Was ist ein Pentest?
Zertifizierte Security-Experten greifen Ihre Systeme kontrolliert genauso an wie ein echter Hacker – nur dass sie die Lücken an Sie melden, statt sie auszunutzen. Sie sehen schwarz auf weiß, wo Sie verwundbar sind.
NIS2, DSGVO, DORA oder MDR – welche Cybersicherheits-Verordnung verpflichtet Sie wirklich? Beantworten Sie fünf Fragen zu Branche, Größe und Daten und erfahren Sie sofort, welche Vorgaben für Sie gelten und welche Nachweise Sie brauchen.
Teams aus DACH vertrauen auf Sodu Secure, um kritische Schwachstellen zu finden, bevor Angreifer es tun.
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”

“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”

“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”

“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”

“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”

“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”

“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
“Die Zusammenarbeit mit Sodu Secure war von Anfang an sehr professionell und angenehm. Besonders beeindruckt hat uns der detaillierte Abschlussbericht mit klaren Handlungsempfehlungen zur Behebung der gefundenen Probleme. Wir empfehlen Sodu Secure gerne als kompetenten und zuverlässigen Partner weiter.”

“Endlich ein Pentest-Partner, der nicht nur eine PDF abliefert. Das Team hat im Retest jede Schwachstelle persönlich verifiziert. Für unsere ISO-27001-Zertifizierung war das Gold wert.”

“Schnell, professionell und auf Augenhöhe mit unseren Entwicklern. Das wöchentliche AuditAI-Review fängt Probleme ab, bevor sie überhaupt in Produktion gehen.”
“Als Beratungshaus stehen und fallen wir mit dem Vertrauen unserer Mandanten. Sodu Secure hat unsere Systeme gründlich geprüft und uns nachvollziehbar gezeigt, wo wir nachbessern mussten. Absolut empfehlenswert.”

“Wir hatten Angst vor einem Pentest – am Ende war es der entspannteste IT-Termin des Jahres. Klare Sprache, faire Preise, echte Ergebnisse.”
“Die gefundenen Schwachstellen waren keine Theorie – das Team hat live demonstriert, wie ein Angreifer an unsere Kundendaten gekommen wäre. Das hat im Management sofort gesessen.”
Fünf Fragen zu Branche, Mitarbeiterzahl, Umsatz und Daten – am Ende sehen Sie klar, ob NIS2, DSGVO, DORA oder MDR auf Sie zutrifft, mit konkreter Rechtsgrundlage.
Die Branche entscheidet maßgeblich, welche Cybersicherheits-Verordnung greift.
Kurz erklärt – ohne Fachchinesisch. Damit auch die Geschäftsführung sofort versteht, worum es geht.
Zertifizierte Security-Experten greifen Ihre Systeme kontrolliert genauso an wie ein echter Hacker – nur dass sie die Lücken an Sie melden, statt sie auszunutzen. Sie sehen schwarz auf weiß, wo Sie verwundbar sind.
Jedes Unternehmen, das Software betreibt, Kundendaten verarbeitet oder online erreichbar ist. Besonders dringend bei Webshops, SaaS, APIs, sensiblen Daten – oder wenn ISO 27001, NIS2 oder DORA regelmäßige Tests verlangen.
Angriffe sind keine Frage des „ob", sondern des „wann". Ein einziger erfolgreicher Angriff kostet im Schnitt mehr als ein Pentest – plus Ausfall, Bußgelder und verlorenes Vertrauen. Wer vorher testet, ist im Vorteil.
Nicht nur eine PDF – sondern echte Sicherheit, die Ihr Team auch umsetzen kann.
Manuelle Pentests von OSCP-, OSWE- & CEH-zertifizierten Testern. Wir finden Business-Logik-Lücken, die kein automatischer Scan sieht.
Kein Stunden-Risiko. Sie wissen vorab genau, was der Pentest kostet – inklusive kostenlosem Retest nach der Behebung.
Deutsches Team, deutsche Verträge, deutsche Datenhaltung. Keine Daten verlassen unkontrolliert das Land.
Unsere Berichte erfüllen die Nachweispflichten für ISO 27001, NIS2, DORA, TISAX und Ihre Cyber-Versicherung.
NIS2, DORA, MDR und DSGVO verlangen regelmäßige Sicherheitstests. Wir liefern den prüfsicheren Penetrationstest-Nachweis. Festpreisangebot innerhalb von 24 Stunden.
Welche Gesetze auf Ihr Unternehmen zutreffen, hängt von Branche, Größe und den verarbeiteten Daten ab. In Deutschland sind vor allem vier Regelwerke relevant: die NIS2-Richtlinie, die DSGVO, DORA für den Finanzsektor und die MDR für Medizinprodukt-Software. Unser Schnellcheck zeigt Ihnen nach fünf Fragen sofort, welche Verordnung für Sie greift - inklusive Rechtsgrundlage.
Beantworten Sie im Schnellcheck fünf Fragen zu Branche, Mitarbeiterzahl, Umsatz und Datenverarbeitung. Daraus leitet der Check ab, welche Gesetze auf Ihr Unternehmen zutreffen, und nennt die konkrete Rechtsgrundlage, etwa NIS2 Art. 21 oder DSGVO Art. 32. Der Check ist kostenlos, dauert rund 60 Sekunden und erfordert keine Anmeldung.
NIS2 betrifft Unternehmen in erfassten Sektoren wie Energie, Transport, Gesundheit, digitale Dienste oder Produktion, die kumulativ mindestens 50 Beschäftigte und mehr als 10 Mio. € Jahresumsatz oder Jahresbilanzsumme erreichen. Ab 250 Beschäftigten bzw. über 50 Mio. € Jahresumsatz gelten Sie in hochkritischen Sektoren als wesentliche Einrichtung mit strengeren Pflichten und schärferer Aufsicht.
Mehrere Gesetze verlangen regelmäßige Sicherheitstests: NIS2 fordert in Art. 21 die Bewertung der Wirksamkeit Ihrer Maßnahmen, DORA in Art. 24 bis 27 Resilienztests inklusive TLPT, die MDR verlangt in Anhang I nach dem Stand der Technik abgesicherte Medizinprodukt-Software und die DSGVO in Art. 32 die regelmäßige Wirksamkeitsprüfung. Ein Penetrationstest ist dafür das anerkannte Mittel.
Ja, der Anwendungsbereich überschneidet sich. Ein Zahlungsdienstleister oder ein IT-Anbieter für Banken erfüllt oft beide Definitionen. Aufgelöst wird das über die Spezialität: Für Finanzunternehmen treten die IKT-Anforderungen aus DORA an die Stelle der NIS2-Risikomanagementpflichten, während Sie in anderen Geschäftsbereichen weiterhin unter NIS2 fallen können. Ein IT-Dienstleister mit Finanz- und Industriekunden bleibt deshalb regelmäßig in beiden Welten. Die Details stehen auf unseren Seiten zu NIS2 und DORA.
Die speziellere Regelung geht vor: DORA vor NIS2 für Finanzunternehmen, die MDR vor allgemeinen Anforderungen für Medizinprodukt-Software. Die DSGVO verdrängt aber nichts und wird auch von nichts verdrängt, sie gilt parallel, sobald personenbezogene Daten im Spiel sind. ISO 27001 steht daneben, weil es kein Gesetz ist, sondern eine freiwillige Norm, mit der Sie gesetzliche Pflichten belegen können. Der Schnellcheck nennt Ihnen die primäre Vorschrift mit Begründung.
In der Regel ja, wenn Scope und Bericht das hergeben. Derselbe Test kann die Wirksamkeitsprüfung nach Art. 32 DSGVO, die Bewertung der Maßnahmen nach NIS2 Art. 21 und den Nachweis zu Control 8.8 und 8.29 der ISO 27001 abdecken. Voraussetzung ist, dass der geprüfte Umfang alle relevanten Systeme enthält und der Bericht Scope, Methodik, Befunde mit Risikobewertung und die Behebung dokumentiert. Nicht abgedeckt ist das bedrohungsgeleitete TLPT nach DORA, das einen eigenen Ablauf hat.
NIS2 zielt auf die Geschäftsleitung: Sie muss die Maßnahmen billigen, überwachen und geschult sein, dazu kommen Registrierung beim BSI und Meldewege mit festen Fristen. Die DSGVO zielt auf die Verarbeitung: Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge und die Prüfung ihrer Wirksamkeit. ISO 27001 zielt auf das Managementsystem: Geltungsbereich, Erklärung zur Anwendbarkeit, Risikobehandlungsplan, interne Audits und Managementbewertung. Der technische Prüfbericht ist der gemeinsame Baustein, der Rahmen drumherum unterscheidet sich.
Die Richtlinie führt die Sektoren in zwei Anhängen: Anhang I enthält die Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung. Anhang II enthält die sonstigen kritischen Sektoren, darunter Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung. Maßgeblich ist Ihre tatsächliche Haupttätigkeit, nicht der Eintrag im Handelsregister. Der Schnellcheck ordnet Sie anhand Ihrer Angaben zu, Details stehen auf unserer NIS2-Seite.
Für Medizinprodukt-Software gilt die MDR, die in Anhang I Abschnitt 17 IT-Sicherheit nach dem Stand der Technik über den gesamten Produktlebenszyklus fordert. Parallel greift die DSGVO, da Gesundheitsdaten nach Art. 9 besonders geschützt sind. Für digitale Gesundheitsanwendungen im DiGA-Verzeichnis kommt zusätzlich der Sicherheitsnachweis nach BSI TR-03161 hinzu.