IT Sicherheit testen –
Manuell. Zertifiziert. Schnell.

IT Sicherheit testen bedeutet, die eigene IT-Infrastruktur (Web-Apps, Netzwerke, Cloud, Active Directory) gezielt auf Schwachstellen zu prüfen, bevor Angreifer sie finden. Ein professioneller IT Sicherheitstest wird von zertifizierten Experten von Hand durchgeführt, die gefundene Lücken auch ausnutzen und zu Angriffsketten verbinden, und endet mit einem Bericht, der jedes Finding belegt und priorisiert.

Der automatisierte Schwachstellenscan liegt bei 1.499 €. Ein manueller IT Sicherheitstest wird individuell auf Ihr Projekt zugeschnitten und nach Aufwand und Tagessätzen kalkuliert, meist zwischen 4.000 und 20.000 €. Für laufende Überwachung zwischen den Tests gibt es AuditAI ab 99 € pro Monat. Welche Variante passt, entscheidet sich daran, ob ein Nachweis zu einem festen Termin gebraucht wird oder neue Lücken laufend auffallen sollen.

Verlässlich nur, indem jemand den Angriff mit Ihrer Freigabe tatsächlich durchspielt. Dabei wird die von außen erreichbare Angriffsfläche aufgenommen, eingesetzte Software gegen bekannte CVE-Schwachstellen abgeglichen und geprüft, ob sich Authentifizierung umgehen, Berechtigungen ausweiten oder Daten abgreifen lassen. Selbsteinschätzungen, Checklisten und Firewall-Logs ersetzen diesen praktischen Nachweis nicht.

Beginnen Sie mit allem, was aus dem Internet erreichbar ist: Web-Anwendungen, APIs, VPN- und Mail-Gateways, Remote-Zugänge. Danach folgen das interne Netzwerk, Active Directory mit seinem Berechtigungskonzept und die Cloud-Konfiguration. Priorität haben Systeme, die personenbezogene Daten verarbeiten oder deren Ausfall den Geschäftsbetrieb stoppen würde.

Eine einzelne Web-Anwendung ist in 3 bis 5 Testtagen geprüft, ein Netzwerk in 5 bis 10 Tagen, unternehmensweite Tests mit Active Directory und Cloud benötigen 2 bis 4 Wochen. Den Bericht liefern wir innerhalb von 48 Stunden nach Testabschluss, kritische Findings melden wir sofort während des Tests.

Mindestens einmal jährlich und nach jeder größeren Systemänderung wie Deployment, Migration oder neuer Infrastruktur. NIS2 und ISO 27001 fordern regelmäßige Sicherheitsprüfungen, DSGVO Art. 32 eine regelmäßige Wirksamkeitsprüfung. Viele Unternehmen testen halbjährlich oder nach jedem größeren Release-Zyklus und überwachen dazwischen laufend per Scan.

Ja. Alle IT Sicherheitstests können vollständig remote über VPN oder Test-Account durchgeführt werden, das spart Zeit und Reisekosten. Sodu Secure testet von Berlin aus deutschlandweit und international; für interne Netzwerk- oder WLAN-Tests ist ein Vor-Ort-Einsatz möglich.

Technik, Organisation und Menschen. Technisch gehören Netzwerk- und Serverhärtung, sichere Software-Entwicklung, Patchmanagement, Verschlüsselung, Zugriffs- und Rechtekonzepte sowie Backup und Notfallwiederherstellung dazu. Organisatorisch kommen Richtlinien, Rollen, Lieferantenprüfung und Incident-Response hinzu, personell Schulungen und Awareness. Ein IT Sicherheitstest prüft, ob diese Maßnahmen technisch tatsächlich wirken.

Kostenlose Scanner wie OpenVAS oder Nmap zeigen offene Ports, Versionsstände und bekannte CVE-Schwachstellen und sind ein sinnvoller erster Schritt. Sie bewerten aber nicht, welche Funde in Ihrem Kontext wirklich gefährlich sind, und finden keine Logikfehler oder Angriffsketten. Für Nachweise gegenüber Auditoren, Kunden und Versicherungen reicht ein Eigenscan nicht aus.

Regelmäßig finden wir schwache oder fehlende Multi-Faktor-Authentifizierung, veraltete Software mit bekannten CVE-Schwachstellen, unsichere oder ungeschützte API-Endpunkte, fehlerhafte Berechtigungsprüfungen in Web-Anwendungen, Fehlkonfigurationen im Active Directory und überprivilegierte Cloud-Rollen. Viele davon entstehen nicht durch fehlende Technik, sondern durch gewachsene Konfigurationen, die nie überprüft wurden.

Ja. Der Bericht enthält für jedes Finding konkrete Remediation-Empfehlungen mit Aufwandseinschätzung, und wir besprechen die Ergebnisse mit Ihrem Team. Sind die kritischen Lücken geschlossen, testen wir sie ohne Zusatzkosten ein zweites Mal und halten den bereinigten Stand als Nachweis für Auditoren, Kunden und Versicherungen fest.

Vier Dokumente: eine Vertraulichkeitsvereinbarung, die Testfreigabe des Systemverantwortlichen mit Unterschrift, der abgegrenzte Scope aus Domains, IP-Bereichen und Anwendungen sowie das vereinbarte Zeitfenster mit Notfallkontakt. Liegen Systeme bei einem Hoster oder Cloud-Anbieter, klären wir dessen Testerlaubnis mit ab. Ohne unterschriebene Freigabe beginnt kein Test, weil dieselben Handlungen sonst rechtswidrig wären.