Penetrationstest für Unternehmen.
Jeder Befund belegt.

Der Aufwand hängt vom Umfang ab: Anzahl und Art der Systeme, Testperspektive, gewünschte Tiefe der Ausnutzung und Zahl der Prüfgegenstände. Nach einem kurzen Scoping-Gespräch erhalten Sie ein Angebot mit klar definiertem Umfang.

Fokussierte Tests einzelner Webanwendungen oder APIs dauern typischerweise einige Tage. Umfassende Infrastruktur- und Active-Directory-Tests benötigen eher ein bis drei Wochen. Hinzu kommen Vorbereitung und Berichterstellung.

Ein Schwachstellenscan erfasst automatisiert bekannte Schwachstellen und liefert eine Liste möglicher Probleme. Ein Penetrationstest verifiziert diese manuell, findet zusätzlich logische Fehler und belegt, welche Schwachstellen tatsächlich ausnutzbar sind und wie weit ein Angreifer damit kommt.

Beim Black-Box-Test erhalten die Tester kein Vorwissen. Beim Grey-Box-Test stehen Benutzerkonten oder Teilinformationen zur Verfügung, beim White-Box-Test zusätzlich Dokumentation, Konfigurationen oder Quellcode. Grey-Box bietet meist das beste Verhältnis von Aufwand und Erkenntnis.

Ja, wenn der Berechtigte ihn schriftlich beauftragt und der Umfang klar beschrieben ist. Ohne diese Einwilligung wäre der Zugriff auf fremde Systeme strafbar, etwa nach § 202a StGB. Systeme von Hostern, Cloud-Anbietern oder Dienstleistern beziehen wir nur ein, wenn deren Bedingungen es erlauben oder sie zugestimmt haben.

Risiken werden im Scoping minimiert: abgestimmte Zeitfenster, benannte Notfallkontakte, Ausschluss kritischer Systeme und destruktive Techniken nur nach ausdrücklicher Freigabe. OT- und Produktionsumgebungen testen wir besonders behutsam.

Mindestens jährlich sowie nach wesentlichen Änderungen wie neuen Anwendungen, Migrationen oder Umbauten im Netzwerk. Einige Regelwerke, etwa PCI DSS, schreiben diesen Rhythmus ausdrücklich vor.

Unser Vorgehen orientiert sich an PTES, dem OWASP Web Security Testing Guide, den OWASP Top 10:2025, den OWASP API Security Top 10, den OWASP Top 10 for LLM Applications, NIST SP 800-115 und dem Durchführungskonzept für Penetrationstests des BSI. Befunde bewerten wir nach CVSS 3.1 und 4.0, klassifizieren sie nach CWE und bilden sie auf MITRE ATT&CK ab.

Berichte und Nachweise übermitteln wir ausschließlich verschlüsselt, auf Wunsch per PGP. Testdaten werden nach Projektabschluss gemäß vertraglicher Vereinbarung gelöscht.

Das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit dem 6. Dezember 2025, verlangt von betroffenen Einrichtungen Risikomanagementmaßnahmen und Verfahren, mit denen sie deren Wirksamkeit bewerten. Ein Penetrationstest ist dort nicht ausdrücklich vorgeschrieben, gilt aber als gängiger und belastbarer Nachweis, dass technische Maßnahmen tatsächlich wirken.

Ein Penetrationstest prüft einen definierten Umfang möglichst vollständig auf ausnutzbare Schwachstellen. Red Teaming simuliert über einen längeren Zeitraum einen gezielten Angriff mit einem konkreten Ziel und prüft zusätzlich, ob Erkennung und Reaktion funktionieren. Für die meisten Unternehmen ist der Penetrationstest der sinnvolle erste Schritt.

Legen Sie fest, welche Systeme geprüft werden, wer intern Ansprechpartner ist und welche Zeitfenster gelten. Informieren Sie den Betrieb und gegebenenfalls Ihren Dienstleister oder Hoster, stellen Sie Testkonten bereit und sichern Sie kritische Systeme vorab. Alles Weitere klären wir gemeinsam im Scoping.

An einem sauberen Scoping mit schriftlichen Rules of Engagement, an manuell verifizierten Befunden statt reiner Scanner-Ausgaben, an einem nachvollziehbaren Bericht mit Reproduktionsschritten und priorisierten Empfehlungen sowie an klaren Regeln zur Vertraulichkeit. Lassen Sie sich vorab zeigen, wie ein Befund im Bericht aussieht.