Für Unternehmen

Die Lücken finden, bevor sie andere finden, und dem Auditor zeigen, dass Ihre Sicherheit nicht nur auf dem Papier steht.

Aufgabe besprechen

Pentest

Web, API, mobile Apps, Infrastruktur, Cloud. Handarbeit nach den Methodiken OWASP und PTES, kein Scanner-Bericht.

Audit

Code, Architektur, Konfigurationen. Wir sagen, wo das Risiko real ist und wo Sie Geld sparen können.

Compliance

ISO 27001, SOC 2, DSGVO, NIS2 und DORA. Von der Gap-Analyse über Richtlinien bis zur Zertifizierungsvorbereitung. vCISO, wenn Sie keinen eigenen CISO haben.

Was Sie erhalten

Einen Bericht mit Nachweisen, Risikostufe und Behebungsplan, den Entwickler und Geschäftsführung gleichermaßen verstehen
Eine Nachprüfung nach der Behebung mit Bestätigung
Eine einseitige Zusammenfassung für Geschäftsführung und Auditor
Eine Besprechung der Ergebnisse mit Ihrem Team online

Häufige Fragen

Womit anfangen, wenn wir noch nie einen Pentest gemacht haben?

Mit einem kurzen Gespräch über Systeme und Risiken, nach dem wir Umfang und Format vorschlagen. Der erste Pentest wird meist an der Hauptanwendung im Grey-Box-Modus durchgeführt.

Reicht ein Schwachstellenscanner?

Ein Scanner ist als regelmäßige Hygiene nützlich, sieht aber keine Logikfehler und verkettet Befunde nicht zu einem echten Angriffsszenario. Genau das leistet der Pentest.

Wie oft wiederholen?

Einmal jährlich oder nach wesentlichen Änderungen am System. Für ISO 27001 und SOC 2 ist die Häufigkeit in den Richtlinien festgelegt.

Vertraulichkeit als Protokoll, nicht als Versprechen

So gehen wir mit Ihrem Material um, von der ersten E-Mail bis zur Vernichtung der Artefakte.

Verschlüsselt von Anfang an
Material liegt auf einem verschlüsselten Datenträger, Zugriff hat nur die ausführende Person. Der Bericht wird verschlüsselt übergeben, das Passwort geht über einen getrennten Kanal.
Freigabe vor dem ersten Scan
Kein Test ohne schriftliche Zustimmung des Systemeigentümers. Umfang, Testfenster und Stoppwort werden vorab festgelegt.
Kritisches melden wir sofort
Einen gefährlichen Fund übergeben wir am Tag der Entdeckung, nicht erst mit dem Abschlussbericht.
Vernichtung nach Plan
Nach dem Projekt vernichten wir die Artefakte und stellen eine Bescheinigung aus. Öffentliche Fallstudie nur mit gesonderter schriftlicher Zustimmung.

Prüfen Sie selbst

Zwei kostenlose Prüfungen, die zeigen, was jeder in einer Minute über Sie sehen kann. Ohne Anmeldung, Ergebnisse werden nicht gespeichert.

Prüfen Sie den Schutz Ihrer Website

Was Ihre Website jedem Besucher ausliefert: HTTPS-Weiterleitung, Sicherheits-Header, Skripte und Tracker von Drittanbietern, offengelegte Softwareversionen.

Wir stellen zwei gewöhnliche Anfragen an die Startseite, wie ein Browser. Nichts wird gescannt oder gespeichert.

Prüfen Sie den Schutz Ihrer E-Mail

Ohne SPF und DMARC kann jeder E-Mails im Namen Ihrer Domain senden. Die Prüfung liest nur öffentliche DNS-Einträge und speichert nichts.

Wir lesen nur die öffentlichen DNS-Einträge der Domain. Nichts wird gespeichert oder gescannt.

Schreiben Sie uns

Die Nachricht geht direkt an unser Telegram. Auf dem Server bleibt nichts.