Fragen
Fragen, klar beantwortet
Setzen Sie KI ein?
Ja, und wir sagen das offen. KI-Agenten geben uns Breite und Tempo über die ganze Attack Surface. Ein Analyst reproduziert jedes Finding und entscheidet, was in den Report kommt. Kein Finding erreicht Sie ungeprüft. Die KI-gestützte Analyse läuft bei einem Drittanbieter mit vertraglichen Datenschutzregeln. Alle Subprozessoren stehen im Auftragsverarbeitungsvertrag, den Sie auf Anfrage bekommen.
Beeinträchtigt der Test unseren Betrieb?
Er ist so geplant, dass er das nicht tut. Es gibt keinen Denial of Service und keine destruktiven Tests, wir arbeiten in den Fenstern, die Sie festlegen, und Ihr Emergency-Stop-Kontakt kann den Test jederzeit anhalten. Reagiert ein System schon auf normale Anfragen unerwartet, ist das selbst ein Finding. Wir melden es, statt weiterzumachen.
Testen Sie auch interne Netze?
Unser Standard-Service ist extern: Domains, Webanwendungen, APIs und offene Dienste. Interne Netze und Active Directory können wir ebenfalls testen, das gehört aber noch nicht zu unserem festen Angebot. Fragen Sie uns, wenn Sie es brauchen. Social Engineering, Phishing und physische Tests bleiben Out of Scope.
Was brauchen Sie von uns?
Eine Liste der Domains oder Anwendungen, die getestet werden sollen, die Ausnahmen, einen Ansprechpartner bei Ihnen für das Testfenster, die Unterschrift einer Person, die Tests dieser Systeme erlauben darf, die Zustimmung Ihres Hosters oder Cloud-Anbieters, wo dessen Bedingungen sie verlangen, und Testkonten, wenn Sie authentifizierte Tests wünschen.
Wie lange dauert ein Test?
Von der unterschriebenen Autorisierung bis zum Abschlussgespräch dauert ein Auftrag typischerweise zwei bis vier Wochen, bei einem Perimeter aus einer Handvoll Hosts und ein oder zwei Anwendungen. Das Testen selbst dauert fünf bis zehn Arbeitstage. Größere Perimeter teilen wir in Phasen auf. Im Scoping-Gespräch bekommen Sie einen Termin.
Gibt es einen Retest?
Auf Wunsch. Wenn Sie die Findings behoben haben, testen wir jedes davon erneut und ergänzen den Report um das Ergebnis. Ein Retest umfasst die Findings aus dem Report, keinen neuen vollständigen Test.
Wer sieht unsere Findings?
Der Analyst, der an Ihrem Auftrag arbeitet, und Sie. Den Report bekommen Sie als verschlüsseltes Archiv, das Passwort auf einem getrennten Weg. Arbeitsdaten löschen wir 90 Tage nach dem Abschlussgespräch oder nach dem Retest. Der Report und die unterschriebene Vereinbarung werden drei Jahre aufbewahrt und dann gelöscht.
Können wir einen Test jederzeit stoppen?
Ja. Die Vereinbarung nennt einen Emergency-Stop-Kontakt auf beiden Seiten. Ein Anruf hält den Test sofort an, ohne Rückfragen. Sie können später weitermachen oder den Auftrag beenden.
Brauchen Sie die Erlaubnis unseres Hosters?
Manchmal. Einige Hoster und Cloud-Anbieter verlangen eine Meldung oder Zustimmung, bevor Systeme in ihrer Infrastruktur getestet werden. Wir prüfen ihre Bedingungen beim Scoping gemeinsam mit Ihnen und helfen Ihnen, das Nötige einzuholen. Ohne sie bleiben die betroffenen Systeme Out of Scope.
Wie bekommen wir den Report?
Als verschlüsseltes Archiv. Das Passwort schicken wir über einen getrennten Weg, den wir beim Scoping vereinbaren, standardmäßig per Telefon. PGP-verschlüsselte E-Mail ist auf Anfrage möglich. Der Report enthält eine Executive Summary, das Attack-Surface-Inventar, jedes Finding mit Schweregrad, Beleg, Reproduktionsschritten und Empfehlung zur Behebung sowie die Abdeckung pro Asset.
Unterschreiben Sie eine NDA und einen Auftragsverarbeitungsvertrag?
Ja. Eine gegenseitige NDA können wir unterschreiben, bevor Details zum Scope ausgetauscht werden. Die Testvereinbarung enthält Vertraulichkeitsregeln, und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gehört zum Vertragswerk, sobald personenbezogene Daten verarbeitet werden können. Das ist bei authentifizierten Tests und bei den meisten Webanwendungen der Fall.
Hilft ein Penetrationstest bei NIS2?
NIS2 verlangt von betroffenen Unternehmen, die Wirksamkeit ihrer Sicherheitsmaßnahmen zu bewerten und die Risiken für ihre Netz- und Informationssysteme zu steuern. Ein externer Penetrationstest ist ein Nachweis für beides, beschränkt auf das, was aus dem Internet erreichbar ist. Er ersetzt kein Risikomanagement, er testet einen Teil davon.
Was kostet ein Test?
Jeder Auftrag wird einzeln geplant, nach der Zahl der Hosts und Anwendungen und der Testtiefe. Am Ende des Scoping-Gesprächs steht ein schriftliches Angebot mit Festpreis. Eine Preisliste gibt es auf dieser Website nicht, weil ein Preis ohne Scope geraten wäre.
Wo sitzen Sie, und arbeiten Sie auch außerhalb Deutschlands?
In Ulm. Wir arbeiten mit Kunden in Deutschland, Österreich, der Schweiz und der übrigen EU, auf Deutsch oder Englisch. Getestet wird aus der Ferne. Das Abschlussgespräch ist ein Videocall, außer Sie sind in der Nähe.
So fangen Sie an
Nennen Sie uns die Domains und Anwendungen, die getestet werden sollen. Wir antworten innerhalb von zwei Werktagen mit einem Scope-Vorschlag und einem Termin für das Gespräch.
[email protected] +49 162 1320798 Antworten auf Deutsch oder Englisch.