Leistung · Penetrationstest
Penetrationstest: Schwachstellen finden, bevor es andere tun
Wir prüfen Ihre Webanwendungen, Schnittstellen, Netzwerke, Cloud-Umgebungen und Verzeichnisdienste systematisch und überwiegend manuell – so, wie ein Angreifer es tun würde, aber mit einem Bericht, der Ihnen den Weg zur Behebung zeigt.
Worum es geht
Tiefe statt Breite – manuell, nachvollziehbar, behebbar
Automatisierte Scanner finden, was in Datenbanken steht. Die Schwachstellen, die Angreifer tatsächlich nutzen, stecken in Geschäftslogik, Berechtigungen, Verkettungen und Konfigurationsdetails. Dafür braucht es Menschen.
Unsere Penetrationstests folgen anerkannten Methoden – OWASP Testing Guide und ASVS für Anwendungen, PTES und der BSI-Praxisleitfaden IS-Penetrationstest für Infrastruktur – und gehen dort in die Tiefe, wo es für Ihr Geschäft zählt. Jedes Finding enthält den Nachweis, die Bewertung nach CVSS, die Ursache und eine konkrete, priorisierte Maßnahme.
Der Penetrationstest ist zugleich die Grundlage für alles Weitere: Wer seine Angriffsfläche kennt und die kritischen Lücken geschlossen hat, ist bereit für Assumed Breach und Red Teaming.
Prüfobjekte
- Webanwendungen und PortaleAuthentifizierung, Sessions, Berechtigungen, Injection, Geschäftslogik, Datei-Uploads, Mandantentrennung.
- APIs und SchnittstellenREST, GraphQL, SOAP: Autorisierung je Objekt, Rate Limiting, Massenzuweisung, Token-Handling.
- Externe InfrastrukturAlles, was aus dem Internet erreichbar ist: Perimeter, VPN, Mailserver, exponierte Dienste, Zertifikate.
- Interne Infrastruktur und Active DirectorySegmentierung, Protokolle, Berechtigungspfade, Dienstkonten, Administrationswege.
- Cloud-UmgebungenMicrosoft 365, Entra ID, Azure, AWS: Identitäten, Rollen, Konfiguration, exponierte Ressourcen.
- Mobile Apps und Fat ClientsLokale Datenhaltung, Kommunikation, Backend-Anbindung, Reverse Engineering.
Vorgehen
Vier Phasen, ein nachvollziehbares Ergebnis
Scoping
Prüfobjekte, Testtiefe (Blackbox, Greybox, Whitebox), Zeitfenster, Ausschlüsse, Testkonten, Notfallkontakte. Festpreisangebot.
Aufklärung und Analyse
Angriffsfläche erfassen, Technologien identifizieren, automatisierte Scans als Ausgangspunkt – mit manueller Verifikation jedes Treffers.
Manuelle Prüfung
Verkettung von Schwachstellen, Geschäftslogik, Berechtigungen, Umgehung von Schutzmechanismen. Kritische Funde melden wir sofort.
Bericht und Retest
Management Summary, Findings mit Nachweis, CVSS, Ursache und Maßnahme. Abschlussgespräch. Retest nach Behebung inklusive.
Einordnung
Scan, Penetrationstest oder Red Teaming?
| Kriterium | Schwachstellenscan | Penetrationstest | Red Teaming |
|---|---|---|---|
| Methode | Automatisiert, signaturbasiert | Überwiegend manuell, kreativ, verkettend | Verdeckte Simulation realer Angreifer |
| Findet | Bekannte Schwachstellen, fehlende Patches | Auch Logikfehler, Berechtigungslücken, Verkettungen | Lücken in Erkennung und Reaktion |
| Fehlalarme | Viele | Keine – jedes Finding ist verifiziert | Keine |
| Frequenz | Wöchentlich bis monatlich | Jährlich und nach Änderungen | Alle 12–24 Monate |
| Aufwand | Gering | 3–15 Testtage je Prüfobjekt | Ab 40 Personentage |
Wie unterscheidet sich ein Penetrationstest von einem Schwachstellenscan?
Ein Scan ist automatisiert und findet bekannte Schwachstellen anhand von Signaturen – schnell, breit, aber mit Fehlalarmen und ohne Kontext. Ein Penetrationstest ist überwiegend manuell: Wir verketten Schwachstellen, prüfen Geschäftslogik, umgehen Schutzmechanismen und bewerten die reale Auswirkung. Der Scan ist ein Werkzeug im Pentest, nicht sein Ersatz.
Blackbox, Greybox oder Whitebox – was ist besser?
Das hängt von der Fragestellung ab. Blackbox simuliert einen externen Angreifer ohne Vorwissen, Greybox mit Nutzerkonto (realistisch für Webanwendungen), Whitebox mit Quellcode und Architektur (höchste Abdeckung je Testtag). Für die meisten Prüfobjekte empfehlen wir Greybox mit der Option, bei Bedarf Einblick in Konfiguration oder Code zu nehmen.
Wie lange dauert ein Penetrationstest?
Je nach Umfang ein bis drei Wochen Testphase plus eine Woche für den Bericht. Eine mittlere Webanwendung mit API liegt typischerweise bei fünf bis zehn Testtagen, ein externer Infrastrukturtest bei drei bis fünf, ein Active-Directory-Assessment bei fünf bis acht.
Testen Sie auch Produktivsysteme?
Ja, mit Augenmaß. Wir stimmen Zeitfenster ab, verzichten auf lastintensive oder potenziell störende Tests ohne Freigabe und haben Notfallkontakte auf beiden Seiten. Wo möglich, testen wir Staging-Systeme mit produktionsnaher Konfiguration.
Erfüllt der Pentest Anforderungen aus ISO 27001, NIS2 oder PCI DSS?
Unsere Berichte sind auf Nachweispflichten zugeschnitten: Methodik, Umfang, Testzeitraum, Findings mit CVSS-Bewertung, Maßnahmen und Retest-Ergebnis. Für PCI DSS 4.0 (Anforderung 11.4) und ISO-27001-Audits liefern wir die Dokumentation, die Prüfer erwarten.
Weitere Leistungen
Der nächste Schritt nach dem Pentest
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.