Penetration Testing
Penetrationstest: Lücken finden, bevor Angreifer sie nutzen
Bei einem Penetrationstest greifen wir Ihre Systeme mit Ihrer schriftlichen Erlaubnis an. Sie erfahren, wo Angreifer hineinkämen und wie Sie die Lücken schließen.
Gekauft, eingerichtet, nie geprüft
Firewall, Virenschutz und Passwortregeln gibt es in fast jedem Betrieb. Ob sie einem echten Angriff standhalten, hat oft niemand ausprobiert. Ein Penetrationstest beantwortet genau diese Frage, und zwar bevor ein Angreifer es tut.
- Ihr Onlineshop, Ihr Kundenportal oder Ihre Terminbuchung steht offen im Internet. Ob dort jemand an fremde Daten kommt, hat niemand getestet.
- Ein Dienstleister hat Ihr Netzwerk eingerichtet, und seitdem läuft es. Welche Zugänge von außen erreichbar sind, weiß im Betrieb niemand genau.
- Ein Großkunde, Ihre Versicherung oder ein Prüfer will wissen, ob Ihre IT geprüft ist. Vorlegen können Sie bisher nur die Produktbeschreibung des Herstellers.
- Die NIS2-Richtlinie der EU verpflichtet viele mittlere und große Betriebe in bestimmten Branchen, auch die Sicherheit ihrer Lieferanten zu bewerten. Dass ein Produkt gekauft und installiert ist, beantwortet diese Frage nicht.
Was wir für Sie umsetzen
Webanwendungen und Schnittstellen
Eine Webanwendung läuft im Browser, etwa ein Onlineshop, ein Kundenportal oder eine Terminbuchung. Eine Schnittstelle, auch API genannt, ist der Anschluss, über den zwei Programme Daten austauschen. Wir prüfen Anmeldung, Rechtevergabe und Eingabefelder und gehen der Frage nach, ob ein Kunde an die Daten eines anderen kommt. Grundlage sind die OWASP Top 10, eine weltweit genutzte Liste der häufigsten Schwachstellen.
Ihr Netzwerk von außen und von innen
Von außen prüfen wir, welche Zugänge Ihres Betriebs aus dem Internet erreichbar sind und ob sich einer davon öffnen lässt. Von innen spielen wir durch, wie weit ein Angreifer käme, der einen einzelnen Rechner im Büro übernommen hat: zu anderen Rechnern, zum Server, bis zu den Rechten eines Administrators. Dazu gehört das Active Directory, die zentrale Benutzerverwaltung vieler Windows-Netzwerke.
Apps, Cloud und Phishing-Test
Smartphone-Apps für iOS und Android prüfen wir samt der Verbindung zum Server dahinter. Nutzen Sie Cloud-Dienste wie Microsoft Azure, Amazon Web Services oder Google Cloud, sehen wir uns Rechte, Speicher und Protokolle an. Auf Wunsch testen wir auch, wie Ihr Team auf Täuschung reagiert, etwa mit einer Phishing-Kampagne. Phishing sind gefälschte E-Mails, die zur Eingabe von Passwörtern verleiten sollen.
Bericht, Maßnahmenplan und Nachtest
Sie erhalten eine kurze Zusammenfassung für die Geschäftsführung und einen technischen Bericht für Ihr IT-Team oder Ihren IT-Dienstleister. Jeder Befund hat einen Schweregrad und eine Anleitung, mit der er sich nachstellen lässt. Ein Maßnahmenplan legt fest, was zuerst behoben wird und mit welchem Aufwand ungefähr zu rechnen ist. Nach der Behebung testen wir nach, in der Fachsprache Re-Test, und bestätigen das Ergebnis schriftlich.
Sicherheitsprodukte Ihrer Lieferanten prüfen
Firewall, Virenschutz und E-Mail-Filter sollen Ihren Betrieb schützen. Ob sie halten, was der Hersteller verspricht, prüfen wir praktisch. Zuerst erfassen wir, welche Produkte Sie einsetzen und was jedes davon schützt, und bewerten bekannte Schwachstellen und die Vorgeschichte des Herstellers. Dann versuchen wir, das Produkt in einer Testumgebung zu umgehen, also in einer abgetrennten Installation ohne Ihre echten Daten. Der Bericht ordnet die Ergebnisse den Lieferkettenpflichten aus NIS2 zu. Auf Wunsch beobachten wir Ihre Produkte danach vierteljährlich weiter und testen erneut, wenn sich etwas Wichtiges ändert.
Laufende Angriffssimulation mit Nachweis
Ein einzelner Test zeigt den Stand eines Tages, doch Ihre IT ändert sich ständig. Bei der laufenden Angriffssimulation greifen wir Ihre freigegebenen Systeme im vereinbarten Takt erneut an und messen, ob Ihre Abwehr den Angriff bemerkt. Fachleute nennen das Purple-Team, weil Angreifer (rot) und Verteidiger (blau) zusammenarbeiten. Nach jedem Lauf zeigt ein Bericht, was sich seit dem letzten Lauf verändert hat. Dazu kommt ein digital signierter Nachweis, dass nur die freigegebenen Systeme im vereinbarten Zeitfenster getestet wurden.
Was Ihr Betrieb davon hat
Sie wissen, wo Sie wirklich stehen
Statt einer Vermutung haben Sie ein geprüftes Bild Ihrer IT: welche Lücken es gibt, wie schwer jede wiegt und welche Sie zuerst schließen sollten.
Ein Bericht für Chefetage und Technik
Die Geschäftsführung liest die Zusammenfassung, Ihr IT-Team oder Ihr IT-Dienstleister arbeitet den technischen Teil ab. Jeder Befund lässt sich nachstellen, und der Maßnahmenplan gibt die Reihenfolge vor.
Nachweise für Kunden, Versicherer und Prüfer
Fragt ein Großkunde, Ihre Versicherung oder eine Prüfung nach Ihrer IT-Sicherheit, legen Sie den Bericht und die schriftliche Bestätigung des Nachtests vor.
Direkter Draht zur Person, die testet
Sie sprechen mit dem, der Ihre Systeme geprüft hat, nicht mit einer Vertriebsabteilung. Rückfragen können Sie auch nach dem Projekt stellen.
So kann das bei Ihnen aussehen
- Handel
Onlineshop vor dem Weihnachtsgeschäft prüfen
Ein Händler lässt seinen Onlineshop und die Schnittstelle zur Warenwirtschaft testen, bevor das Weihnachtsgeschäft beginnt. Geprüft wird mit zwei Testkonten, wie sie jeder Kunde hat. Die zentrale Frage lautet: Kommt ein Kunde an Bestellungen, Adressen oder Rabatte anderer Kunden? Getestet wird nachts, damit der Verkauf ungestört weiterläuft. Nach der Behebung folgt der Nachtest.
- Produktion
Halten Firewall und E-Mail-Filter, was sie versprechen?
Ein Hersteller von Maschinenteilen fällt unter NIS2 und muss die Sicherheit seiner Lieferanten bewerten. Er lässt prüfen, ob seine Firewall und sein E-Mail-Filter gängigen Umgehungsversuchen standhalten. Getestet wird in einer eigenen Testumgebung, nicht im laufenden Werk. Der Bericht ordnet jedes Ergebnis den NIS2-Anforderungen zu und dient bei einer Prüfung als Nachweis.
- Kanzlei
Jeden Monat prüfen, ob die Abwehr anschlägt
Eine Steuerkanzlei mit mehreren Standorten lässt ihre aus dem Internet erreichbaren Zugänge laufend prüfen. Einmal im Monat läuft eine Angriffssimulation in einem vorab freigegebenen Zeitfenster. Der Bericht zeigt, was sich seit dem letzten Lauf verändert hat und ob Virenschutz und Protokollierung den Angriff bemerkt haben. Den signierten Nachweis über jeden Lauf legt die Kanzlei ihrem Datenschutzbeauftragten vor.
Ablauf
In vier Etappen zur fertigen Lösung
Erstgespräch und Testumfang
Wir klären, welche Systeme geprüft werden, was dabei nicht ausfallen darf und welche Vorgaben für Sie gelten, etwa von Kunden oder aus NIS2. Das Erstgespräch kostet nichts. Danach erhalten Sie ein Festpreisangebot mit genau festgelegtem Umfang und die schriftliche Freigabe zur Unterschrift.
Test unter kontrollierten Bedingungen
Wir erkunden die freigegebenen Systeme, suchen nach Schwachstellen und versuchen kontrolliert, sie auszunutzen. Wo nötig, testen wir außerhalb Ihrer Arbeitszeiten. Tests, die den Betrieb stören könnten, stimmen wir vorher mit Ihnen ab.
Bericht und gemeinsame Besprechung
Sie erhalten die Zusammenfassung für die Geschäftsführung, den technischen Bericht und den Maßnahmenplan. In einem gemeinsamen Termin gehen wir die Befunde durch und klären, was zuerst behoben wird.
Behebung begleiten und nachtesten
Während Ihr Team oder Ihr IT-Dienstleister die Lücken schließt, beantworten wir Fragen. Danach prüfen wir nach, ob die Befunde behoben sind, und bestätigen das Ergebnis schriftlich. Auf Wunsch geht es mit der laufenden Angriffssimulation weiter.
Was ein Penetrationstest leistet
Ein Penetrationstest, kurz Pentest, ist ein erlaubter Angriff auf Ihre eigenen Systeme. Eine Schwachstellenanalyse mit einem Scanner sucht automatisch nach bekannten Lücken und liefert oft lange Listen. Der Pentest geht weiter: Wir prüfen, ob sich eine Lücke tatsächlich ausnutzen lässt, wie weit ein Angreifer damit käme und welche kleinen Fehler sich zu einem großen Schaden verbinden. Je nach Auftrag wissen wir vorher nichts über Ihre Systeme (Black-Box), haben einen normalen Benutzerzugang (Grey-Box) oder sehen Unterlagen und Quelltext ein (White-Box).
Wer eine Webanwendung testen lassen will, sollte nach der Methode fragen. Wir arbeiten nach anerkannten Prüfkatalogen: den OWASP Top 10 für Webanwendungen, den OWASP API Top 10 für Schnittstellen und dem OWASP MASVS für Smartphone-Apps. Den Ablauf richten wir an den Vorgehensmodellen PTES, OSSTMM und NIST SP 800-115 aus. Bei Maschinen- und Anlagensteuerungen kommt die Norm IEC 62443 hinzu. Jeden Befund bewerten wir nach CVSS, einer international verbreiteten Skala für den Schweregrad. So lassen sich Ergebnisse vergleichen und als Nachweis für ISO 27001, NIS2 oder TISAX nutzen.
Artikel 21 der NIS2-Richtlinie zählt die Sicherheit der Lieferkette zu den Pflichten betroffener Betriebe. Dabei müssen sie die Schwachstellen jedes direkten Anbieters und die Qualität seiner Produkte berücksichtigen. Wer seine Lieferanten nach NIS2 prüfen muss, kommt mit der Broschüre des Herstellers nicht weit. Unser Bericht zur Lieferantenprüfung ordnet jeden Befund dieser Pflicht zu. Findet der Test nichts, ist auch das ein Ergebnis: Sie haben schriftlich, dass das Produkt realistischen Angriffen standgehalten hat. Weil sich Systeme ständig ändern, ergänzt die laufende Angriffssimulation den einzelnen Penetrationstest.
Getestet wird nur, was Sie freigeben
Ein Penetrationstest ist ein echter Angriff, nur mit Erlaubnis. Darum legen wir vor dem ersten Test schriftlich fest, was wir dürfen und was nicht.
- Schriftliche Freigabe zuerst: Ohne Ihre unterschriebene Freigabe testen wir nichts. Sie legt fest, welche Systeme in welchem Zeitraum geprüft werden. Was nicht darin steht, fassen wir nicht an.
- Fremde Systeme geklärt: Läuft ein System bei einem Hersteller oder Dienstleister, klären wir vor dem Test, ob und wie geprüft werden darf, und halten diese Grundlage schriftlich fest.
- Kein Stillstand: Tests, die den Betrieb stören könnten, stimmen wir vorher mit Ihnen ab und legen sie auf ruhige Zeiten. Lücken nutzen wir nur kontrolliert aus.
- Prüfbarer Nachweis: Bei der laufenden Simulation werden freigegebene Systeme und Zeitfenster vorab digital signiert. Jeder Lauf erzeugt einen Nachweis, den Sie und Ihre Prüfer selbst kontrollieren können, ohne uns vertrauen zu müssen.
Häufige Fragen
Was kostet ein Penetrationstest?
Der Preis hängt vom Umfang ab: Wie viele Webanwendungen, Schnittstellen oder Rechner prüfen wir? Testen wir von außen, von innen oder beides? Gehören Smartphone-Apps, Cloud-Dienste oder ein Phishing-Test dazu? Nach dem kostenlosen Erstgespräch erhalten Sie ein Festpreisangebot, das den Umfang genau festhält. Abgerechnet wird nicht nach Tagen, und Nachforderungen gibt es nicht, solange der Umfang gleich bleibt.
Was unterscheidet einen Pentest von einem Schwachstellenscan?
Ein Scanner sucht automatisch nach bekannten Lücken und meldet alles, was er findet, auch Fehlalarme. Beim Pentest prüfen Menschen, ob sich eine Lücke wirklich ausnutzen lässt und was ein Angreifer damit erreichen würde. Dazu gehören Fehler in der Logik einer Anwendung, die kein Scanner erkennt. Ein Beispiel: Ein Kunde ändert eine Nummer in der Adresszeile und sieht plötzlich die Rechnung eines anderen Kunden.
Stört der Test unseren laufenden Betrieb?
In der Regel nicht. Wir stimmen den Zeitplan mit Ihnen und Ihrem IT-Dienstleister ab und testen, wo nötig, außerhalb der Arbeitszeiten. Tests, die ein System verlangsamen oder ausfallen lassen könnten, führen wir nur nach Absprache und zu vereinbarten Zeiten durch. Während des Tests sind wir für Sie erreichbar, damit Sie bei Auffälligkeiten sofort nachfragen können.
Was bekommen wir am Ende?
Sie erhalten eine Zusammenfassung für die Geschäftsführung und einen technischen Bericht für Ihr IT-Team oder Ihren IT-Dienstleister, auf Wunsch auf Deutsch und Englisch. Jeder Befund enthält Schweregrad, Beschreibung und die Anleitung zum Nachstellen. Dazu kommt ein Maßnahmenplan mit Reihenfolge und geschätztem Aufwand. In einem Termin besprechen wir alles gemeinsam. Nach der Behebung testen wir nach und bestätigen das Ergebnis schriftlich.
Müssen wir den Hersteller informieren, wenn Sie sein Produkt prüfen?
Das hängt vom Produkt und seinen Lizenzbedingungen ab. Hat der Hersteller ein öffentliches Programm, das Tests ausdrücklich erlaubt, ist keine Rückfrage nötig. Bei einer eigenen Testinstallation kann der Lizenzvertrag eine Abstimmung verlangen. Wir klären das vor dem Test mit Ihnen und halten schriftlich fest, auf welcher Grundlage geprüft wird. So stehen Sie am Ende sauber da.
Greift bei der laufenden Simulation eine KI selbstständig an?
Nein. Unser selbst entwickeltes Werkzeug ARES übernimmt die wiederkehrenden Erkundungs- und Simulationsschritte. Es steuert bewährte Sicherheitswerkzeuge und hält den freigegebenen Umfang ein. So ist regelmäßiges Testen möglich, ohne jedes Mal ein neues Projekt aufzusetzen. Die Bewertung, die Reihenfolge der Maßnahmen und jeder aktive Angriffsschritt brauchen die Freigabe eines Menschen. Zusätzlich messen wir, ob Ihre Abwehr den simulierten Angriff bemerkt.
Passt gut dazu
NIS2-Beratung
Prüft, ob NIS2 für Ihren Betrieb gilt, und setzt die Pflichten aus dem BSIG um.
Incident Response
Hilft im IT-Notfall, sichert Spuren, bringt Ihre Systeme zurück und übt mit Ihnen den Ernstfall.
Softwareentwicklung
Entwickelt Individualsoftware für Ihre Abläufe, verbindet Ihre Programme und baut KI ein, wo sie hilft.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.