Zum Inhalt springen

Schwachstellen finden, bevor Angreifer es tun

Cybersecurity

Penetrationstests, Secure Code Reviews und Schwachstellenanalysen für Web-Apps, APIs, Mobile Apps und die Cloud. Wir testen überwiegend manuell, nach veröffentlichten Standards, und liefern am Ende Lösungen statt nur eines Berichts.

Was wir testen und beheben

Penetrationstests

Manuelle Tests aus Angreifersicht für Ihre Webanwendungen und Ihre aus dem Internet erreichbare Infrastruktur. Wir finden, was automatisierte Scanner übersehen: fehlerhafte Zugriffskontrollen, Logikfehler und verkettete Schwachstellen.

  • Tests von Webanwendungen
  • Tests externer Infrastruktur
  • Tests mit und ohne Anmeldung
  • Black-, Grey- und White-Box-Optionen

OWASP WSTG, PTES, NIST SP 800-115

  • API- und Mobile-App-Tests

    REST- und GraphQL-APIs sowie iOS- und Android-Apps, geprüft auf Berechtigungsfehler, unsichere Datenspeicherung und schwache Transportverschlüsselung.

    OWASP API Security Top 10, OWASP MASVS, OWASP MASTG

  • Schwachstellenanalyse

    Authentifizierte Scans Ihrer Systeme und Abhängigkeiten. Jedes Ergebnis wird manuell geprüft, Fehlalarme werden entfernt und der Rest nach tatsächlichem Risiko geordnet.

    CVSS v4.0, CISA KEV

  • Secure Code Review

    Zeilengenaue Prüfung des Codes, auf den es am meisten ankommt, etwa Authentifizierung, Zahlungen und Datenzugriff, unterstützt durch statische Analyse und Prüfung der Abhängigkeiten.

    OWASP ASVS, CWE Top 25

  • Cloud-Sicherheitsprüfung

    Ein Konfigurations-Audit Ihrer AWS-, Azure- oder Google-Cloud-Konten: Identitäten und Zugriffe, Netzwerk-Exposition, Logging, Verschlüsselung und Speicher.

    CIS Benchmarks

  • Threat Modeling

    Noch vor der Entwicklung zeigen wir, wie Ihr System angegriffen werden könnte und welche Schutzmaßnahmen Sie einplanen sollten. Das kostet weit weniger als spätere Korrekturen.

    STRIDE

  • Behebung und Nachtest

    Wir sind Tester und Softwareentwickler zugleich. Deshalb können wir Befunde direkt in Ihrem Code beheben, jeden einzeln nachtesten und bestätigen, dass er geschlossen ist.

So läuft ein Auftrag ab

Test planen

  1. Umfang und Freigabe

    Wir legen Ziele, Testart, Zeitraum und Ansprechpartner fest. Vor dem ersten Test unterzeichnen Sie eine schriftliche Freigabe.

  2. Testen

    Wir testen überwiegend manuell und nach der vereinbarten Methodik. Automatisierte Tools unterstützen uns, ersetzen aber keine manuelle Prüfung.

  3. Bericht

    Jeder Befund enthält eine CVSS-Bewertung, Nachweise, Schritte zur Reproduktion und klare Hinweise zur Behebung. Kritisches melden wir sofort.

  4. Beheben und nachtesten

    Ihr Team oder unseres behebt die Befunde. Danach testen wir erneut und stellen einen aktualisierten Bericht aus.

Was Sie von uns erhalten

  • Management-Zusammenfassung

    Risiken in klarer Sprache für Gründer, Vorstände und Prüfer.

  • Technische Befunde

    Jedes Problem mit CVSS-v4.0-Bewertung, Nachweisen und Schritten zur Reproduktion.

  • Hinweise zur Behebung

    Konkrete Lösungen für Ihren Technologie-Stack, nach Priorität geordnet.

  • Bestätigungsschreiben

    Eine Bestätigung der behobenen Befunde, die Sie mit Kunden oder Prüfern teilen können.

Passend für Sie, wenn Sie

  • kurz vor dem Launch oder einer Finanzierungsrunde stehen
  • von Kunden nach einem Pentest-Bericht gefragt werden
  • personenbezogene, Gesundheits- oder Zahlungsdaten verarbeiten
  • Befunde behoben und nicht nur aufgelistet haben wollen

Standards, nach denen wir testen

Wir arbeiten nach veröffentlichten, anerkannten Methodiken. So wissen Sie genau, was und wie getestet wurde, und können unsere Ergebnisse mit jeder anderen Prüfung vergleichen.

  • OWASP WSTG
  • OWASP ASVS
  • OWASP MASVS
  • OWASP API Top 10
  • PTES
  • NIST SP 800-115
  • CVSS v4.0
  • CIS Benchmarks
  • CWE Top 25

Wie wir mit Ihren Systemen umgehen

  • Schriftliche Freigabe

    Wir testen nur Systeme, die Ihnen gehören oder für die Sie eine Testberechtigung haben, und nur im unterzeichneten Umfang.

  • Vereinbarte Spielregeln

    Testzeiträume, ausgeschlossene Systeme und Notfallkontakte stehen fest, bevor wir beginnen.

  • Standardmäßig vertraulich

    Auf Wunsch unterzeichnen wir eine Geheimhaltungsvereinbarung. Befunde speichern und übertragen wir verschlüsselt und teilen Berichte nur mit Ihren benannten Ansprechpartnern.

  • Löschung nach dem Auftrag

    Testdaten und Nachweise werden am Ende der vereinbarten Aufbewahrungsfrist sicher gelöscht.

Sie haben eine Schwachstelle auf unserer eigenen Website gefunden? Zu unserer Sicherheitsrichtlinie