Pentests, die
echte Lücken finden.

Ein Pentest ist ein autorisierter, kontrollierter Angriff auf Ihre IT-Systeme durch Sicherheitsexperten. Er deckt ausnutzbare Schwachstellen auf, bevor echte Angreifer sie finden - inklusive Bericht mit Risikobewertung und konkreten Fix-Empfehlungen.

Ein automatisierter Schwachstellenscan startet bei 1.499 €. Ein manueller Pentest wird individuell auf Ihr Projekt zugeschnitten und nach Aufwand und Tagessätzen kalkuliert - meist zwischen 4.000 und 20.000 €. Der endgültige Festpreis steht nach dem kostenlosen Scoping-Call fest - ohne versteckte Tagessätze.

Ein fokussierter Web-App-Pentest dauert typischerweise 3 bis 5 Testtage, größere Infrastruktur- und Active-Directory-Tests ein bis zwei Wochen. Der Start ist meist 1 bis 2 Wochen nach Beauftragung möglich, in dringenden Fällen innerhalb von 72 Stunden.

Getestet wird, was Sie im Scoping freigeben - typisch sind Webanwendungen und ihre APIs, die aus dem Internet erreichbare Infrastruktur, das interne Netz samt Active Directory, Cloud-Konfigurationen und Mobile Apps. Geprüft wird jeweils auf Authentifizierung und Berechtigungen, Injection-Schwachstellen, Fehlkonfigurationen und Logikfehler im Geschäftsprozess. Systeme außerhalb des Scopes werden schriftlich ausgenommen und bleiben unangetastet.

Drei Dinge: eine schriftliche Testfreigabe des Systemeigentümers, die Zieladressen oder URLs samt der zu testenden Umgebung und - bei Grey- oder White-Box - Testaccounts je Nutzerrolle. Hilfreich, aber nicht zwingend sind API-Dokumentation und ein technischer Ansprechpartner für Rückfragen während des Tests. Der Vorbereitungsaufwand auf Ihrer Seite liegt damit meist bei ein bis zwei Stunden.

Das BSI empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre, da laufend neue Schwachstellen und Angriffsmethoden bekannt werden. Ein Pentest ist immer eine Momentaufnahme: Je höher der Schutzbedarf, desto häufiger sollte getestet werden - bei agiler Entwicklung jährlich oder nach jedem Major Release.

Ein Schwachstellenscan läuft automatisiert und liefert eine Liste potenzieller Lücken - oft mit False Positives. Ein Pentest geht laut BSI darüber hinaus: Erfahrene Tester versuchen gezielt, Sicherheitsmaßnahmen zu umgehen, verifizieren jede Lücke manuell und verketten Findings zu realen Angriffspfaden.

Wir testen nicht-destruktiv und stimmen jeden potenziell impactvollen Schritt mit Ihnen ab - auf Wunsch ausschließlich auf Staging. Das entspricht der vom BSI empfohlenen moderaten Angriffsstärke: Schwachstellen nachweisen, Exploits nur wenn unvermeidbar und ausreichend getestet.

Sie erhalten einen Bericht mit Management-Summary, CVSS-Risikobewertung, Proof-of-Concept und priorisierten Fix-Empfehlungen in Deutsch und Englisch. Nach der Behebung verifizieren wir Ihre Fixes innerhalb von 30 Tagen kostenfrei im Retest und stellen ein bereinigtes Zertifikat aus.

Ja. Vor dem Testbeginn wird eine Vertraulichkeitsvereinbarung geschlossen, die auch die Löschung der Testdaten nach Projektende regelt. Zugangsdaten, Befunde und Berichte werden verschlüsselt übertragen, getestet wird ausschließlich im freigegebenen Scope. Der Test selbst zahlt zugleich auf DSGVO Art. 32 ein, der ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit Ihrer Sicherheitsmaßnahmen verlangt.

Dann haben Sie den schriftlichen Nachweis, dass Ihre Maßnahmen wirken - genau das verlangen Auditoren, Kunden und Versicherer. Der Bericht dokumentiert in diesem Fall den geprüften Scope, die angewendete Methodik und die getesteten Angriffspfade. Ganz ohne Findings bleibt ein Pentest allerdings selten: Häufig sind es Schwachstellen mittlerer Kritikalität, die erst in Kombination zum echten Angriffspfad werden.

Ja, sofern der Scope eng geschnitten ist. Für den Mittelstand reicht meist das eine System, dessen Ausfall den Betrieb stoppt - damit bleibt der Aufwand kalkulierbar und der Nachweis liegt trotzdem vor. Dazu kommt die Pflichtseite: Die NIS2-Umsetzung im BSIG erfasst in den betroffenen Sektoren Unternehmen ab 50 Beschäftigten und mehr als 10 Mio. Euro Jahresumsatz oder Jahresbilanzsumme.