Webanwendungen und APIs
Manuelle Tests von Authentifizierung, Autorisierung, Geschäftslogik, Session Handling, Eingabeverarbeitung und Vertrauensgrenzen in Anwendungen und APIs.
Penetrationstest
Testen Sie, was ein Angreifer tatsächlich erreichen kann.
Manuell geführte Tests identifizieren ausnutzbare Angriffspfade, erklären deren Auswirkungen und liefern technischen Teams klare Nachweise für die Behebung relevanter Risiken.
Methode
Manuelle Validierung mit Unterstützung geeigneter Werkzeuge
Evidenz
Reproduzierbare Findings entlang realistischer Angriffspfade
Ergebnis
Priorisierte Behebung und optionaler Retest
Mehr als Scanner-Ergebnisse
Ein Finding zählt, wenn es verändert, was ein Angreifer tun kann.
Automatisierte Erkennung kann Hinweise liefern. Sie erklärt jedoch nicht zuverlässig, ob sich Schwachstellen zu Zugriff, Berechtigungen, Datenexposition oder relevanten geschäftlichen Auswirkungen verbinden lassen.
Tests folgen Hypothesen, manueller Validierung und Evidenz. Der Bericht trennt theoretische Schwächen von den Angriffspfaden, die Ihr Team zuerst adressieren sollte.
Testumfang
Fokussiert auf die Angriffsfläche, die Ihre Entscheidung unterstützt.
Das Angebot definiert Systeme, Ziele, Ausschlüsse, Testfenster und Erfolgskriterien. Ein Engagement kann eine einzelne Oberfläche oder einen klar zusammenhängenden Angriffspfad abdecken.
Externe Angriffsfläche
Validierung internetseitiger Dienste, exponierter Administrationspfade, Konfigurationsschwächen und realistischer Einstiegspunkte für externe Angreifer.
Interne Netzwerke und Active Directory
Bewertung von Identitätspfaden, Berechtigungsgrenzen, exponierten Zugangsdaten, lateralen Bewegungsmöglichkeiten und Kontrollen zur Eindämmung einer Kompromittierung.
Cloud- und Identitätsexposition
Fokussierte Prüfung cloudseitiger Assets, Identitätskonfigurationen, Zugriffsbeziehungen und Angriffspfade zwischen lokaler Infrastruktur und Cloud-Umgebungen.
Ihre Ergebnisse
Evidenz für technische Teams. Klarheit für Entscheidungsträger.
Validierte Findings
Reproduzierbare Nachweise, betroffene Systeme, Voraussetzungen und realistische Auswirkungen jedes bestätigten Findings.
Handlungsorientierter Bericht
Eine Management-Sicht für die Priorisierung und ausreichender technischer Kontext für die Verantwortlichen der Behebung.
Review und Retest
Gemeinsame Besprechung der Findings, direkter Austausch mit dem Spezialisten und optionale Verifikation nach der Behebung.
Ablauf des Engagements
Vor dem Test definiert. Danach verständlich erklärt.
Definieren
Ziele, Autorisierung, Systeme, Ausschlüsse, Testbedingungen und Kommunikationswege abstimmen.
Testen
Realistische Angriffspfade innerhalb der vereinbarten Grenzen untersuchen und validieren. Wesentliche Risiken werden bei Bedarf eskaliert.
Erklären
Findings mit Auswirkungen verbinden, Evidenz mit den relevanten Teams prüfen und praktische Prioritäten vereinbaren.
Verifizieren
Vereinbarte Behebungen erneut testen und bestätigen, ob der Angriffspfad geschlossen oder wesentlich reduziert wurde.
Häufige Fragen
Bevor wir den Umfang definieren.
Nein. Werkzeuge können die Erkennung unterstützen, relevante Findings werden jedoch manuell validiert und mit realistischen Angriffspfaden, Ausnutzbarkeit und Auswirkungen verbunden.
Ja, wenn dies angemessen ist. Testfenster, Rate Limits, Ausschlüsse, Eskalationskontakte und potenziell störende Aktivitäten werden während des Scopings vereinbart.
Der Bericht enthält Management Summary, Scope und Methodik, validierte Findings, Evidenz, Risikokontext und praktische Empfehlungen zur Behebung. Eine technische Besprechung ist enthalten.
Ja. Der Retest kann im ursprünglichen Scope enthalten oder als Follow-up vereinbart werden, um die Wirksamkeit relevanter Korrekturen zu bestätigen.
Ein vollständiges Red Team erfordert breitere operative Fähigkeiten und wird separat definiert. Geht das Ziel über einen fokussierten Penetrationstest hinaus, werden Anforderungen und zusätzliche Spezialisten vor einer Zusage transparent gemacht.
Mit Kontext beginnen