Ablauf
So läuft ein Penetrationstest ab
Die sieben Schritte
Schritt für Schritt
-
Scoping-Gespräch
Wir legen Ziele, Ausnahmen, das Testfenster und die Ansprechpartner auf beiden Seiten fest.
Ein Gespräch von 30 bis 45 Minuten. Sie beschreiben, was Sie ins Internet stellen und was Ihnen am wichtigsten ist. Wir fragen nach Ausnahmen, empfindlichen Systemen, dem Hosting und ob authentifizierte Tests sinnvoll sind.
- Sie bekommen
- Innerhalb von zwei Werktagen einen schriftlichen Scope-Vorschlag mit Zielen, Ausnahmen, dem vorgeschlagenen Testfenster und dem Preis.
- Wir brauchen
- Eine Liste der Domains oder Anwendungen, eine pro Zeile, und den Namen der Person, die für sie unterschreiben darf.
-
Schriftliche Autorisierung
Sie unterschreiben eine Testvereinbarung mit unseren festen Source-IPs, den Testfenstern und einem Emergency-Stop-Kontakt für jede Seite. Vor der Unterschrift testen wir nichts.
Die Vereinbarung nennt den Eigentümer der Systeme, die genauen Ziele und Ausnahmen, unsere festen Source-IPs, die Testfenster, den Emergency-Stop-Kontakt auf beiden Seiten und die Regeln zum Umgang mit Daten. Bevor der Test beginnt, prüfen wir, dass die genannten Ziele dem Unterzeichner gehören. Verlangt Ihr Hoster oder Cloud-Anbieter eine Meldung oder Zustimmung für Penetrationstests, helfen wir Ihnen, sie einzuholen.
- Sie bekommen
- Eine unterschriebene Vereinbarung für Ihre Rechtsabteilung und Ihren Betrieb, und die Source-Adressen, die Ihr Monitoring freigeben oder beobachten kann.
- Wir brauchen
- Die Unterschrift einer Person, die Tests dieser Systeme erlauben darf, und die Zustimmung des Hosters, falls seine Bedingungen sie verlangen.
-
Attack Surface Mapping
Wir erfassen Subdomains, offene Dienste, Zertifikate und Technologien. Dieses Inventar ist Teil Ihres Reports.
Passive und aktive Erkundung von allem, was das Internet von den Zielen sieht: Subdomains, offene Dienste, Zertifikate, Technologie-Fingerprints, E-Mail-Sicherheitseinträge. Assets außerhalb des unterschriebenen Scopes listen wir auf, testen sie aber nicht.
- Sie bekommen
- Ein Inventar Ihrer External Attack Surface, auch mit Assets, von denen Sie vielleicht nichts wussten.
- Wir brauchen
- Nichts über die Vereinbarung hinaus. Zeigt das Inventar Assets, die Sie dazunehmen wollen, erweitern wir den Scope schriftlich.
-
Testing
Grundlage ist der OWASP Web Security Testing Guide. Darauf setzen wir die modernen Angriffsklassen, die die meisten Scanner übersehen: HTTP Request Smuggling, Web Cache Poisoning, GraphQL und JWT, OAuth-Flows und mehr. Die Abdeckung halten wir pro Asset fest, damit Lücken sichtbar bleiben, statt verdeckt zu werden.
Jedes Asset wird gegen dieselbe Checkliste getestet, und jeder Check wird als erledigt, nicht anwendbar oder blockiert vermerkt. KI-Agenten arbeiten die Breite der Oberfläche ab. Der Analyst steuert sie, geht ihren Spuren nach und testet die Logik, die keine Checkliste erfasst.
- Sie bekommen
- Die Abdeckung pro Asset im Report: was getestet wurde, was ohne Finding blieb und was sich nicht testen ließ, mit Begründung.
- Wir brauchen
- Testkonten für authentifizierte Tests, falls vereinbart, und einen erreichbaren Kontakt während des Testfensters.
-
Verification
Ein Analyst reproduziert jedes Finding, bevor es in den Report kommt. Kein ungeprüfter Scanner-Output.
Jedes Finding wird von Hand auf dem Live-System reproduziert, in Ihrem Kontext nach Schweregrad bewertet und mit Beleg aufgeschrieben. Was sich nicht reproduzieren lässt, fliegt raus oder wird deutlich als Beobachtung markiert.
- Sie bekommen
- Findings, auf die Sie sich verlassen und die Sie direkt an die zuständige Person weitergeben können.
- Wir brauchen
- Nichts. Hängt ein Finding von etwas ab, das nur Sie wissen, fragen wir nach.
-
Report und Debrief
Eine Executive Summary für die Geschäftsführung. Technische Findings mit Schweregrad, Beleg, Reproduktionsschritten und Empfehlung zur Behebung. Ein Abschlussgespräch, in dem wir beides durchgehen.
Den Report bekommen Sie als verschlüsseltes Archiv, das Passwort auf einem getrennten Weg. Im Abschlussgespräch gehen wir mit der Geschäftsführung das Risikobild durch und mit Ihrer Technik jedes einzelne Finding.
- Sie bekommen
- Den Report, das Attack-Surface-Inventar, den Nachweis der Abdeckung und ein Abschlussgespräch.
- Wir brauchen
- Einen Termin für das Abschlussgespräch und die Personen, die dabei sein sollen.
-
Retest
Auf Wunsch prüfen wir Ihre Fixes und ergänzen den Report um das Ergebnis.
Wenn Sie die Findings behoben haben, testen wir jedes davon erneut und halten das Ergebnis in einem aktualisierten Report fest. Ein Retest umfasst die Findings, keinen neuen vollständigen Test.
- Sie bekommen
- Einen aktualisierten Report mit dem Status jedes Findings, als Nachweis für Prüfer und Kunden.
- Wir brauchen
- Eine Nachricht, welche Findings behoben und bereit für den Retest sind.
Von Ihnen
Was wir von Ihnen brauchen
Ziele und Ausnahmen
Die Domains und Anwendungen, die getestet werden sollen, eine pro Zeile, und alles darin, was unberührt bleiben muss.
Eine berechtigte Unterschrift
Die Unterschrift einer Person, die Tests dieser Systeme erlauben darf, auf der Testvereinbarung.
Ein Kontakt für das Testfenster
Eine erreichbare Person auf Ihrer Seite während des Testfensters, und der Emergency-Stop-Kontakt.
Zustimmung des Hosters
Wo Ihr Hoster oder Cloud-Anbieter eine Meldung oder Zustimmung für Penetrationstests verlangt, eingeholt vor Testbeginn. Wir helfen Ihnen dabei.
Testkonten
Für authentifizierte Tests Konten mit den Rollen, die abgedeckt werden sollen. Wir behandeln sie wie echte Zugangsdaten und löschen sie danach.
Zeit
Wie lange es dauert
Von der unterschriebenen Autorisierung bis zum Abschlussgespräch dauert ein Auftrag typischerweise zwei bis vier Wochen, bei einem Perimeter aus einer Handvoll Hosts und ein oder zwei Anwendungen. Das Testen selbst dauert fünf bis zehn Arbeitstage. Größere Perimeter teilen wir in Phasen auf, damit die Abdeckung vollständig bleibt.
Auf dieser Website stehen keine Preise. Jeder Auftrag wird einzeln geplant, nach der Zahl der Hosts und Anwendungen und der Testtiefe, und das Scoping-Gespräch endet mit einem schriftlichen Angebot und einem Festpreis. Ein Preis ohne Scope wäre geraten, und Raten ist nicht unser Geschäft.
So fangen Sie an
Nennen Sie uns die Domains und Anwendungen, die getestet werden sollen. Wir antworten innerhalb von zwei Werktagen mit einem Scope-Vorschlag und einem Termin für das Gespräch.
[email protected] +49 162 1320798 Antworten auf Deutsch oder Englisch.