Service
Penetrationstests (VAPT)
Echte Menschen knacken es, bevor es ein anderer tut, und belegen genau wie.
Ein Penetrationstest ist ein praxisnahes Security-Assessment, bei dem unsere Tester versuchen, Ihre Systeme so auszunutzen, wie es ein echter Angreifer täte, statt nur einen Scanner laufen zu lassen und dessen Ausgabe weiterzureichen. Wir bestätigen jeden Befund mit einem echten Payload und verketten kleine Probleme zu den wirklich relevanten.
Es ist der Nachweis, den Auditoren, Kunden und Ihr eigenes Management verlangen, und er fließt direkt in die Kontrollen ein, die Frameworks wie SOC 2, ISO 27001 und PCI DSS erwarten.
Was wir testen
Webanwendungen
Business-Logik, Zugriffskontrolle, Authentifizierung und die OWASP Top 10, von Hand getestet statt gescannt.
APIs
REST, GraphQL und gRPC, gegen die OWASP API Top 10, einschließlich fehlerhafter Autorisierung auf Objektebene.
Cloud
Konfiguration und Ausnutzung von AWS, Azure und GCP, abgebildet auf reale Angriffspfade.
Mobile
iOS- und Android-Apps durchgängig, gegen die OWASP MASVS.
KI und LLM
Prompt Injection, Datenabfluss und Agent-Missbrauch, gegen die OWASP LLM Top 10.
Identität und Netzwerk
Authentifizierung, Privilegienerweiterung und laterale Bewegung über interne und Perimeter-Netzwerke.
Standards, gegen die wir testen
Was enthalten ist
- Manuelles Testen von Webanwendungen, APIs, Cloud und Identität
- Tests von Business-Logik, Zugriffskontrolle und Authentifizierung, die Scanner übersehen
- Reproduzierbare Befunde mit Beleg, Auswirkung und CVSS-Bewertung
- Ein priorisierter Maßnahmenplan, den Ihre Engineers umsetzen können
- Ein kostenloser Retest der Fixes
Was Sie mitnehmen
- Ein klares Bild davon, was ein Angreifer tatsächlich tun könnte
- Belege, die Sie Auditoren und Kunden vorlegen können
- Fixes, die verifiziert und nicht nur gemeldet sind
So läuft es
Umfang
Wir vereinbaren Ziele, Rules of Engagement und Vorgaben vorab, mit festem Umfang und Festpreis.
Testen
Wir testen von Hand über jede Angriffsfläche und verketten Schwachstellen, um echte Auswirkung statt theoretischen Risikos zu belegen.
Belegen
Jeder Befund ist reproduzierbar, mit Beleg, Auswirkung und CVSS-Bewertung. Signal statt Scanner-Rauschen.
Retest
Sie beheben, wir führen den Exploit erneut aus, um zu belegen, dass er geschlossen ist. Der Retest gehört zum Engagement.
Womit wir starten
Black box
Der externe Angreifer
Wir starten ohne internes Wissen, so wie es ein Außenstehender täte, um Ihre reale externe Angriffsfläche zu testen.
Grey box
Der kompromittierte Nutzer
Wir starten mit einem Standardkonto, um zu sehen, wie weit ein eingeloggter Nutzer oder ein gephishter Mitarbeiter kommen könnte. Die übliche Wahl für produktive SaaS.
White box
Maximale Abdeckung
Wir starten mit vollständigen Informationen und Quellcode-Zugriff, für die tiefste Abdeckung bei Vor-Produktions- oder Hochsicherheitssystemen.
Manuelles Testen vs. automatisierter Scan
Beides hat seinen Platz, aber Auditoren wie Angreifer achten auf den Unterschied.
| Manueller Penetrationstest | Automatisierter Scan | |
|---|---|---|
| Fehler in der Business-Logik | Gefunden | Übersehen |
| Jeder Befund von Hand validiert | Ja | Nein |
| Falsch-Positive | Selten, jedes ist belegt | Häufig |
| Verkettete, reale Auswirkung | Ja | Nein |
| Audit-Belege, die Auditoren akzeptieren | Ja | Selten für sich allein |
Was dies unterstützt
Ein manueller Penetrationstest fließt direkt in die Kontrollen ein, die diese Frameworks erwarten, und wird oft ausdrücklich verlangt.
- ISO 27001
- Beleg für Kontrolle A.8.8, das Management technischer Schwachstellen.
- SOC 2
- Beleg für Security-Tests, nach dem Auditoren unter den Trust Services Criteria suchen.
- PCI DSS
- Requirement 11, regelmäßige Penetrationstests der Karteninhaberdaten-Umgebung.
- HIPAA
- Unterstützt die Erwartungen der Security Rule an Evaluierung und Risikoanalyse.
FAQ
- Was ist der Unterschied zwischen einem Schwachstellen-Scan und einem Penetrationstest?
- Ein Scan listet potenzielle Schwachstellen automatisch auf. Ein Penetrationstest ist manuell: Wir nutzen sie aus und verketten sie, um echte Auswirkung zu belegen, und finden die Fehler in Business-Logik und Zugriffskontrolle, die Scanner nicht finden können.
- Hilft ein Penetrationstest bei der Compliance?
- Ja. Die Belege fließen direkt in SOC 2, ISO 27001, PCI DSS und ähnliche Frameworks ein und werden oft ausdrücklich verlangt.
- Ist der Retest enthalten?
- Ja. Sobald Sie die Befunde behoben haben, führen wir den Exploit erneut aus, um zu belegen, dass sie geschlossen sind. Das gehört zum Engagement, nicht zu einem Upsell.
Verwandte Services
Weiterführende Artikel
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
Was ist VAPT? Schwachstellenbewertung und Penetrationstests erklärt
VAPT steht für Vulnerability Assessment and Penetration Testing (Schwachstellenbewertung und Penetrationstests). Hier erfahren Sie, was jede der beiden Hälften bedeutet, wie sie sich unterscheiden, was ein VAPT-Einsatz umfasst und wann Sie ihn tatsächlich benötigen.
6 Min. Lesezeit
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit