und Empfehlungen in verständlicher Sprache.
2Umfang und Methode: Was geprüft wurde, mit welchem Vorwissen, in welchem Zeitraum.
3Befunde: jeder mit Bewertung, Auswirkung und Nachweis.
4Maßnahmen: priorisiert, damit klar ist, was zuerst ansteht.
5Retest-Ergebnis: welche Befunde nach der Behebung geschlossen sind.
6Prüfbescheinigung: eine kurze Bestätigung der Prüfung, die Sie an Dritte weitergeben können, etwa an Kunden oder Versicherungen. Die Details des Berichts bleiben bei Ihnen.
Den Bericht übergeben wir verschlüsselt. Testdaten löschen wir nach Abschluss des Projekts.
7Projekte
Was wir geprüft haben.
SaaS-Anbieter, KMUanonym
Ausgangslage
Eine Webanwendung mit API, die mehrere Kunden auf einer gemeinsamen Plattform nutzen.
Vorgehen
Grey-Box-Pentest der Webanwendung und API, drei Wochen aktive Testphase. Retest sechs Wochen nach dem Bericht.
Ergebnis
31 Befunde, davon 2 kritisch und 5 hoch, unter anderem eine fehlende Mandantentrennung. Nach dem Retest waren alle kritischen und hohen Befunde geschlossen.
31 Befunde2 Critical5 High
EDEKAE-Commerce
Vorgehen
Mehrere Penetrationstests der E-Commerce-Plattformen und begleitende Beratung, gemeinsam mit spezialisierten Partnern.
Ergebnis
Kritische Lücken wurden nach unseren Empfehlungen geschlossen.
MICON
Micon GmbH, KrefeldMetallurgie und Rohstoffe
Vorgehen
Schwachstellenanalyse und Pentests der internen Netzwerke.
Ergebnis
Konkrete Empfehlungen, mit denen sich die gefundenen Schwachstellen schließen lassen.
Wo ein Kunde nicht genannt werden möchte, beschreiben wir das Projekt ohne Namen, mit Branche, Größe und Ergebnis.
Auch Menschen gehören zur Angriffsfläche: Für einen Automobilzulieferer mit mehreren Werken haben wir Phishing- und Telefon-Tests durchgeführt, die Belegschaft sechs Monate begleitet und danach erneut geprüft. Social Engineering & Awareness
8Ergänzung
Und bis zum nächsten Pentest?
Ein Pentest zeigt den Stand zu einem Zeitpunkt. Damit neue Lücken nicht bis zum nächsten Test unbemerkt bleiben, ergänzen wir ihn auf Wunsch um wiederkehrende Prüfläufe: Netzwerk-Scan und automatisierte Pentests in NXN Compliance OS, nur gegen freigegebene Ziele, jeder Lauf im Audit-Log. Aus einem Fund werden dort Befund, Risiko, Aufgabe und Nachweis.
Den manuellen Test ersetzt das nicht. Es sorgt dafür, dass Sie zwischen zwei Tests nicht im Unklaren sind.
NXNNXN Compliance OS
Wiederholbare Prüfläufe statt Momentaufnahme
Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
Aus dem Fund wird Befund, Risiko, Aufgabe und Nachweis
Im kostenlosen Erstgespräch klären wir Ziele, Ausgangslage und Zeitraum. Danach erhalten Sie auf Wunsch ein Angebot, der Retest ist darin enthalten. Auf Ihre Anfrage meldet sich unser Team.
