Externer Pentest
Prüfung der aus dem Internet erreichbaren Systeme und Dienste: Perimeter, Fernzugänge, exponierte Anwendungen und Schnittstellen.
Penetration Testing & Red Teaming
Aus der Sicht von Angreifern.
Wir prüfen Ihre Systeme, Anwendungen und Identitäten so, wie es ein Angreifer tun würde. Sie erhalten verifizierte Befunde und priorisierte, umsetzbare Maßnahmen.
Wissen, wie weit ein Angreifer tatsächlich käme.
Konfigurationen, Richtlinien und Scanner zeigen, wie eine Umgebung gedacht ist. Wir zeigen, wie sie sich unter einem echten Angriff verhält.
Echter Angriff
Ein Penetrationstest zeigt, welche Schwachstellen tatsächlich ausnutzbar sind und welche Wege von außen oder innen zu geschäftskritischen Systemen und Daten führen.
Klare Reihenfolge
Wir testen manuell, verifizieren jeden Befund und bewerten ihn im Kontext Ihrer Umgebung. So verkleinern IT-Leitung und Geschäftsführung die Angriffsfläche gezielt.
Typische Ausgangslagen.
Scanner-Berichte mit vielen Treffern, aber ohne Aussage, was davon tatsächlich ausnutzbar ist.
Gewachsene Umgebungen aus Active Directory, Microsoft Entra ID und Cloud-Diensten, deren Angriffspfade niemand vollständig überblickt.
Kunden, Versicherer oder Aufsicht verlangen einen belastbaren Nachweis über die Sicherheitslage.
Investitionen in Erkennung und Reaktion, deren Wirksamkeit im Ernstfall noch nie geprüft wurde.
Methodik und Erfahrung stammen auch aus eigener Sicherheitsforschung. Unsere Forschung.
Leistungen im Überblick.
Interner Pentest
Test aus dem internen Netzwerk heraus: Segmentierung, Server, Clients und die Frage, wie weit sich ein Angreifer seitlich bewegen kann.
Web & API
Manuelle Prüfung von Webanwendungen und APIs auf Schwachstellen in Authentifizierung, Autorisierung, Eingabeverarbeitung und Geschäftslogik.
Cloud & Microsoft 365
Angriffssimulation gegen Cloud-Umgebungen und Microsoft 365. Ein Assessment prüft die Konfiguration, ein Pentest simuliert den Angriff.
AD & Microsoft Entra ID
Analyse von Active Directory und Microsoft Entra ID auf Angriffspfade zu privilegierten Konten, inklusive hybrider Vertrauensbeziehungen.
Assumed Breach
Szenario ab einem bereits kompromittierten Client oder Benutzerkonto: Was kann ein Angreifer von dort aus erreichen, und wird es bemerkt?
Sie möchten zuerst die Konfiguration Ihres Tenants bewerten lassen? Dafür gibt es das Microsoft 365 Tenant Security Assessment.
Red Teaming: Erkennung und Reaktion im Ernstfall prüfen.
Beim Red Teaming emulieren wir das Vorgehen realer Angreifer, orientiert an MITRE ATT&CK. Statt eines eng definierten Scopes verfolgen wir ein zielgerichtetes Szenario über einen längeren Zeitraum.
Ziel ist nicht, jede Schwachstelle zu finden, sondern zu prüfen, ob Angriffe erkannt und richtig beantwortet werden. Im gemeinsamen Debriefing zwischen Red Team und Blue Team entstehen konkrete Verbesserungen für Ihre Cyber-Resilienz.
Drei Ansätze im Vergleich.
Schwachstellenscan
- Ziel
- Bekannte Schwachstellen und Fehlkonfigurationen automatisiert und in der Breite finden.
- Ergebnis
- Unbestätigte Befundliste, mögliche False Positives.
Penetrationstest
- Ziel
- Schwachstellen in einem definierten Scope manuell finden und die Ausnutzbarkeit nachweisen.
- Ergebnis
- Verifizierte Befunde mit Risikobewertung und Maßnahmen.
Red Teaming
- Ziel
- Erkennung und Reaktion gegen ein realistisches, zielgerichtetes Angriffsszenario prüfen.
- Ergebnis
- Angriffspfade, Erkennungslücken und Verbesserungen für das Blue Team.
Vorgehen und Ergebnisse.
- Schritt 1 von 4:
Scoping & Freigabe
Ziele, Scope, Rules of Engagement, Testfenster und Notfallkontakt werden schriftlich festgelegt.
- Schritt 2 von 4:
Durchführung
Manuelle Tests, Verifikation jedes Befunds und umgehende Meldung kritischer Funde.
- Schritt 3 von 4:
Bericht & Debriefing
Wir gehen die Ergebnisse gemeinsam durch und priorisieren die Maßnahmen.
- Schritt 4 von 4:
Retest (optional)
Auf Wunsch prüfen wir die Behebung der gemeldeten Befunde erneut.
Was Sie erhalten
- Management Summary für Geschäftsführung und IT-Leitung.
- Technischer Bericht mit Risikobewertung nach CVSS v4.0, ergänzt um Umgebungskontext.
- Priorisierte, umsetzbare Maßnahmen.
- Methodik orientiert an OWASP WSTG, MITRE ATT&CK, NIST SP 800-115 und PTES.
- Musterbericht auf Anfrage.
Rahmen und Vertraulichkeit
- Eigene Mitarbeitende in Österreich und Deutschland
- NDA vor Projektstart
- Verschlüsselte Übergabe der Berichte
- Löschung nach Ablauf der vereinbarten Aufbewahrungsfrist
Häufige Fragen.
Was unterscheidet einen Penetrationstest von einem Schwachstellenscan?
Ein Schwachstellenscan sucht automatisiert und in der Breite nach bekannten Schwachstellen und liefert eine unbestätigte Befundliste. Ein Penetrationstest geht manuell vor, verifiziert die Befunde und weist nach, ob und wie weit sie sich ausnutzen lassen. Das Ergebnis sind bewertete Risiken mit konkreten Maßnahmen.
Welche Freigaben braucht ein Penetrationstest?
Grundlage sind eine schriftliche Beauftragung sowie festgelegter Scope, Rules of Engagement, Testfenster und Notfallkontakt. Wo erforderlich, holen wir gemeinsam mit Ihnen die Zustimmung von Hostern und Drittanbietern ein. Bei Cloud-Diensten halten wir die Vorgaben der Anbieter ein, etwa die Microsoft Cloud Unified Penetration Testing Rules of Engagement, die AWS Customer Support Policy for Penetration Testing und die Acceptable Use Policy von Google Cloud.
Sind unsere Produktivsysteme gefährdet?
Jeder aktive Test birgt ein Restrisiko. Wir minimieren es durch abgestimmte Testfenster, vorsichtige Techniken und laufende Abstimmung mit Ihrem Team. Tests, die den Betrieb beeinträchtigen könnten, führen wir nur nach ausdrücklicher Freigabe durch.
Was beeinflusst die Kosten?
Entscheidend sind der Scope, die Anzahl der Systeme und Anwendungen, der Testansatz (Black, Grey oder White Box) und das Zeitfenster. Nach einem Scoping-Gespräch erhalten Sie ein konkretes Angebot.
Ab welcher Unternehmensgröße lohnt sich ein Pentest?
Ausschlaggebend ist weniger die Größe als die Exponierung und Kritikalität Ihrer Systeme. Ein Pentest ist sinnvoll, wenn Sie Systeme aus dem Internet erreichbar betreiben, sensible Daten verarbeiten oder regulatorische und vertragliche Anforderungen Ihrer Kunden erfüllen müssen.
Testen Sie auch Umgebungen, die Indeno betreibt?
Ja. Befunde zu unserem eigenen Betrieb berichten wir ungefiltert und in derselben Form wie bei jeder anderen Umgebung. Den Bericht erhalten Sie direkt.
Wir antworten persönlich.
Sie schreiben, jemand von uns liest und antwortet. Keine Werbe-Mails, keine automatischen Folge-Mails. Sie sprechen direkt mit einem Engineer.