Pentesting

Besser testen als bereuen

Zum persönlichen Beratungsgespräch

Warum Pentesting unverzichtbar ist?

Weil Sie Schwachstellen erkennen müssen, bevor andere sie ausnutzen.

IT-Infrastruktur schützen

Datendiebstahl vermeiden

Reputation wahren

Penetrationstest – zum Aufdecken von Schwachstellen

Ein Penetrationstest, kurz Pentest, ist eine aktive Angriffssimulation und wendet Techniken von Hackern an, um verborgene Schwachstellen zu identifizieren. Ein gründlicher Pentest gibt Ihnen nicht nur Gewissheit, sondern auch den entscheidenden Vorsprung gegenüber Cyberkriminellen. Denn werden Schwachstellen rechtzeitig entdeckt, können sie behoben werden bevor es zu spät ist. So können Sie Angriffe auf Ihr Unternehmen erfolgreich verhindern und kritische Daten vor Bedrohungen schützen.

 

Die Axians weist mehr als 20 Jahre Erfahrung in der Durchführung professioneller Pentests auf und bietet die nötige Expertise, um Ihr Unternehmen individuell zu prüfen und zu schützen.

Sie profitieren von unserer Expertise

> 20 Jahre Expertise

> 50 festangestellte Security Experts

> 700 Pentests und Red Team Assessments pro Jahr

10 DAX-Konzerne als Kunden

Ganzheitlicher Pentest-Ansatz

Unsere Services im Überblick

Unternehmensweite Pentests (Enterprise)

Externe Angriffsfläche

OSINT, Password Spraying, DarkWeb, Vulnerability Scans

Wir finden nicht nur technische Schwachstellen in Ihrer externen IT-Infrastruktur, sondern ermitteln auch Ihre Schatten-IT. Zudem suchen wir im DarkWeb nach sensiblen Informationen, prüfen exponierte Logins auf schwache Passwörter und testen Ihre exponierten Anwendungen. Wir verfolgen einen ganzheitlichen Ansatz für eine vollständige Abdeckung.

Interne IT-Infrastruktur

360° Pentest, Assume Breach Red Teaming, Data Discovery Audit

Wir finden Schwachstellen in Ihrem internen Netzwerk, die einem internen Angreifer ermöglichen, andere Accounts zu übernehmen, seine Rechte zu erhöhen, sich im Netzwerk fortzubewegen und sensible Systeme zu kompromittieren. Egal ob Reinigungskraft, Praktikantin, Projekt-Partner oder Servicemitarbeiterin. Wir betrachten das passende Szenario für Sie.

Windows Clients & Active Directory

Active Directory, Initial Access & Privilege Escalation Pentest

Wir untersuchen Ihr Active Directory sowie die PCs Ihrer Mitarbeitenden auf Schwachstellen und fehlende Härtungsmaßnahmen. Mit den daraus resultierenden Empfehlungen werden Angriffe erheblich erschwert.

Azure & M365

M365 Audit, Entra ID/Azure Audit & Red Teaming

Wir prüfen Ihre Azure-Umgebung auf fehlende Härtungsmaßnahmen und zeigen in unseren Pentests, ob ein Angreifer seine Rechte erhöhen, Services in der Cloud attackieren bis hin Zugriff ins Ihr internes Firmennetzwerk erlangen kann. Egal ob externer Angreifer, Partner oder kompromittierte Anwendung, wir betrachten das passende Szenario für Sie.

Lücken erkennen. Risiken ausschalten.

Produkt- und anwendungsspezifische Pentests

Anwendungen

Web, API, Mobile, Fat Clients

Wir prüfen Ihre Anwendung auf Schwachstellen in der Implementierung, Konfiguration und Design. Dabei achten wir auf komplexe Schwachstellen und arbeiten eng mit Ihnen zusammen (Grey-Box). Dabei orientieren wir uns nach renommierten Testing-Standards wie z.B. das OWASP Testing Guide.

Cloud & CI/CD

AWS, Azure, Kubernetes, IaaC

Wir testen Ihre Cloud-Umgebung auf Schwachstellen und fehlende Härtungsmaßnahmen, egal ob es sich um Infrastruktur, Plattform oder Anwendungen handelt. Dabei untersuchen wir die konkrete Verwendung einzelner Cloud-Services, Container-Lösungen oder Ihre gesamte CI/CD – Pipeline. 

Automotive

ISO 21434, UNECE R 155, Telematik, ECU Pentest

Wir testen und prüfen die gesamte IT-Sicherheit von Fahrzeugen (Pkw und Lkw). Dies betrifft unter anderem die Sicherheit der Steuergeräte, Bussysteme, Kommunikationsschnittstellen und Backend-Systeme.

OT & IoT

Embedded, OT & (I)IoT

In unserem eigenen Labor testen wir jedes Element Ihrer IoT-Geräte, vom Gateway über das Hauptgerät bis hin zu mobilen Apps und Cloud-Komponenten. Zudem prüfen wir Ihre gesamte OT-Landschaft und stellen sicher, dass diese kritischen Systeme vor unbefugten Zugriffen geschützt sind. 

Managed und Continuous Pentesting

Managed Pentest

Wir übernehmen die Planung und Koordination der Pentests und tracken im Nachgang den Status der Behebung innerhalb der Behebungsfrist bis die Schwachstellen vollständig behoben sind. Durch einen monatlichen Report und der wichtigsten KPIs haben Sie stets eine management-taugliche Übersicht.

Continuous External Attack Surface Management

Wir überwachen Ihre externe Angriffsfläche und Aktivitäten im DarkWeb und führen regelmäßig Angriffe durch, sodass ausnutzbare Schwachstellen frühzeitig erkannt werden.

Continuous Red Teaming

Wir führen regelmäßige Angriffssimulationen in Ihrem internen Netzwerk durch, evaluieren Ihre Angriffserkennung und tauschen uns eng mit Ihrem Blue Team über aktuelle Angriffstechniken aus.

Mehr zu Red Teaming

Continuous Phishing

Wir führen regelmäßig fortgeschrittene und zielgerichtete Phishing Kampagnen gegen Ihre Mitarbeiter durch und bringen unser aktuelles IT-Security Know-how so direkt zu Ihren Mitarbeitern.

Pentesting deckt auf, was später teuer werden könnte.

Unsere Test-Typen im Überblick

Pentest ist nicht immer gleich Pentest. Je nach Motivation, Ausgangssituation und Zielsetzung unterscheiden wir grundsätzlich zwischen unterschiedlichen Test-Typen, um das beste Kosten-Nutzen-Verhältnis für Sie zu bieten.

Infografik mit den Vorteilen von Pentesting

OSINT/Reconnaissance

Open-source Intelligence ist eine passive Recherche von öffentlich verfügbaren Informationen zur Skizzierung der Angriffsfläche, bevor zielgerichtet Angriffe durchgeführt werden können.

Vulnerability Assessment

Ein Vulnerability Assessment ist ein vorwiegend automatisierter Schwachstellen-Scan, wobei der Fokus auf der Analyse, Priorisierung und Aufbereitung der Ergebnisse liegt.

Pentest

Ein Pentest prüft aktiv mit den Techniken eines Angreifers auf Schwachstellen. Ziel ist es dabei, so viele Schwachstellen wie möglich zu identifizieren. Eine Ausnutzung der Schwachstellen liegt nicht im Fokus des Tests.

Social Engineering

Social Engineerung befasst sich mit der Schwachstelle Mensch und zeigt durch aktive Manipulationsversuche Fehlverhalten bzw. fehlendes Sicherheitbewusstein auf.

Security Audit

Ein Security Audit ist eine tiefgehende Analyse eines bestimmten Systems auf weitere Härtungsmaßnahmen und nach Security Best Practices, um es Angreifern so schwer wie möglich zu machen.

Source Code Review

In einem Source Code Review prüfen wir Applikationen durch eine statische Analyse des Codes auf Schwachstellen. Dies erfolgt meist ergänzend zu einem Pentest (White Box Test).

Red Teaming

Ein Red Team Assessment ist eine aktive Angriffssimulation. Der Fokus liegt in der Ausnutzung von Schwachstellen und dem Aufzeigen konkreter Angriffswege. Zudem wird ein Red Team Assessment üblicherweise verdeckt und heimlich durchgeführt, um auch die Prozesse in der Angriffserkennung zu evaluieren. 

Mehr zu Red Teaming

Workshops

In einem Workshop steht der Informations- und Wissensaustausch im Vordergrund. Wir bringen unsere Expertise in Ihr Unternehmen und können uns bestimmte Themenbereiche im Detail anschauen. Dies erfolgt oft im Anschluss an einen Pentest.

Nichts Passendes dabei?

Sie haben nicht das gefunden, was Sie suchen? Durch unsere Erfahrung aus über 20 Jahren sowie unser Branchen-Know-how kennen wir klassische Einfallstore für Angriffe in allen Bereichen. Sie können uns jederzeit kontaktieren, um über Ihre individuellen Anforderungen zu sprechen und eine passende Lösung zu finden.

Häufig gestellte Fragen zum Pentesting

Warum sollte ich einen Pentest durchführen lassen?

Ein Pentest evaluiert aus Angreifersicht die aktuelle Sicherheit eines Systems, eines Netzwerks, einer Anwendung oder von ganzen Prozessen. Sie erhalten damit die Antwort, welche Schwachstellen aktuell existieren und ob Ihre bisherigen Sicherheitsmaßnahmen Sie wirklich vor Angriffen schützen. Letztendlich ist ein Pentest die sinnvollste Maßnahme, um die Qualität Ihrer IT auf die Probe zu stellen, bevor es ein echter Angreifer versucht.

 

Denn ein echter Angriff verursacht wesentlich höhere Kosten und schadet zudem deutlich der Reputation eines Unternehmens.

Wie sieht ein Pentest-Bericht aus?

Der Pentest-Bericht ist für unsere Kunden das wichtigste Werkzeug. Ein guter, detaillierter und strukturierter Bericht mit realistischen Risikoeinstufungen ist für uns daher sehr wichtig. Wir schreiben unsere Berichte auf Latex-Basis mit einer eigens entwickelten Webanwendung. Unsere Berichte genießen in der Branche einen guten Ruf. Überzeugen Sie sich selbst und fragen Sie bei uns gerne einen Beispielbericht an.

 

Ergänzend erhalten Sie ein Excel-Sheet zum Tracking des Behebungsstatus der einzelnen Befunde. Sie wollen die Ergebnisse automatisiert in ein Ticket-System hochladen? Auch das ist kein Problem. Wir können Ihnen jedes beliebige Format erstellen.

Was kostet ein Pentest?

Die Frage nach den Kosten lässt sich pauschal nicht beantworten. Von 4.000€ bis 80.000€ ist grundsätzlich alles möglich. Es kommt drauf an, welche Art und Tiefe von Pentest Sie sich wünschen.

Für uns ist wichtig, dass wir Sie vom ersten Gespräch an individuell beraten und Ihre Ausgangslage sowie Ihre Motivation berücksichtigen, um das beste Preis-Leistungs-Verhältnis für Ihre konkrete Situation zu bestimmen. Vom ersten Gespräch an reden Sie daher mit unseren Fachexperten.

 

Die Erstgespräche sind immer kostenlos, melden Sie sich daher gerne für einen Austausch.

Welche Risiken bestehen bei einem Pentest?

Je nach Pentest gibt es durchaus Risiken, die man berücksichtigen muss. Wir sind dafür da, um Ihnen diese Risiken transparent zu machen und die Tests entsprechend vorzubereiten bzw. durchzuführen, sodass keine Gefahr besteht. Wir führen jedes Jahr mehrere hundert Pentests durch und werden auch Ihren Pentest erfolgreich und ohne Schäden abschließen.

 

Je nach Testtyp bietet es sich an, auf einem Testsystem zu testen oder bestimmte Angriffstechniken nur nach Abstimmung durchzuführen. Bei besonders sensiblen Core Systems können wir Pentests vereinzelt auch außerhalb der Arbeitszeiten durchführen.

Wie oft sollte ein Pentest durchgeführt werden?

Wenn Sie von regulatorischen Anforderungen (z.B. NIS2, DORA, ISO 27001) betroffen sind, kann es grundsätzlich Auflagen für derartige technische Security Assessments geben. Als Beispiel müssen kritische Anwendungen und Systeme nach DORA 1x Jahr untersucht werden.

 

Die Anzahl, die Regelmäßigkeit sowie die Tiefe der einzelnen Pentests hängt jedoch von Ihrer individuellen Situation ab. Neben regulatorischen Anforderungen sollte vor allem ein risikobasierter Ansatz gewählt werden, um ein vernünftiges Maß an IT-Security zu gewährleisten. Im konkreten Fall beraten wir Sie auch hier für eine erfolgreiche Pentest-Strategie.

Was geschieht nach einem Pentest?

Sie erhalten unseren Ergebnisbericht mit ausführlichen Handlungsempfehlungen und einer realistischen Risikobewertung zur sinnvollen Priorisierung und Entscheidungsfindung. Ein Excel-Sheet hilft Ihnen, die Verantwortlichkeiten, Fristen und nächsten Schritte zu koordinieren. In einer gemeinsamen Ergebnisbesprechung erklären wir Ihnen alle Informationen und beraten Sie über den Pentest hinaus mit unserer Expertise und Erfahrungswerte. Sie wollen das Management zu den Ergebnissen abholen? Auch dabei können wir Sie unterstützen.

 

Die konkrete Umsetzung und Implementierung der Maßnahmen erfolgt dann durch Sie. Benötigen Sie hier ebenfalls Unterstützung, dann haben wir ausreichend Expertise in der Axians Gruppe, um Ihnen bei der Maßnahmenumsetzung unabhängig und neutral helfen zu können.

Schützen Sie Ihre digitale Zukunft

In der dynamischen Welt der Cybersicherheit sind proaktive Maßnahmen nicht nur wünschenswert, sie sind unerlässlich. Denn jede Minute, in der Ihre Systeme ungeschützt bleiben, steigt das Risiko eines potenziellen Angriffs, der Ihr Geschäft und Ihren guten Ruf gefährden könnte. 

Vertrauen Sie nicht darauf, dass Sie "klein genug" sind, um nicht ins Visier von Cyberkriminellen zu geraten oder, dass Sie "groß genug" sind, um sich selbst zu schützen. In der digitalen Welt sind alle Unternehmen gleich, wenn es darum geht ein potentielles Ziel zu sein. Lassen Sie uns gemeinsam sicherstellen, dass Sie vorbereitet sind!

axians-secure.de | Cyber Security | Pentesting