Audit
Penetrationstest: Schwachstellen finden, bevor Angreifer es tun
Vor dem Go-live, für ISO 27001, NIS‑2, DORA oder TISAX® oder als Nachweis für Ihren Kunden: Wir greifen Ihre Systeme mit den Methoden realer Angreifer an, bewerten jede Schwachstelle nach Risiko und sagen Ihnen konkret, was zu tun ist.
Kostenlos und unverbindlich. Ihr Angebot erhalten Sie innerhalb von 48 Stunden.
Was unser Pentest abdeckt
Unsere Penetrationstests sind geeignet für:
- Web-Applikationen und APIs
- KI-Anwendungen, wie Chatbots und LLM-Integrationen
- Mobile Anwendungen
- SAP-Systeme
- OT- und SCADA-Systeme
- AWS, Azure und Google Cloud
Auf Wunsch prüfen wir zusätzlich den Quellcode.
Ihr Ergebnis des Penetrationstests
Sie wissen danach, welche Schwachstellen Sie zuerst schließen:
- Gutachten mit identifizierten Schwachstellen und ihrer Risikobewertung
- Konkrete Empfehlungen zur Behebung
- Follow-up Assessment nach Umsetzung der Maßnahmen
- Ein Nachweis für Kunden, Auditoren und Behörden
So läuft Ihr Penetrationstest ab
Vom Scoping bis zum Nachtest in fünf Schritten:
- Planung und Scoping des Projekts
- Automatisierter Schwachstellen-Scan der IT- bzw. OT-Systeme
- Tiefergehende Sicherheitsanalyse der Systeme mittels Penetrationstest
- Risikobewertung der Schwachstellen und Empfehlung von Maßnahmen
- Follow-up Assessment nach der Umsetzung
Warum Securitects
- Zertifiziertes Angriffs-Know-how: GIAC-zertifizierte Pentester (GWAPT für Web-Applikationen, GCPN für Cloud)
- Von der Web-App bis zur Steuerung: Web, APIs, KI, Mobile, SAP, Cloud sowie OT- und SCADA-Systeme
- Mit Nachtest: Das Follow-up Assessment zeigt, ob Ihre Maßnahmen wirken
- Testen im laufenden Betrieb: Zeitfenster und Testtiefe stimmen wir ab, besonders bei OT
Mehr über unser Team und seine Qualifikationen
Häufige Fragen zum Penetrationstest
Der Aufwand hängt von Anzahl und Komplexität der Systeme und der gewünschten Prüftiefe ab. Nach dem Scoping erhalten Sie ein Angebot mit festem Umfang.
Ja. Zeitfenster und Testtiefe stimmen wir so ab, dass Ihr Betrieb weiterläuft, das gilt besonders für OT-Systeme.
Ja, auf Wunsch kombinieren wir den Pentest mit einem Source Code Audit.
Mindestens vor jedem größeren Release und nach wesentlichen Änderungen an Systemen oder Infrastruktur. Viele Regelwerke und Kunden erwarten zusätzlich regelmäßige Tests, meist jährlich.
Die Dauer ergibt sich aus dem Scope: Anzahl der Anwendungen, Schnittstellen und Benutzerrollen, Größe der Cloud- oder OT-Umgebung und gewünschte Prüftiefe. Hinzu kommen Berichtserstellung und der Nachtest nach Ihrer Behebung. Bei OT-Systemen richtet sich der Zeitplan zusätzlich nach Ihren Wartungsfenstern. Den Testzeitraum planen wir im Scoping mit Ihnen, Termine und Aufwand stehen im Angebot.
Die Begriffe beschreiben, wie viel wir vor dem Test über Ihre Systeme wissen:
- Black Box: keine Vorabinformationen, wie bei einem externen Angreifer
- Grey Box: Testzugänge und Basisinformationen, etwa zu Benutzerrollen
- White Box: volle Einsicht in Dokumentation und Konfiguration
Für die meisten Anwendungen empfehlen wir Grey Box, weil wir so im gleichen Zeitraum mehr Funktionen und Berechtigungen prüfen. Welcher Ansatz zu Ihrem Ziel passt, klären wir im Scoping.
Der Pentest-Bericht belegt, dass Sie die Wirksamkeit Ihrer technischen Sicherheitsmaßnahmen prüfen. NIS‑2 verlangt Verfahren, um die Wirksamkeit des Risikomanagements zu bewerten, DORA fordert regelmäßige Tests der digitalen operationalen Resilienz, und auch für TISAX® sind solche Prüfungen ein gängiger Nachweis. Umfang und Bericht richten wir im Scoping an Ihrem Regelwerk aus. Bedrohungsorientierte Tests (TLPT) nach DORA sind ein eigenes Format mit besonderen Vorgaben. Diese bieten wir nicht selbst an, können aber als Dienstleister in einem TLPT beigezogen werden.
Damit der Test effizient läuft, benötigen wir:
- Eine schriftliche Freigabe mit Scope, Zeitfenster sowie IP-Adressen bzw. URLs
- Testzugänge für die vereinbarten Benutzerrollen
- Einen technischen Ansprechpartner, der während des Tests erreichbar ist
- Bei gehosteten Systemen die Klärung, ob Ihr Hosting- oder Cloud-Anbieter zustimmen muss
Idealerweise testen wir in einer produktionsnahen Testumgebung. Ist das nicht möglich, stimmen wir das Vorgehen am Produktivsystem eng mit Ihnen ab.
Planen Sie Ihren Pentest
Im kostenlosen Erstgespräch legen wir Scope und Prüftiefe fest.