KI-gestützte Offensive Security aus Ulm

Externer Penetrationstest.

Real attacks. Signed rules.

Tyvar testet, was Ihr Unternehmen ins Internet stellt, mit den Techniken echter Angreifer und nach Regeln, die Sie vorher unterschreiben. KI-Agenten sorgen für die Breite. Ein Analyst prüft jedes Finding, bevor Sie es sehen.

Scoping-Gespräch anfragen Unsere Leistungen

Grundriss eines Perimeters. Die rote Linie ist die getestete Oberfläche, die inneren Umrisse bleiben Out of Scope.

Leistungen

Was wir anbieten

Heute zwei Leistungen, beide von außen getestet und beide nur mit schriftlicher Autorisierung. Wir bieten nur an, was wir jetzt liefern. Eine neue Leistung bedeutet eine neue Seite hier, keinen Richtungswechsel.

Einmalig

Externer Penetrationstest

Ein vollständiger Auftrag gegen Ihre Domains, Webanwendungen und APIs. OWASP als Grundlage plus die modernen Angriffsklassen, Abdeckung pro Asset dokumentiert, jedes Finding von einem Analysten reproduziert.

Jetzt verfügbar

So läuft der Test

Wiederkehrend

Attack Surface Monitoring

Ihre Oberfläche im Internet ändert sich jede Woche. Wir kartieren sie in einem vereinbarten Rhythmus neu, melden, was seit dem letzten Lauf neu ist, und testen die offenen Assets erneut. So wird eine vergessene Subdomain nicht zum Weg hinein.

Jetzt verfügbar

So läuft das Monitoring

Regeln

Autorisierung zuerst

Für jeden Tyvar-Auftrag gelten dieselben Regeln. Die Grenze ist kein Kleingedrucktes. Sie unterscheidet nach deutschem Recht einen Sicherheitstest von einer Straftat.

Schriftliche AutorisierungEine unterschriebene Testvereinbarung des Eigentümers der Systeme, dazu die Zustimmung Ihres Hosters oder Cloud-Anbieters, wo dessen Bedingungen sie verlangen.
Feste Source-IPsJeder Test kommt von den Adressen, die in der Vereinbarung stehen. So kann Ihr Team unseren Traffic von allem anderen unterscheiden.
Emergency StopEin Kontakt auf jeder Seite kann den Test jederzeit per Telefon stoppen, mit sofortiger Wirkung.
Vereinbarte TestfensterWir testen, wann Sie es sagen, und bleiben bei den Zielen und Ausnahmen, die Sie genannt haben.
Keine destruktiven TestsKein Denial of Service, keine Datenvernichtung, keine Änderung an Produktionsdaten über das hinaus, was ein Finding als Beleg braucht.

Unbefugter Zugriff auf Systeme ist nach deutschem Strafrecht strafbar, Paragraf 202a ff. StGB. Deshalb kommt die Unterschrift vor dem ersten Paket. Wie wir mit Autorisierung und Ihren Daten umgehen

Ergebnis

Was Sie bekommen

Egal welche Leistung Sie buchen, der Report hat zwei Leser. Die Geschäftsführung bekommt eine Executive Summary mit dem Risikobild auf einer Seite. Ihre Technik bekommt jedes Finding mit Schweregrad, Beleg, Reproduktionsschritten und Empfehlung zur Behebung, dazu das Attack-Surface-Inventar.

Executive Summary für die Geschäftsführung
Attack-Surface-Inventar: Subdomains, Dienste, Zertifikate, Technologien
Findings mit Schweregrad, Beleg, Reproduktionsschritten und Behebung
Abdeckung pro Asset, auch was getestet wurde und ohne Finding blieb
Ein Abschlussgespräch und auf Wunsch ein Retest

Reports liefern wir als verschlüsseltes Archiv. Das Passwort erreicht Sie auf einem getrennten Weg. Diese Karte ist ein echtes Finding aus der Vorlage, auf einer Beispiel-Domain.

Beispiel aus unserer Report-VorlageTYV-2026-0000 / 03

Broken Object Level Authorization am Rechnungs-Endpoint

Schweregrad: Hoch. CVSS 3.1 Base 6.5, eine Stufe höher eingestuft: Jede Kundenrechnung ist lesbar.
Asset: api.example.com, GET /v1/invoices/{id}
Status: Vom Analysten auf dem Live-System verifiziert

Beleg, Auszug

GET /v1/invoices/1041 HTTP/1.1
Host: api.example.com
Authorization: Bearer <token of test account A>

HTTP/1.1 200 OK
{"invoice":"1041","customer":"test account B","total":"[redacted]"}

Reproduktion

Als Testkonto A anmelden und den Bearer Token notieren.
Mit diesem Token eine Rechnung abrufen, die zu Testkonto B gehört.
Die API liefert die Rechnung statt 403 Forbidden.

Behebung

Die Eigentümerprüfung im Service Layer bei jedem Objektzugriff erzwingen, nicht nur in der Liste. Als zweite Linie nicht fortlaufende IDs verwenden. Pro Endpoint einen Autorisierungstest in die Pipeline aufnehmen.

Retest: offen. Referenz: OWASP API Security Top 10, API1.

Der Name

Woher der Name kommt

Tyr: der nordische Gott des Krieges und des Rechts
varr: altnordisch, wachsam

Diese Verbindung ist die ganze Aufgabe: echte Angriffstechniken, eingesetzt nur innerhalb der Regeln, die ein Kunde unterschreibt.

TEE-var /ˈtiːvɑːr/ · gebaut in Ulm von NxtGenIT

Fragen

Was Kunden zuerst fragen

Setzen Sie KI ein?

Ja, und wir sagen das offen. KI-Agenten geben uns Breite und Tempo über die ganze Attack Surface. Ein Analyst reproduziert jedes Finding und entscheidet, was in den Report kommt. Kein Finding erreicht Sie ungeprüft. Die KI-gestützte Analyse läuft bei einem Drittanbieter mit vertraglichen Datenschutzregeln. Alle Subprozessoren stehen im Auftragsverarbeitungsvertrag, den Sie auf Anfrage bekommen.

Beeinträchtigt der Test unseren Betrieb?

Er ist so geplant, dass er das nicht tut. Es gibt keinen Denial of Service und keine destruktiven Tests, wir arbeiten in den Fenstern, die Sie festlegen, und Ihr Emergency-Stop-Kontakt kann den Test jederzeit anhalten. Reagiert ein System schon auf normale Anfragen unerwartet, ist das selbst ein Finding. Wir melden es, statt weiterzumachen.

Testen Sie auch interne Netze?

Unser Standard-Service ist extern: Domains, Webanwendungen, APIs und offene Dienste. Interne Netze und Active Directory können wir ebenfalls testen, das gehört aber noch nicht zu unserem festen Angebot. Fragen Sie uns, wenn Sie es brauchen. Social Engineering, Phishing und physische Tests bleiben Out of Scope.

Alle Fragen und Antworten

So fangen Sie an

Nennen Sie uns die Domains und Anwendungen, die getestet werden sollen. Wir antworten innerhalb von zwei Werktagen mit einem Scope-Vorschlag und einem Termin für das Gespräch.

Scoping-Gespräch anfragen

[email protected] +49 162 1320798 Antworten auf Deutsch oder Englisch.

Externer Penetrations­test.