Cybersicherheit · Offensive Sicherheit
Offensive Sicherheit. Finden, bevor Angreifer es tun.
Angreifer brauchen nur einen Weg hinein. Wir suchen ihn zuerst, so wie sie es tun würden: in Ihren Anwendungen, Netzwerken und Ihrer Cloud, bei Ihren Mitarbeitenden und in Ihren Gebäuden.
Sie erhalten ein klares Bild davon, was ausnutzbar ist, was es Sie kosten würde und was Sie zuerst beheben sollten. Nach der Behebung testen wir erneut.
Was enthalten ist. Zugeschnitten auf Ihren Bedarf.
Penetrationstests
Webanwendungen, APIs, interne und externe Netzwerke sowie Cloud-Umgebungen auf Azure, AWS und GCP.
Tests mobiler Anwendungen
Gründliche Tests von iOS- und Android-Apps und den Back-Ends dahinter.
Red-Team-Einsätze
Umfassende Angriffssimulation, die Menschen, Prozesse und Technik gemeinsam auf die Probe stellt.
Emulation von Angreifern
Kontinuierliche Prüfung anhand der Taktiken und Techniken bekannter Angreifergruppen.
Social Engineering
Kampagnen mit Phishing, Vishing, vorgetäuschten Identitäten und erfundenen Vorwänden, die zeigen, wie Ihre Mitarbeitenden reagieren.
Physische Tests
Zutrittskontrollen, Klonen von Ausweisen und Tailgating an Ihren Standorten, nach vereinbarten Regeln.
Erfassung der Angriffsfläche
Aufspüren vergessener und exponierter Systeme sowie von Schatten-IT, bevor Angreifer sie finden.
Bug-Bounty-Management
Sichtung und Bearbeitung von Befunden, die externe Sicherheitsforscher melden.
Was Sie erhalten. Drei Berichte und eine Bestätigung.
Jeder Befund kommt mit geschäftlichem Kontext. So erhalten Geschäftsleitung, Prüfer und Engineers aus demselben Auftrag jeweils, was sie brauchen.
Management-Bericht
Risiken in klaren Worten, mit Blick auf Finanzen und Versicherung – für Management und Geschäftsleitung.
Technischer Bericht
Jeder Befund mit CVSS-Score, Nachweisen, Angriffspfad und Behebung, für Ihre Engineers.
Roadmap zur Behebung
Was wann zu beheben ist, gestaffelt in 0–30, 30–90 und 90+ Tage.
Nachtest und Abschlussbestätigung
Wir testen Ihre Korrekturen erneut, prüfen, ob die Lücken geschlossen sind, und stellen eine Abschlussbestätigung aus.
So läuft es ab
- Dauer
- Von wenigen Tagen für einen fokussierten Test bis zu mehreren Wochen für ein Red Team, bestätigt in Ihrem Angebot.
- Team
- Spezialisten für offensive Sicherheit, geführt von einer erfahrenen Projektleitung als Ihrem zentralen Ansprechpartner.
- Von Ihrer Seite
- Ein benannter Ansprechpartner, der vereinbarte Umfang und die Einsatzregeln sowie bei Bedarf Testkonten oder Zugänge.
- Während des Tests
- Tägliche Updates. Kritische Befunde melden wir sofort, nicht erst am Ende.
Methodik
- OWASP
- PTES
- MITRE ATT&CK
- NIST SP 800-115
- CVSS
Häufige Fragen
Stören die Tests unsere Systeme?
Wir planen die Tests mit Ihrem Team und halten sie in Einsatzregeln fest. Riskante Tests legen wir in Wartungsfenster, und wir stoppen sofort, wenn sich etwas unerwartet verhält.
Was ist der Unterschied zwischen einem Penetrationstest und einem Red Team?
Ein Penetrationstest sucht in einem festgelegten Umfang so viele Schwachstellen wie möglich. Ein Red Team verfolgt ein Ziel, etwa den Zugriff auf Ihre Zahlungssysteme, und prüft dabei, wie gut Sie Angriffe erkennen und darauf reagieren.
Wie oft sollten wir testen?
Mindestens einmal im Jahr und nach größeren Änderungen, etwa einer neuen Anwendung, einer Cloud-Migration oder einer Übernahme. Vorschriften wie NIS2 und PCI DSS stellen eigene Anforderungen.
Testen Sie erneut, nachdem wir die Befunde behoben haben?
Ja. Der Nachtest ist Teil des Auftrags und endet mit einer Abschlussbestätigung, sobald die Korrekturen geprüft sind.
Können Sie Cloud- und SaaS-Umgebungen testen?
Ja, auch Azure, AWS und GCP – im Rahmen der Testregeln, die jeder Anbieter veröffentlicht.
Mit einem Experten sprechen
Legen Sie den Umfang fest.
Sagen Sie uns, was getestet werden soll. Ihr Angebot folgt innerhalb von 24 Stunden nach dem ersten Gespräch.