Automatisierte und manuelle Schwachstellenscans zur Identifizierung von Sicherheitslücken in Ihrem gesamten Technologie-Stack.
Umfassende Schwachstellenscans mit branchenführenden Tools
Expertenvalidierung automatischer Ergebnisse zur Eliminierung von False Positives
CVSS v3.1-Bewertung mit Umgebungs- und Zeitmetriken
Zuordnung der Ergebnisse zu Compliance-Frameworks und regulatorischen Anforderungen
Überprüfung von System- und Anwendungskonfigurationen auf Sicherheitsbest Practices
Vollständiges Inventar und Klassifizierung aller Netzwerk-Assets
Bewertung der Patch-Level und fehlender Sicherheitsupdates
Integration aktueller Threat Intelligence für kontextbezogene Risikobewertung
Detaillierter Bericht aller identifizierten Schwachstellen mit technischen Details und Exploit-Potenzial
Hochlevel-Überblick mit Risikometriken und Geschäftsimpact-Analyse
Interaktives Dashboard zur Verfolgung von Schwachstellentrends und Behebungsfortschritt
Priorisierter Behebungs-Roadmap mit Zeitplänen und Ressourcenanforderungen
Die CVSS-Bewertung ist der Ausgangspunkt, nicht das Ergebnis. Entscheidend ist die Einordnung in Ihre Umgebung: Ist das System aus dem Internet erreichbar, existiert ein öffentlich verfügbarer Exploit, hängen personenbezogene Daten oder ein produktionskritischer Prozess daran. Daraus entsteht eine Reihenfolge, die Ihr Team von oben nach unten abarbeiten kann, statt einer Liste gleichrangiger Einträge.
Jeder Treffer wird manuell nachgeprüft, bevor er in den Bericht kommt. Rein versionsbasierte Meldungen verifizieren wir am tatsächlichen Verhalten des Dienstes, denn zurückportierte Patches und nicht erreichbare Codepfade erzeugen im Rohbefund regelmäßig Fehlalarme. Was sich nicht bestätigen lässt, entfällt oder wird mit Begründung als nicht ausnutzbar gekennzeichnet.
Ja. Viele Kunden lassen extern erreichbare Systeme monatlich und interne Bereiche quartalsweise prüfen, damit neu bekannt gewordene Lücken nicht bis zum nächsten manuellen Test liegen bleiben. Der Einstieg liegt bei 1.499 €. Wiederkehrende Durchläufe behalten Scope und Bewertungsmaßstab bei, sodass Sie Veränderungen über die Zeit tatsächlich vergleichen können.
Ein Scanner-Report zeigt, was ein Werkzeug gesehen hat. Das Assessment zeigt, was davon übrig bleibt, nachdem ein Mensch es geprüft hat: validierte Befunde, entfernte Fehlalarme, Einordnung nach Ihrem Geschäftsrisiko und eine Maßnahmenliste, die Sie an Auditoren und Kunden weitergeben können. Der praktische Unterschied liegt in der Weiterverarbeitung: Jeder verifizierte Befund kommt mit Reproduktionsschritten und lässt sich unverändert als Ticket an die Entwicklung übergeben.
Ein Schwachstellenscan findet bekannte Lücken in der Breite und lässt sich regelmäßig wiederholen. Ein Penetrationstest geht in die Tiefe: Ein Mensch nutzt Schwachstellen tatsächlich aus, verkettet sie und findet Geschäftslogikfehler, die in keiner Datenbank stehen. Der Scan ist laufende Hygiene, der Pentest der belastbare Nachweis.
Für nach außen erreichbare Systeme monatlich oder häufiger, für interne Systeme mindestens quartalsweise, zusätzlich nach jeder größeren Änderung. Neue CVEs erscheinen täglich - ein Scan, der ein Jahr zurückliegt, sagt über den heutigen Zustand wenig aus. Viele Kunden kombinieren regelmäßige Scans mit einem jährlichen manuellen Pentest.
Open Web Application Security Project Test-Methodologie
Open Source Security Testing Methodology Manual Compliance
NIST SP 800-115 Praktischer Leitfaden für Informationssicherheitstests
Ein Penetrationstest ist ein kontrollierter Angriff auf Ihre Systeme durch zertifizierte Sicherheitsexperten. Wir nutzen dieselben Techniken wie echte Angreifer, um Schwachstellen nicht nur zu finden, sondern nachweisbar auszunutzen - abgestimmt, dokumentiert und ohne Schaden für Ihren Betrieb. Ergebnis ist ein Bericht, der jede Lücke mit Nachweis, Risikobewertung und konkreter Behebungsempfehlung beschreibt.
Ein automatisierter Schwachstellenscan startet bei 1.499 €. Ein manueller Penetrationstest wird individuell nach Umfang und Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 €. Den Preisrahmen für Ihren Fall ermitteln Sie in drei Minuten über unseren Konfigurator, ein verbindliches Festpreisangebot erhalten Sie innerhalb von 24 Stunden nach dem Scoping.
In fünf Schritten: kostenloses Scoping-Gespräch, schriftliche Testfreigabe mit Zeitfenster, aktive Testphase, Bericht mit priorisierten Findings und kostenloser Retest nach Behebung. Kritische Schwachstellen melden wir sofort während des Tests, nicht erst im Abschlussbericht. Sie benennen einen Ansprechpartner, der jederzeit erreichbar ist und Tests bei Bedarf stoppen kann.
Zwischen Teststart und Berichtsübergabe vergehen typischerweise ein bis drei Wochen. Die aktive Testphase dauert je nach Umfang wenige Tage bis zwei Wochen, die Auswertung und Berichtserstellung danach rund drei bis fünf Arbeitstage. Den genauen Zeitraum legen wir im Scoping fest, kurzfristige Termine sind nach Absprache möglich.
Nein. Wir testen mit Methoden, die den Produktivbetrieb nicht beeinträchtigen, und stimmen jeden potenziell invasiven Schritt vorab mit Ihnen ab. Auf Wunsch testen wir außerhalb der Geschäftszeiten oder gegen eine Staging-Umgebung. Während des Tests ist ein Tester für Sie erreichbar und kann laufende Tests jederzeit unterbrechen.
Für einen Black-Box-Test genügen die Zieladressen. Bei Grey- und White-Box-Tests stellen Sie Testbenutzer mit unterschiedlichen Rollen bereit, für interne Tests zusätzlich einen VPN-Zugang oder ein System im Netz. Mehr Zugang bedeutet in der Regel mehr gefundene Schwachstellen pro Testtag - welches Modell sinnvoll ist, klären wir im Scoping.
Kritische Funde melden wir sofort während des Tests an Ihren benannten Ansprechpartner, telefonisch und schriftlich, inklusive erster Sofortmaßnahmen. Sie warten nicht bis zum Abschlussbericht. Auf Wunsch unterbrechen wir den Test, bis die Lücke geschlossen ist, und setzen ihn danach im vereinbarten Zeitfenster fort.
Der Bericht enthält eine Management-Zusammenfassung, alle Findings mit CVSS-Bewertung, Proof-of-Concept und Screenshots sowie eine nach Risiko priorisierte Maßnahmenliste. Sie erhalten ihn als PDF auf Deutsch und Englisch und können ihn direkt an Ihr Entwicklungsteam, an Auditoren oder an Kunden weitergeben, die einen Sicherheitsnachweis verlangen.
Ein Scanner findet bekannte, katalogisierte Schwachstellen. Er erkennt keine Geschäftslogikfehler, keine Rechteausweitung über mehrere Schritte und nicht die Kombination harmloser Einzelbefunde zu einem echten Angriffspfad. Genau dort setzt der manuelle Test an. Für laufendes Monitoring ist ein Scan ab 1.499 € sinnvoll, für belastbare Nachweise der manuelle Penetrationstest.
Achten Sie auf nachgewiesene Zertifizierungen der Testenden, einen anonymisierten Musterbericht vor Auftragsvergabe, ein schriftliches Scoping mit klar abgegrenztem Umfang und einen im Preis enthaltenen Retest. Unsere Tester sind OSCP-, OSWE- und CEH-zertifiziert und haben über 500 Penetrationstests durchgeführt. Wir arbeiten von Berlin aus, remote und vor Ort.
Sichern Sie Ihr Netzwerk mit einem umfassenden Penetrationstest von zertifizierten Sicherheitsexperten