Offensive und Defensive IT-Security für Unternehmen

Ein Schwachstellenscan ist ein automatisierter Abgleich: Ein Werkzeug sucht nach bekannten Schwachstellen und liefert eine Liste möglicher Probleme – Fehlalarme inklusive. Ein Penetrationstest beginnt dort, wo der Scan aufhört. Unsere Tester klären von Hand, ob sich eine Lücke wirklich ausnutzen lässt, kombinieren einzelne Schwächen zu Angriffspfaden und zeigen, was ein Angreifer damit erreichen könnte. Fehler in Berechtigungskonzepten oder in der Geschäftslogik einer Anwendung bleiben einem Scanner dagegen meist verborgen.

Das hängt davon ab, was Sie schützen möchten und wo Ihre größten Risiken liegen – bei Webanwendungen und APIs, im internen Netzwerk, in der Cloud oder beim Faktor Mensch. Im unverbindlichen Scoping-Gespräch klären wir Ziele, Systeme und Testperspektive und schlagen Ihnen einen passenden Prüfumfang vor. Wollen Sie vor allem wissen, ob Ihre Erkennung und Reaktion funktionieren, kann ein Red Teaming die bessere Wahl sein.

Der Preis richtet sich nach dem Aufwand – und der hängt vom Prüfumfang ab: Anzahl und Komplexität der Systeme, Testperspektive (Black, Grey oder White Box), Anzahl der Benutzerrollen, gewünschte Prüftiefe und besondere Anforderungen an Testzeitfenster. Pauschalpreise ohne Scoping sind deshalb wenig aussagekräftig. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot – ohne versteckte Kosten und ohne Nachforderungen für den vereinbarten Umfang.

Eine einzelne Webanwendung mit wenigen Benutzerrollen ist deutlich schneller getestet als ein Unternehmensnetz mit mehreren Standorten oder ein mehrstufiges Red Teaming, das sich über Wochen erstrecken kann. Wie lange Ihr Test voraussichtlich dauert, besprechen wir deshalb bereits im Scoping. Den Testzeitraum stimmen wir so ab, dass er zu Releases, Wartungsfenstern und Ihrem Tagesgeschäft passt.

Wir arbeiten mit abgestimmten Regeln (Rules of Engagement), festgelegten Testzeiträumen und klaren Kommunikationswegen. Besonders sensible Systeme lassen sich in Testumgebungen, in Randzeiten oder mit zurückhaltenden Methoden prüfen – das legen wir gemeinsam fest. Ein Restrisiko lässt sich bei aktiven Tests nie völlig ausschließen; deshalb besprechen wir es vorab offen mit Ihnen.

Bewährt hat sich ein jährlicher Penetrationstest, ergänzt um Tests nach größeren Änderungen – z. B. vor dem Go-live einer neuen Anwendung, nach einer Cloud-Migration oder einem Umbau des Netzwerks. Regelwerke wie PCI DSS 4.0.1 oder DORA schreiben teils feste Prüfintervalle vor, und auch Ihre Kunden können regelmäßige Nachweise verlangen. Zwischen zwei Penetrationstests hilft eine regelmäßige Schwachstellenanalyse, neue Lücken früh zu erkennen.

Sie erhalten einen Bericht mit Management Summary, technischem Teil und priorisierten Maßnahmenempfehlungen; jede Schwachstelle ist mit Nachweis und CVSS-Bewertung dokumentiert. Dazu kommt eine Prüfbescheinigung, die Sie Kunden, Partnern, Versicherern oder Auditoren vorlegen können. Auf Wunsch stellen wir die Ergebnisse in einer Abschlussbesprechung vor, und nach der Behebung prüfen wir die Schwachstellen kostenlos erneut.

Ja, gern. Bei einem Penetrationstest erhalten wir Einblick in Architektur, Zugangsdaten und Schwachstellen – diese Informationen behandeln wir streng vertraulich. Auf Wunsch unterzeichnen wir bereits vor dem Scoping eine Vertraulichkeitsvereinbarung (NDA) – gern auch auf Basis Ihrer eigenen Vorlage.