Penetrationstests & Assessments

Ein Penetrationstest ist ein kontrollierter Angriff auf Ihre Systeme. Wir suchen Schwachstellen so, wie ein Angreifer sie suchen würde. Anschließend weisen wir nach, was sich damit erreichen lässt. Am Ende steht eine Liste von Befunden mit Schweregrad, Reproduktionsschritten und Behebungsvorschlag. Ein Schwachstellenscan liefert eine Liste möglicher Probleme, ein Penetrationstest zeigt, welche davon in Ihrer Umgebung tatsächlich ausnutzbar sind.

Ein Test zeigt, welche Dienste erreichbar sind, welche davon verwundbar sind und welche Angriffskette daraus entsteht. Was Sie danach abschalten, härten oder patchen, verkleinert die Fläche. Ein Nachtest belegt anschließend, dass die Befunde geschlossen sind.

Das hängt vom Ziel ab. Für Webanwendungen und APIs ein abfangender Proxy mit manueller Analyse, für Netze Port- und Schwachstellenscanner zur Erfassung, für Active Directory Werkzeuge zur Analyse von Berechtigungspfaden, für Firmware Disassembler und Emulation. Ein Teil der Arbeit läuft über eigene Skripte, weil kein Standardwerkzeug ein proprietäres Protokoll kennt. Welche Werkzeuge in Ihrem Test gelaufen sind, steht im Bericht.

1. Vorgespräch. Auf Wunsch beraten wir vorab, welche Prüfung zu Ihrer Frage passt.
2. Kickoff. Umfang, Zeitfenster, Ansprechpartner und Eskalationsweg werden festgehalten.
3. Durchführung nach anerkannten Standards.
4. Bewertung der gefundenen Schwachstellen nach Schweregrad.
5. Abschlussbericht mit Handlungsempfehlungen.
6. Vorstellung der Ergebnisse, optional.
7. Begleitung bei der Behebung und Nachprüfung der geschlossenen Lücken, beides optional.

Während der Testphase bekommen Sie regelmäßige Statusmeldungen und können jederzeit nachfragen oder den Umfang anpassen. Kritische Befunde melden wir sofort und nicht erst im Bericht, damit Sie handeln können, solange die Prüfung noch läuft.

Artikel 32 DSGVO verlangt, die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig zu überprüfen. Ein Penetrationstest ist eine solche Überprüfung und dokumentiert sie nachvollziehbar. Er ersetzt keine Datenschutzberatung, liefert aber den technischen Nachweis, den eine Aufsichtsbehörde oder ein Auditor sehen will.

Unsere Prüfer halten unter anderem Offensive Security Certified Professional (OSCP), Offensive Security Web Expert (OSWE) und Offensive Security Experienced Penetration Tester (OSEP). Das sind praktische Prüfungen, keine Multiple-Choice-Tests. Das Unternehmen selbst ist nicht nach ISO 27001 zertifiziert; wir arbeiten nach den Vorgaben der Norm. Wer in Ihrem Projekt prüft und welche Zertifizierungen diese Person hat, steht im Angebot.

Der Preis ergibt sich aus dem Aufwand. Diese Faktoren bestimmen ihn:

• Umfang: eine einzelne Webanwendung kostet weniger als die gesamte IT-Infrastruktur.
• Komplexität: ein Standard-CMS wie WordPress ist schneller geprüft als eine eigenentwickelte E-Commerce-Plattform.
• Art des Tests: White-Box kostet mehr als Black-Box, weil die Prüfung von Quellcode Zeit und spezielles Wissen braucht.
• Qualifikation der Prüfer.
• Dauer: fünf Tage gegen mehrere Wochen.
• Zusatzleistungen: mehrfache Vorstellung der Ergebnisse für verschiedene Stakeholder, Schulung der Mitarbeitenden, Begleitung bei der Behebung, Nachtest.

Beispielrechnungen stehen in unserem Artikel zu Ablauf und Kosten eines Penetrationstests.

Zu jedem Befund steht ein konkreter Behebungsvorschlag im Bericht. Darüber hinaus begleiten wir die Umsetzung, wenn Sie das wollen: von einzelnen Rückfragen Ihrer Entwickler bis zur Überarbeitung der Sicherheitsarchitektur. Danach prüfen wir im Nachtest, ob die Lücken geschlossen sind.

Der Bericht hat zwei Teile: eine Zusammenfassung für die Leitung und einen technischen Teil für die Umsetzung. Jeder Befund trägt eine ID, eine Beschreibung, die Schritte zur Reproduktion, eine Bewertung des Schweregrads und einen Behebungsvorschlag. Auf Wunsch stellen wir die Ergebnisse remote oder vor Ort vor.

§203 StGB verpflichtet bestimmte Berufsgruppen zur Verschwiegenheit über das, was ihnen anvertraut wurde. Dazu gehören unter anderem:

• Rechtsanwälte und Notare mit Zugang zu Mandantenunterlagen.
• Ärzte, Zahnärzte, Psychiater und Pflegeberufe mit Zugang zu Patientendaten.
• Private Kranken-, Unfall- und Lebensversicherungen sowie Verrechnungsstellen, die mit Diagnosen und Befunden arbeiten.
• Journalisten, die ihre Quellen schützen.
• Apotheker mit Gesundheits- und Medikationsdaten.
• Steuerberater und Wirtschaftsprüfer mit Zugang zu Geschäftszahlen.

Diese Daten liegen heute in Praxisverwaltungen, Kanzleisoftware und Fachanwendungen. Ein Penetrationstest prüft den unbefugten Zugriff darauf und dokumentiert die Prüfung. Das zählt gegenüber Aufsichtsbehörden, im Schadensfall gegenüber dem Versicherer und bei der Frage, ob Datenschutzverletzungen vermeidbar gewesen wären.

Sechs Punkte, an denen sich das festmachen lässt:

• Qualifikation. Praktische Zertifizierungen wie OSCP, für fortgeschrittene Prüfungen OSEP oder OSWE. CEH und CISSP belegen Wissen, keine Prüfpraxis.
• Referenzen. Kundennamen bleiben in diesem Geschäft meist vertraulich. Branchen und Prüfumfänge kann ein Anbieter trotzdem nennen.
• Bandbreite. Webanwendungen, APIs, mobile Apps, Netze, Cloud und die Methoden Black-, Grey- und White-Box.
• Kommunikation. Statusmeldungen während der Prüfung, eine sofortige Meldung bei kritischen Befunden und ein erreichbares Team.
• Behebung. Ein Bericht, der nur Lücken auflistet, hilft wenig. Zu jedem Befund gehört ein Vorschlag, auf Wunsch Begleitung bei der Umsetzung.
• Bericht. Reproduktionsschritte, Schweregrad, Handlungsempfehlung. Ohne Reproduktionsschritte kann Ihr Team einen Befund nicht nachvollziehen.

Ja. Wir prüfen bundesweit, remote und vor Ort. Aus Berlin kommen vor allem Anfragen zu Webanwendungen, APIs und Cloud-Umgebungen. Der Testaufwand ändert sich durch den Standort nicht, nur An- und Abreise planen wir mit ein.

Ja. In Hamburg fragen vor allem Handel, Logistik und maritime Betriebe an. Für diese Umgebungen prüfen wir neben der Büro-IT auch die Steuerung des Warenflusses und die Schnittstellen zu Partnern und Dienstleistern.

Alle. Webanwendungen und APIs, mobile Apps, interne und externe Infrastruktur, Cloud-Umgebungen, WLAN, physische Sicherheit, Social Engineering und OT-Umgebungen. Der Standort schränkt das Angebot nicht ein.

Für Kölner Unternehmen und Institutionen prüfen wir wie überall sonst auch.

Für KMU mit Sitz in NRW trägt das Land die Hälfte: das Programm MID-Digitale Sicherheit fördert IST-Analyse, Penetrationstests und die Behebung der Befunde mit 50 Prozent, bei einer Fördersumme zwischen 4.000 und 15.000 Euro. Bewilligt wird seit Januar 2026 über die NRW.BANK, das Programm läuft bis Ende 2029. Wir haben mehrere Unternehmen durch die Antragstellung begleitet.

Finanzdienstleister stehen unter besonderer Beobachtung, weil ihre Daten für Angreifer wertvoll sind und weil die Aufsicht regelmäßige Prüfungen verlangt. DORA fordert seit Januar 2025 für einen Teil der Institute bedrohungsgeleitete Penetrationstests und hat für die betroffenen Institute die BAIT abgelöst. Penetrationstests sind eines der Verfahren, mit denen dieser Nachweis geführt wird. Wir prüfen in Frankfurt vor Ort und remote.

Dortmund ist unser Sitz. Wir arbeiten hier für Konzerne ebenso wie für kleinere Betriebe und vor Ort sind wir am selben Tag.

Für KMU mit Sitz in NRW trägt das Land die Hälfte: das Programm MID-Digitale Sicherheit fördert IST-Analyse, Penetrationstests und die Behebung der Befunde mit 50 Prozent, bei einer Fördersumme zwischen 4.000 und 15.000 Euro. Bewilligt wird seit Januar 2026 über die NRW.BANK, das Programm läuft bis Ende 2029. Wir haben mehrere Unternehmen durch die Antragstellung begleitet.

Die Kriterien sind dieselben wie überall: praktische Zertifizierungen, ein Bericht mit Reproduktionsschritten und Unterstützung bei der Behebung. Für Düsseldorfer Unternehmen und Institutionen prüfen wir vor Ort und remote.

Für KMU mit Sitz in NRW trägt das Land die Hälfte: das Programm MID-Digitale Sicherheit fördert IST-Analyse, Penetrationstests und die Behebung der Befunde mit 50 Prozent, bei einer Fördersumme zwischen 4.000 und 15.000 Euro. Bewilligt wird seit Januar 2026 über die NRW.BANK, das Programm läuft bis Ende 2029. Wir haben mehrere Unternehmen durch die Antragstellung begleitet.

Ja, wir prüfen auch in Leipzig. Der Aufwand hängt am Umfang der Systeme und nicht am Standort. Vor Ort nötig ist ein Test nur, wenn interne Netze, WLAN oder physische Zugänge geprüft werden.

Aus Stuttgart kommen viele Anfragen aus der Automobilindustrie und ihrer Zulieferkette. Dafür bringen wir Fahrzeugerfahrung mit: CAN, das Diagnoseprotokoll UDS nach ISO 14229, Steuergeräte und die Anforderungen aus UN R155. Mehr dazu auf unserer Seite zu Automotive & Mobility.

Für Unternehmen und Institutionen aus Essen prüfen wir regelmäßig, oft am selben Tag vor Ort.

Für KMU mit Sitz in NRW trägt das Land die Hälfte: das Programm MID-Digitale Sicherheit fördert IST-Analyse, Penetrationstests und die Behebung der Befunde mit 50 Prozent, bei einer Fördersumme zwischen 4.000 und 15.000 Euro. Bewilligt wird seit Januar 2026 über die NRW.BANK, das Programm läuft bis Ende 2029. Wir haben mehrere Unternehmen durch die Antragstellung begleitet.