Ein Penetrationstest simuliert reale Angriffe auf Infrastruktur, Anwendungen und Identitäten. NEXGAP verbindet Threat Intelligence mit manueller Ausnutzung und liefert jeden Befund mit CVSS-Bewertung, CWE-Klassifikation und nachvollziehbarem Angriffspfad.
Ein Penetrationstest ist ein autorisierter, simulierter Angriff auf klar definierte Systeme. Ziel ist nicht eine Liste möglicher Schwachstellen, sondern der Nachweis, welche davon tatsächlich ausnutzbar sind und wie weit ein Angreifer damit kommt.
Jede Testart folgt derselben Methodik und Bewertungslogik. So bleiben Befunde aus Webanwendung, Active Directory und OT vergleichbar und lassen sich gemeinsam priorisieren.
Alles, was aus dem Internet erreichbar ist, aus Sicht eines unauthentifizierten Angreifers.
Assumed Breach: Start mit einem regulären Benutzerkonto im internen Netz.
Manuelle Prüfung entlang OWASP WSTG und OWASP Top 10.
REST und GraphQL, geprüft nach OWASP API Security Top 10.
Identitäten und Konfiguration statt nur einzelner Hosts.
Spezialisierte Prüfung von Schnittstellen, Berechtigungen und Patchstand.
Behutsam, abgestimmt und mit Fokus auf die Übergänge zwischen IT und OT.
Wir stimmen Umfang und Tiefe individuell ab, von einer einzelnen Anwendung bis zur Konzernstruktur mit Tochtergesellschaften.
Unser Vorgehen orientiert sich an PTES, dem OWASP Web Security Testing Guide, NIST SP 800-115 und dem Durchführungskonzept für Penetrationstests des BSI. Jede Phase endet mit einem prüfbaren Zwischenergebnis.
Zielsysteme, Testperspektive, Zeitfenster, Ausschlüsse und Notfallkontakte werden schriftlich festgelegt. Ohne schriftliche Freigabe beginnt kein Test.
Wir erfassen die Angriffsfläche und prüfen, was über Ihr Unternehmen bereits im Untergrund kursiert, etwa Zugangsdaten aus Infostealer-Logs oder Hinweise auf exponierte Systeme.
Automatisierte Prüfungen liefern Hinweise. Analysten verifizieren jeden Treffer manuell, verwerfen Falsch-Positive und ergänzen, was Scanner grundsätzlich nicht finden, etwa Fehler in Geschäftslogik und Berechtigungen.
Kontrollierte Ausnutzung belegt, welche Schwachstellen tatsächlich zu Zugriff führen. Destruktive Techniken setzen wir nur nach ausdrücklicher Freigabe ein.
Rechteausweitung, Lateral Movement und Zugriff auf vorab definierte Kronjuwelen. Jeder Schritt wird auf MITRE ATT&CK abgebildet und mit Zeitstempel protokolliert.
Management Summary, technische Befunde mit Reproduktionsschritten und priorisierte Maßnahmen, besprochen mit Ihren IT-, Entwicklungs- und Managementteams.
Jeder Befund ist reproduzierbar dokumentiert, nach CVSS 3.1 bewertet, nach CWE klassifiziert und auf MITRE ATT&CK abgebildet. So lassen sich Maßnahmen priorisieren und gegenüber Auditoren belegen.
Eine Auswahl von Kunden, für die NEXGAP Penetrationstests durchgeführt hat.
[Platzhalter für das freigegebene Kundenzitat zum Penetrationstest mit NEXGAP]
Ein Penetrationstest ohne Kenntnis der realen Bedrohungslage prüft Annahmen. NEXGAP bezieht Erkenntnisse aus der eigenen Threat Intelligence ein und testet die Wege, die Angreifer tatsächlich nutzen.
Wir prüfen vorab, ob gültige Zugangsdaten Ihrer Mitarbeitenden aus Infostealer-Logs im Umlauf sind, und beziehen sie mit Ihrer Freigabe in den Test ein.
Exponierte Systeme, vergessene Subdomains und Fernzugänge aus unserer laufenden Überwachung fließen direkt in den Scope.
Testszenarien orientieren sich an Taktiken, die Gruppen derzeit gegen Ihre Branche einsetzen, abgebildet auf MITRE ATT&CK.
Viele Regelwerke verlangen, die Wirksamkeit technischer Sicherheitsmaßnahmen regelmäßig zu prüfen. Ein Penetrationstest liefert dafür einen belastbaren, dokumentierten Nachweis.
Betroffene Einrichtungen müssen Konzepte und Verfahren zur Bewertung der Wirksamkeit ihrer Risikomanagementmaßnahmen vorhalten. In Deutschland umgesetzt im BSI-Gesetz.
Finanzunternehmen müssen ein Testprogramm betreiben, das auch Penetrationstests umfasst. Ausgewählte Unternehmen unterliegen zusätzlich bedrohungsorientierten Penetrationstests (TLPT).
Das Management technischer Schwachstellen sowie Sicherheitstests in Entwicklung und Abnahme gehören zu den Maßnahmen des Anhangs A.
Mindestens jährlich sowie nach wesentlichen Änderungen an Infrastruktur oder Anwendungen, einschließlich der Prüfung der Segmentierung.
Der Informationssicherheits-Katalog fordert ein Management technischer Schwachstellen. Penetrationstests liefern dafür belastbare Belege.
Vor dem Livegang neuer Anwendungen, nach größeren Umbauten und bei Unternehmenskäufen, wenn die Sicherheitslage eines Ziels belastbar bewertet werden muss.
Die Übersicht ersetzt keine Rechtsberatung. Welche Pflichten konkret gelten, hängt von Sektor, Größe und Rolle Ihres Unternehmens ab.
Ihre Frage ist nicht dabei? Wir beantworten sie gern im persönlichen Gespräch.
Der Aufwand hängt vom Umfang ab: Anzahl und Art der Systeme, Testperspektive, gewünschte Tiefe der Ausnutzung und Zahl der Prüfgegenstände. Nach einem kurzen Scoping-Gespräch erhalten Sie ein Angebot mit klar definiertem Umfang.
Fokussierte Tests einzelner Webanwendungen oder APIs dauern typischerweise einige Tage. Umfassende Infrastruktur- und Active-Directory-Tests benötigen eher ein bis drei Wochen. Hinzu kommen Vorbereitung und Berichterstellung.
Ein Schwachstellenscan erfasst automatisiert bekannte Schwachstellen und liefert eine Liste möglicher Probleme. Ein Penetrationstest verifiziert diese manuell, findet zusätzlich logische Fehler und belegt, welche Schwachstellen tatsächlich ausnutzbar sind und wie weit ein Angreifer damit kommt.
Beim Black-Box-Test erhalten die Tester kein Vorwissen. Beim Grey-Box-Test stehen Benutzerkonten oder Teilinformationen zur Verfügung, beim White-Box-Test zusätzlich Dokumentation, Konfigurationen oder Quellcode. Grey-Box bietet meist das beste Verhältnis von Aufwand und Erkenntnis.
Risiken werden im Scoping minimiert: abgestimmte Zeitfenster, benannte Notfallkontakte, Ausschluss kritischer Systeme und destruktive Techniken nur nach ausdrücklicher Freigabe. OT- und Produktionsumgebungen testen wir besonders behutsam.
Mindestens jährlich sowie nach wesentlichen Änderungen wie neuen Anwendungen, Migrationen oder Umbauten im Netzwerk. Einige Regelwerke, etwa PCI DSS, schreiben diesen Rhythmus ausdrücklich vor.
Unser Vorgehen orientiert sich an PTES, dem OWASP Web Security Testing Guide, den OWASP Top 10, den OWASP API Security Top 10, NIST SP 800-115 und dem Durchführungskonzept für Penetrationstests des BSI. Befunde bewerten wir nach CVSS 3.1, klassifizieren sie nach CWE und bilden sie auf MITRE ATT&CK ab.
Berichte und Nachweise übermitteln wir ausschließlich verschlüsselt, auf Wunsch per PGP. Testdaten werden nach Projektabschluss gemäß vertraglicher Vereinbarung gelöscht.