Schwachstellen finden, bevor es weh tut.
- 01 Scope
- 02 Recon
- 03 Enumeration
- 04 Exploitation
- 05 Report
Manuelle Penetrationstests für Netzwerk, Web, Cloud, Active Directory und Menschen. Wir simulieren einen realistischen Angriff – kontrolliert, dokumentiert, mit klarem Weg zur Fix-Umsetzung.
Lücken belegen, statt vermuten.
Kritische Schwachstellen werden gefunden, bevor sie ausgenutzt werden. Sie erhalten belegte Angriffswege statt spekulativer Risiko-Bewertungen.
Nachweise, die Audits standhalten.
ISO 27001, TISAX® und BSI IT-Grundschutz fordern regelmäßige technische Prüfungen. Unser Bericht ist so aufgebaut, dass er sich direkt als Nachweis einreichen lässt.
Ein Argument gegenüber Ihren Kunden.
Ein extern geprüftes Sicherheitsniveau ist ein hartes Argument im Vertrieb – gegenüber Kunden, Partnern und Aufsichtsbehörden.
Black Box
Angriff ohne Vorwissen. Wir prüfen, wie weit ein externer Angreifer allein mit öffentlich verfügbaren Informationen in Ihre Systeme eindringen kann.
Grey Box
Der häufigste Ansatz. Wir erhalten Nutzerrechte (z. B. Mitarbeiter-Login) und prüfen Rechteausweitung, Lateral Movement und Zugriff auf fremde Daten.
White Box
Vollzugriff auf Quellcode, Architektur und Dokumentation. Für kritische Webanwendungen und Infrastrukturen, bei denen wir tiefe Logikfehler aufdecken sollen.
Scoping
Was wird getestet, wann, mit welchen Grenzen. Wir legen Ziele, Zeitfenster und Rules of Engagement schriftlich fest – inklusive Notfall-Kommunikationsweg.
Reconnaissance
Öffentlich verfügbare Informationen sammeln: Domains, Subdomains, exponierte Assets, Mitarbeiter, eingesetzte Technologien. Der Ausgangspunkt jedes ernsthaften Angriffs.
Enumeration
Systematisches Scannen von Ports, Diensten, Endpoints und Konfigurationen. Die ersten Angriffsvektoren werden identifiziert und priorisiert.
Exploitation
Kontrolliertes Ausnutzen der Schwachstellen. Rechteausweitung, Lateral Movement, Datenzugriff – jeder Schritt wird dokumentiert und mit Ihnen rückgekoppelt, bevor er Systeme beeinträchtigen könnte.
Reporting & Retest
Bericht in zwei Ebenen: Management Summary und technische Details mit reproduzierbarem Proof-of-Concept und priorisierten Fix-Empfehlungen. Nach der Behebung prüfen wir nach.
Ein Bericht, mit dem man arbeiten kann.
Jede Lücke mit Nachweis, Risiko und Fix. Verständlich für die Geschäftsführung, präzise genug für die Entwicklung. Kein Fachchinesisch, keine seitenweise Scanner-Rohausgabe.
Wenn Sie behoben haben, testen wir nach – die Verifikation der Fix-Umsetzung ist Teil des Pakets, nicht ein Folgeauftrag.
- Kapitel 01
- Management Summary für Entscheider
- Kapitel 02
- Technische Details mit Proof-of-Concept
- Kapitel 03
- Mitigation Guide priorisiert nach Aufwand / Impact
- Nach Fix
- Retest inklusive
Was ist der Unterschied zu einem automatischen Scan?
Ein Vulnerability-Scanner prüft, ob ein Fenster offen ist. Ein Pentest ist ein Einbrecher, der das Schloss knackt. Wir finden die Ketten aus kleinen Fehlern und Logikproblemen, die ein Scanner nicht sieht – und die in der Realität den Unterschied machen.
Wann brauche ich welchen Test – Black, Grey oder White Box?
Black Box für den ersten Realitätscheck von außen. Grey Box, wenn Sie wissen wollen, was ein kompromittierter Mitarbeiter anrichten könnte – der häufigste Fall. White Box, wenn Sie eine kritische Anwendung wirklich tief geprüft haben wollen. Häufig ist eine Kombination sinnvoll.
Ist das gefährlich für meine Produktivsysteme?
Nein. Angriffe, die Systeme spürbar beeinflussen könnten (Exploits mit Absturzrisiko, Denial-of-Service, destruktive Payloads), führen wir nur nach ausdrücklicher Freigabe durch – und bevorzugt in einer bereitgestellten Testumgebung. Der Rest ist auf Produktivsystemen sicher.
Bereit für den Ernstfall?
Ein kurzes Erstgespräch reicht, um zu klären, welcher Test in Ihrer Situation sinnvoll ist. Unverbindlich, ohne Verkaufsdruck.