Grundsätze
Unsere Philosophie: ein Penetrationstest ist kein Dokument, sondern eine Entscheidungsgrundlage
Ein Penetrationstest wird oft als Pflichtübung eingekauft und als PDF abgelegt. Wir halten das für Verschwendung. Vier Grundsätze bestimmen, wie wir stattdessen arbeiten.
Keine Vorauszahlung. Nachtests inklusive.
Vier Grundsätze
Woran wir uns messen lassen
Belegen statt vermuten
Jeder Befund im Bericht wurde nachgewiesen. Eine Liste theoretischer Möglichkeiten bindet die Zeit Ihres Teams, ohne die Sicherheitslage zu verändern — deshalb liefern wir sie nicht.
Verstehen statt scannen
Die schwerwiegendsten Befunde liegen in der Geschäftslogik: in Abläufen, die für Ihr Unternehmen sinnvoll und für einen Angreifer ausnutzbar sind. Das erfordert Verständnis Ihres Geschäfts, nicht nur Ihrer Technik.
Für Entwickler schreiben
Der Bericht richtet sich an die Menschen, die den Fehler beheben sollen. Reproduktionsschritte, Ursache, Auswirkung, Empfehlung — in dieser Reihenfolge und ohne Füllmaterial.
Anreize richtig setzen
Wir verlangen keine Vorauszahlung und rechnen nicht ab, wenn wir nichts finden. Damit hat niemand einen wirtschaftlichen Grund, die Prüftiefe zu reduzieren.
Im Detail
Warum die meisten Penetrationstests wirkungslos bleiben
Der übliche Ablauf sieht so aus: Ein Prüfumfang wird knapp kalkuliert, weil das Budget knapp ist. Der Test läuft überwiegend automatisiert, weil die Zeit für mehr nicht reicht. Der Bericht enthält Hunderte Einträge, von denen die meisten aus Werkzeugausgaben stammen. Das Entwicklungsteam beginnt oben, arbeitet sich durch informative Hinweise und verliert nach zwei Wochen den Antrieb. Die drei Befunde, auf die es angekommen wäre, bleiben offen.
Der Fehler passiert am Anfang, beim Zuschnitt. Ein tiefer Test der wichtigsten Anwendung bringt fast immer mehr als eine oberflächliche Prüfung der gesamten Landschaft. Wir schlagen deshalb im Erstgespräch regelmäßig einen kleineren Umfang vor als angefragt — und die verbleibende Fläche für eine spätere Runde.
Der zweite Fehler liegt in der Sprache. Ein Befund, der nur beschreibt, welche Prüfregel verletzt wurde, hilft niemandem. Nützlich wird er, wenn er die Frage beantwortet: Was kann ein Angreifer damit konkret tun, und welche Änderung schließt diesen Weg? Diese beiden Sätze stehen bei uns zuerst; die technische Herleitung folgt danach.
Der dritte Fehler ist der Zeitpunkt. Wer einmal jährlich prüft, aber wöchentlich ausliefert, misst den Zustand eines Systems, das es so nicht mehr gibt. Für Teams mit hoher Änderungsfrequenz ist ein laufendes Prüfmodell nicht der teurere Luxus, sondern schlicht das einzige, das die tatsächliche Angriffsfläche abbildet.
Nachweisqualität
Was einen Bericht auditfest macht
Auditoren lesen keine Befundlisten, sie prüfen Nachvollziehbarkeit. Vier Elemente entscheiden darüber.
Dokumentierter Prüfumfang
Ohne klare Abgrenzung ist ein Bericht als Nachweis wertlos. Wir halten Systeme, Umgebungen, Rollen und Ausschlüsse schriftlich fest — für DSGVO-, ISO-27001- und NIS2-Nachweise gleichermaßen der Ausgangspunkt.
Nachvollziehbare Methodik
Die Zuordnung zu OWASP, CWE und den Bausteinen des BSI IT-Grundschutz-Kompendiums zeigt dem Prüfer, dass systematisch und nicht stichprobenartig vorgegangen wurde.
Belegte Auswirkung
Eine CVSS-Zahl allein trägt nicht. Erst die Beschreibung, welche Daten oder Funktionen tatsächlich erreichbar waren, macht die Risikobewertung für Dritte überprüfbar.
Dokumentierter Nachtest
Der Nachweis, dass eine Schwachstelle geschlossen wurde, ist in NIS2- und ISO-Audits regelmäßig genauso wichtig wie der ursprüngliche Befund. Deshalb ist er bei uns Bestandteil jedes Projekts.
Häufige Fragen
Fragen zur Arbeitsweise
Weiterlesen
Reden wir über Ihre Ausgangslage
Dreißig Minuten, eine ehrliche Einschätzung — und ein Vorschlag, der auch lauten kann, jetzt noch nicht zu testen.
Gespräch vereinbaren