Angreifen mit Verantwortung

1. Keine Aktion ohne Autorisierung

Wir testen ausschließlich Systeme, Prozesse und Standorte, für die uns der Berechtigte schriftlich den Auftrag erteilt hat. Grundlage ist ein unterschriebenes Dokument mit Rules of Engagement, das Umfang, Ausschlüsse, Zeitfenster, Ansprechpartner und Abbruchkriterien festlegt. Systeme Dritter – Cloud-Anbieter, Dienstleister, gemeinsam genutzte Infrastruktur – prüfen wir nur mit deren Zustimmung oder nehmen sie aus dem Umfang. Bei physischen Tests führen unsere Operatoren ein Autorisierungsschreiben mit, das Namen, Zeitraum und einen rund um die Uhr erreichbaren Kontakt des Control Teams nennt. Damit ist die Einwilligung im Sinne der §§ 202a ff. StGB jederzeit nachweisbar.

2. Nachweisen statt zerstören

Unser Ziel ist der Beleg, dass ein Angreifer ein Ziel erreichen könnte – nicht der Schaden. Wir verschlüsseln, löschen oder verändern keine Produktivdaten, legen keine Systeme lahm und führen keine Aktionen durch, deren Auswirkungen wir nicht sicher zurücknehmen können. Eine Verschlüsselung demonstrieren wir ausschließlich auf von Ihnen bereitgestellten Testsystemen. Datenabfluss prüfen wir mit markierten Testdateien, nie mit echten Daten. Schritte mit Störpotenzial erfolgen nur nach ausdrücklicher Freigabe des Control Teams.

3. Kontrolle bleibt beim Kunden

Ihr Control Team kann den Einsatz jederzeit pausieren oder beenden. Vorab vereinbarte Abbruchkriterien – etwa ein echter Sicherheitsvorfall, eine Störung des Betriebs oder ein unerwartetes Risiko – stoppen unsere Aktivitäten automatisch. Über laufende Aktionen informieren wir regelmäßig; bei kritischen Funden sofort. Durch Deconfliction kann Ihr Team jederzeit prüfen, ob eine beobachtete Aktivität von uns stammt.

4. Schutz der Menschen

Social Engineering testet Prozesse, nicht Personen. Ergebnisse berichten wir ausschließlich aggregiert; niemand erfährt, welche Einzelperson auf einen Vorwand reagiert hat. Wir nutzen keine Drohszenarien, geben uns nicht als Behörden aus, meiden Themen wie Krankheit, Kündigung oder Gehalt und nutzen nur dienstliche Kanäle. Zeigt eine Person Belastung, brechen wir das Szenario ab und klären auf. Betriebsrat und Datenschutzbeauftragte binden wir frühzeitig ein. Bei physischen Tests verzichten wir auf Gewalt, Einschüchterung und Beschädigung.

5. Vertraulichkeit

Alles, was wir in einem Einsatz erfahren, unterliegt der Verschwiegenheit. Projektdaten speichern wir verschlüsselt, Berichte übermitteln wir verschlüsselt, Zugangsdaten und erlangte Informationen löschen wir nach Projektende nachweislich. Wir nennen Kunden nicht als Referenz, ohne dass sie dem ausdrücklich zugestimmt haben. Unsere Mitarbeitenden sind festangestellt, zur Verschwiegenheit verpflichtet und auf Zuverlässigkeit geprüft. Eine Weitergabe von Daten an Dritte oder eine Verarbeitung außerhalb Deutschlands findet nicht statt.

6. Vollständiger Rückbau

Jedes Werkzeug, jedes Konto, jede Konfigurationsänderung und jede Persistenz, die wir einrichten, wird dokumentiert und am Ende des Einsatzes entfernt. Sie erhalten eine vollständige Liste aller Indikatoren (IOCs), damit Ihr Team die Spuren in den eigenen Systemen nachvollziehen und verifizieren kann, dass nichts zurückbleibt.

7. Umgang mit Zufallsfunden

Stoßen wir auf Hinweise auf einen echten, laufenden Angriff, informieren wir das Control Team unverzüglich und pausieren unseren Test, bis die Lage geklärt ist. Finden wir Schwachstellen in Produkten Dritter, melden wir sie dem Hersteller im Rahmen einer koordinierten Offenlegung (Coordinated Vulnerability Disclosure) – ohne Bezug zu Ihrem Unternehmen und nach Abstimmung mit Ihnen.

8. Ehrliche Beratung

Wir empfehlen das Format, das Ihnen am meisten bringt – auch wenn es das kleinere ist. Wir berichten Erkennungserfolge Ihres Teams genauso deutlich wie Lücken. Wir übertreiben keine Risiken und verkaufen keine Angst. Und wir sagen klar, wo unsere Einschätzung endet und Rechtsberatung oder Herstellerexpertise beginnt.

9. Verantwortung gegenüber der Allgemeinheit

Wir stellen unsere Fähigkeiten ausschließlich in den Dienst der Verteidigung. Wir veröffentlichen keine einsatzfähigen Angriffswerkzeuge, geben keine Angriffsanleitungen weiter und führen keine Tests gegen Personen oder Organisationen ohne deren Beauftragung durch. Anfragen, die diesen Grundsätzen widersprechen, lehnen wir ab.