Tyvar, Startseite
Scoping-Gespräch anfragen

Leistung · einmalig

Externer Penetrationstest für alles, was das Internet erreicht.

Wir testen die Domains, Webanwendungen und APIs, die Ihr Unternehmen ins Internet stellt, so, wie ein Angreifer sie erreichen würde, und geben Ihnen einen Report, mit dem Ihre Technik arbeiten kann. Ein Auftrag, ein fester Scope, ein Festpreis.

Scope

Was wir testen

Ein externer Test umfasst die Systeme, die aus dem Internet erreichbar sind und Ihnen gehören. Diese Grenze hält den Test legal, planbar und nützlich.

In Scope

  • Domains und Subdomains
  • Webanwendungen
  • APIs, REST und GraphQL
  • Authentifizierung, auch OAuth
  • Offene Dienste und Admin-Oberflächen
  • TLS und Zertifikate
  • E-Mail-Sicherheit: SPF, DKIM, DMARC
  • Authentifizierte Tests einer WebanwendungOptional, mit Testkonten, die Sie uns geben

Out of Scope

  • Interne Netze
  • VPN- oder Vor-Ort-Zugang
  • Social Engineering
  • Phishing-Kampagnen
  • Denial of Service
  • Physische Tests

Braucht ein Test mehr als eine Internetverbindung und Ihre schriftliche Autorisierung, testen wir ihn nicht. Scope im Detail

Methode

KI-gestützt, vom Analysten geprüft

KI-Agenten geben uns Breite und Tempo über die ganze Attack Surface. Sie enumerieren, fingerprinten und sondieren schneller als ein Mensch, und beim zweihundertsten Asset werden sie nicht nachlässig. Der Analyst steuert diese Arbeit, folgt den Spuren, die zählen, und testet die Logik, die keine Checkliste erfasst.

Dann die Trennung, die den Report verlässlich macht: Ein Analyst reproduziert jedes Finding auf dem Live-System, bevor es aufgeschrieben wird. Was sich nicht reproduzieren lässt, fliegt raus oder wird als Beobachtung markiert. Kein Scanner-Output erreicht Sie ungelesen. Den KI-Anbieter nennen wir hier nicht, die Datenschutzregeln stehen in der Vereinbarung.

Ablauf

So läuft ein Auftrag

Sieben Schritte, in dieser Reihenfolge, jedes Mal. Alle Details, auch was wir von Ihnen brauchen und wie lange es typischerweise dauert.

  1. Scoping-Gespräch

    Wir legen Ziele, Ausnahmen, das Testfenster und die Ansprechpartner auf beiden Seiten fest.

  2. Schriftliche Autorisierung

    Sie unterschreiben eine Testvereinbarung mit unseren festen Source-IPs, den Testfenstern und einem Emergency-Stop-Kontakt für jede Seite. Vor der Unterschrift testen wir nichts.

  3. Attack Surface Mapping

    Wir erfassen Subdomains, offene Dienste, Zertifikate und Technologien. Dieses Inventar ist Teil Ihres Reports.

  4. Testing

    Grundlage ist der OWASP Web Security Testing Guide. Darauf setzen wir die modernen Angriffsklassen, die die meisten Scanner übersehen: HTTP Request Smuggling, Web Cache Poisoning, GraphQL und JWT, OAuth-Flows und mehr. Die Abdeckung halten wir pro Asset fest, damit Lücken sichtbar bleiben, statt verdeckt zu werden.

  5. Verification

    Ein Analyst reproduziert jedes Finding, bevor es in den Report kommt. Kein ungeprüfter Scanner-Output.

  6. Report und Debrief

    Eine Executive Summary für die Geschäftsführung. Technische Findings mit Schweregrad, Beleg, Reproduktionsschritten und Empfehlung zur Behebung. Ein Abschlussgespräch, in dem wir beides durchgehen.

  7. Retest

    Auf Wunsch prüfen wir Ihre Fixes und ergänzen den Report um das Ergebnis.

Ergebnis

Was Sie bekommen

Der Report hat zwei Leser und dient beiden. Er ist auch ein Nachweis: für Kunden, die einen Test verlangen, für Versicherer und für die Wirksamkeitsprüfung, die NIS2 von betroffenen Unternehmen erwartet.

  • Executive Summary für die Geschäftsführung
  • Attack-Surface-Inventar aus dem Mapping
  • Findings mit Schweregrad, Beleg, Reproduktionsschritten und Behebung
  • Abdeckung pro Asset, auch was ohne Finding blieb
  • Ein Abschlussgespräch und auf Wunsch ein Retest
Beispiel aus unserer Report-VorlageTYV-2026-0000 / 03

Broken Object Level Authorization am Rechnungs-Endpoint

Schweregrad
Hoch. CVSS 3.1 Base 6.5, eine Stufe höher eingestuft: Jede Kundenrechnung ist lesbar.
Asset
api.example.com, GET /v1/invoices/{id}
Status
Vom Analysten auf dem Live-System verifiziert

Beleg, Auszug

GET /v1/invoices/1041 HTTP/1.1
Host: api.example.com
Authorization: Bearer <token of test account A>

HTTP/1.1 200 OK
{"invoice":"1041","customer":"test account B","total":"[redacted]"}

Reproduktion

  1. Als Testkonto A anmelden und den Bearer Token notieren.
  2. Mit diesem Token eine Rechnung abrufen, die zu Testkonto B gehört.
  3. Die API liefert die Rechnung statt 403 Forbidden.

Behebung

Die Eigentümerprüfung im Service Layer bei jedem Objektzugriff erzwingen, nicht nur in der Liste. Als zweite Linie nicht fortlaufende IDs verwenden. Pro Endpoint einen Autorisierungstest in die Pipeline aufnehmen.

Retest: offen. Referenz: OWASP API Security Top 10, API1.

Scoping-Gespräch anfragen

Schicken Sie uns die Domains und Anwendungen, die getestet werden sollen. Wir antworten innerhalb von zwei Werktagen mit einem Scope-Vorschlag, einem Festpreis und einem Termin für das Gespräch.

Scoping-Gespräch anfragen

[email protected] +49 162 1320798 Antworten auf Deutsch oder Englisch.