Angriffe simulieren.
Bevor es andere tun.

Ein autorisierter, simulierter Angriff auf Ihre Systeme. Anders als ein automatischer Schwachstellenscan werden Funde manuell geprüft, verifiziert und – wie bei einem echten Angreifer – miteinander kombiniert.

Ja – mit schriftlicher Beauftragung und Freigabe durch den Eigentümer der Systeme. Vor dem Start werden Umfang, Zeitfenster und Ansprechpartner verbindlich festgelegt (Rules of Engagement). Ohne diese Freigabe wäre ein Angriff strafbar.

Das Ziel ist kein Ausfall. Tests werden abgestimmt, kritische Systeme schonend oder außerhalb der Geschäftszeiten geprüft, Lasttests nur nach ausdrücklicher Absprache. Ein Restrisiko lässt sich nie ganz ausschließen – deshalb gibt es während des Tests einen direkten Draht.

Das hängt vom Umfang ab. Eine einzelne Web-Anwendung oder die externe Infrastruktur eines mittelständischen Unternehmens ist meist in wenigen Tagen getestet. Der Bericht folgt kurz danach.

Sie erhalten nach einem kurzen Scoping-Gespräch einen Festpreis. Er richtet sich nach Anzahl und Art der Systeme. Keine Stundenabrechnung mit offenem Ende.

Einen Bericht mit Management Summary, allen Schwachstellen samt Risikobewertung und Nachweis sowie konkreten Maßnahmen zur Behebung. Nach der Behebung prüft ein Retest, ob die Lücken geschlossen sind.

Mindestens einmal im Jahr und nach jeder größeren Änderung – etwa neuer Software, neuen Schnittstellen oder Umbauten im Netzwerk.