Vulnerability Scanning
Außenhaut, Innennetz, Webanwendungen und Cloud fortlaufend gegen CVE geprüft — bewertet nach Ihrer Lage statt nach Kata…
AnsehenOffensive Services
Penetration Testing
Ein Schwachstellenscan sagt Ihnen, welche Türen unverschlossen sind. Ein Penetrationstest sagt Ihnen, wie weit jemand kommt, der hindurchgeht — und was er unterwegs mitnehmen könnte. Wir führen diesen Angriff durch, mit Ihrem Auftrag und in Ihrem Rahmen, bevor es jemand ohne beides tut.
01
Was es ist
Der Unterschied zum Schwachstellenscan
Beide Verfahren werden im Angebot oft nebeneinandergestellt, als wären sie Abstufungen desselben. Sie sind es nicht. Ein Scanner arbeitet eine Liste bekannter Schwachstellen ab und meldet, welche davon zutreffen. Das ist wertvoll, schnell und günstig — und es endet dort, wo die interessanten Angriffe erst beginnen.
Denn die meisten ernsten Vorfälle entstehen nicht aus einer einzelnen Lücke, sondern aus einer Kette: ein veraltetes Testsystem, das niemand mehr auf dem Schirm hat; ein Dienstkonto mit mehr Rechten als nötig; ein Netzsegment, das offener ist als geplant. Jedes Glied für sich wäre unauffällig. Erst zusammen ergeben sie einen Weg von außen bis in die Kundendatenbank.
Diese Ketten findet kein automatisches Verfahren. Sie entstehen aus Verständnis für Ihr Haus, für Ihre Abläufe und dafür, was sich lohnt. Wir setzen dieselben Werkzeuge und dieselben Techniken ein wie ein Angreifer — mit dem einzigen Unterschied, dass wir am Ende einen Bericht schreiben, statt zu verschwinden.
Der Ablauf
Sieben Phasen, wie ein echter Angriff
Wir arbeiten nach anerkannten Vorgehensmodellen — OSSTMM, PTES und für Webanwendungen der OWASP-Testleitfaden. Der Ablauf ist bewusst derselbe, den ein Angreifer nähme; nur das Ende unterscheidet sich.
- 3–5 Tage
- für eine einzelne Webanwendung
- 1–2 Wochen
- für eine mittelgroße Infrastruktur
- 3 Tage
- für Auswertung und Bericht
- 1 Tag
- für den Nachtest nach der Behebung
Nach der Behebung testen wir die Befunde erneut. Ein Bericht, der im Ordner endet, hat nichts verändert — erst der bestandene Nachtest schließt den Vorgang.
- 01
Aufklärung — wir sammeln, was über Ihr Haus öffentlich zu finden ist: Domains, Adressbereiche, Namen in beruflichen Netzwerken, verwaiste Subdomains. Hier entsteht oft schon der erste Ansatzpunkt.
- 02
Erfassung — welche Systeme antworten, welche Dienste laufen, in welchen Fassungen. Der Abgleich mit dem, was Sie erwarten, ist regelmäßig der erste Befund.
- 03
Zugriff — der Versuch, tatsächlich hineinzukommen. Über eine Lücke, über gültige Zugangsdaten aus einem Datenleck, über einen Menschen.
- 04
Rechteausweitung — vom ersten Fuß in der Tür zum Administrator. Diese Phase entscheidet, ob ein Vorfall ärgerlich oder existenzbedrohend wird.
- 05
Verweildauer — wie lange bliebe der Angreifer unentdeckt? Das ist der eigentliche Test Ihrer Überwachung, nicht die Frage, ob der Einbruch gelingt.
- 06
Spurenlage — wir prüfen, was Ihre Protokollierung von alldem mitbekommen hat. Häufig weniger als erwartet.
- 07
Bericht — Befunde nach Schwere geordnet, jeder mit Nachweis, Auswirkung und konkreter Gegenmaßnahme. Dazu eine Zusammenfassung, die auch ohne IT-Hintergrund lesbar ist.
Denken wie ein Angreifer, berichten wie ein Gutachter.
02
Die Varianten
Welchen Zuschnitt Ihr Test braucht
01
Zwei Fragen entscheiden über Aufwand und Aussagekraft: Wie viel wissen wir vorher, und von wo greifen wir an? Die richtige Antwort hängt davon ab, was Sie herausfinden wollen — nicht davon, was am gründlichsten klingt.
02
Black Box
Wir starten mit dem, was jeder im Netz findet. Das ist die ehrlichste Simulation eines externen Angriffs und zeigt, wie weit ein Fremder ohne Vorwissen kommt. Der Preis: ein erheblicher Teil der Zeit geht für Aufklärung drauf, die ein Angreifer sich ebenfalls nehmen würde — nur hat er kein Budget-Ende.
03
White Box
Sie geben uns Architekturunterlagen, Zugänge und bei Bedarf den Quelltext. Damit findet dieselbe Zeit deutlich mehr. Diese Variante ist die gründlichste und die Wahl, wenn es um Nachweise geht — sie beantwortet aber nicht die Frage, wie schwer der Einstieg von außen wäre.
04
Grey Box
Der übliche Kompromiss und in den meisten Fällen unsere Empfehlung: begrenzte Vorabinformationen, etwa ein Benutzerkonto ohne besondere Rechte. Damit prüfen wir, was ein Angreifer erreichen kann, der bereits einen Fuß in der Tür hat — der häufigste reale Ausgangspunkt.
05
Von außen oder von innen
Der externe Test prüft, was von außen erreichbar ist: Firewalls, Webserver, VPN-Zugänge, Cloud-Dienste. Der interne beginnt dort, wo ein Angreifer nach dem ersten erfolgreichen Schritt steht — oder ein unzufriedener Mitarbeiter ohnehin. Wer nur außen prüft, erfährt nichts über die zweite Hälfte des Schadens.
Die Befunde
Was wir fast immer finden
Nach vielen Tests wiederholen sich die Muster. Das ist keine schlechte Nachricht — es heißt, dass sich mit überschaubarem Aufwand viel erreichen lässt, bevor es um die schwierigen Fälle geht.
01
Ungepatchte Systeme, meist nicht die produktiven, sondern die vergessenen: das Testsystem von vorletztem Jahr, das noch am Netz hängt.
02
Zugangsdaten, die zu viel dürfen. Dienstkonten mit Administratorrechten, weil es beim Einrichten schneller ging.
03
Fehlkonfigurationen an Systemen, die für sich genommen aktuell und sicher sind — nur eben falsch eingestellt.
04
Menschen, die eine gut gemachte Nachricht nicht als Angriff erkennen. Kein Vorwurf, sondern der Grund, warum Security Awareness Training danebensteht.
03
Die Grundlage
Wer testet, und in welchem Rahmen
Ein Penetrationstest ist ein autorisierter Angriff auf fremde Systeme. Ohne saubere rechtliche Grundlage ist er eine Straftat — daran ändert auch die beste Absicht nichts. Vor dem ersten Paket steht deshalb immer eine schriftliche Beauftragung, die den Umfang, den Zeitraum, die erlaubten Verfahren und die Ansprechpartner für den Notfall festhält.
Sind Systeme im Spiel, die Ihnen nicht selbst gehören — bei einem Anbieter gehostet, in fremder Cloud, von einem Dienstleister betrieben —, holen wir deren Einverständnis ein, bevor wir sie anfassen. Das kostet Vorlauf und ist nicht verhandelbar.
Unsere Testerinnen und Tester bringen einschlägige Zertifizierungen mit — OSCP, GPEN, CEH —, aber die sind die Eintrittskarte, nicht die Qualifikation. Entscheidend ist die Erfahrung, welche Kette in Ihrer Branche wahrscheinlich ist, und die Zurückhaltung im Umgang mit dem, was man dabei zu sehen bekommt.
04
Der Rhythmus
Ein Test ist eine Momentaufnahme
Das Ergebnis gilt für den Stand am Testtag. Jede neue Anwendung, jede Migration, jede geöffnete Schnittstelle verändert die Lage. Ein jährlicher Test ist der vernünftige Grundtakt; wichtiger ist ein zusätzlicher nach jeder größeren Änderung — dann, wenn tatsächlich etwas Neues entstanden ist.
Wer die Lage dazwischen im Blick behalten will, kombiniert den Test mit laufender Überwachung. Was der Test einmalig aufdeckt, hält Strider im Betrieb sichtbar, und der Stand der Behebung landet in Sightadel.
05
Zum Schluss
Nur wer seine Schwachstellen kennt, kann sie schließen
Der Wert eines Penetrationstests liegt nicht im Bericht. Er liegt in dem, was danach passiert: in den Befunden, die abgearbeitet und nachgetestet wurden, und in der Gewissheit, dass die verbliebenen bewusst akzeptiert sind statt unbemerkt.
Sprechen Sie mit uns über Umfang und Zuschnitt. Das Vorgespräch kostet nichts und führt in aller Regel schon zu einer ersten brauchbaren Einschätzung.
FAQ
Häufige Fragen
Kann ein Penetrationstest unsere Systeme beschädigen oder lahmlegen?
Das Risiko lässt sich nicht auf null bringen, aber gut eingrenzen. Verfahren mit Ausfallrisiko — etwa Lasttests oder das Ausnutzen bestimmter Speicherfehler — werden vorab ausdrücklich freigegeben oder ausgeschlossen. Für kritische Systeme testen wir bevorzugt auf einer Kopie oder in einem vereinbarten Zeitfenster. Und es gibt während des gesamten Tests eine Nummer, unter der wir sofort abbrechen.
Wie lange dauert ein Test?
Für eine einzelne Webanwendung meist drei bis fünf Tage, für eine mittelgroße Infrastruktur ein bis zwei Wochen. Dazu kommen etwa drei Tage für den Bericht. Der Nachtest nach der Behebung dauert in der Regel einen Tag.
Was passiert mit den Daten, die Sie dabei sehen?
Wir greifen nur so weit zu, wie es zum Nachweis nötig ist — ein Auszug aus einer Tabelle statt ihres vollständigen Inhalts. Was wir sehen, unterliegt der Verschwiegenheit, wird verschlüsselt aufbewahrt und nach einer vereinbarten Frist gelöscht. Die Einzelheiten stehen im Vertrag, nicht in einer Absichtserklärung.
Sollen unsere IT und das SOC vorab Bescheid wissen?
Das hängt vom Ziel ab. Wissen sie Bescheid, prüfen Sie die Technik. Wissen sie es nicht, prüfen Sie zusätzlich Erkennung und Reaktion — das ist wertvoller, verlangt aber, dass mindestens eine Person auf Ihrer Seite eingeweiht ist und den Test im Zweifel bestätigen kann.
Reicht ein Penetrationstest für ISO 27001 oder NIS2?
Er ist ein Baustein, kein Nachweis für sich. Beide verlangen regelmäßige technische Überprüfungen, und ein Test mit dokumentierter Behebung erfüllt diesen Punkt. Die übrigen Anforderungen deckt er nicht ab — dafür ist der ISMS-Aufbau da.
Offensive Services
Weitere Leistungen in diesem Bereich
Kontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.