DEF
DEF
Was ist eigentlich ein Pentest?
Diese Seite erklärt ohne Fachsprache, was wir tun, wie das abläuft und welche Begriffe Ihnen dabei begegnen. Wenn Sie danach noch Fragen haben, war sie nicht gut genug – dann rufen Sie an.
- In einem SatzWir greifen Ihre Systeme oder Ihr Gebäude im Auftrag an und zeigen Ihnen, wie weit jemand käme.
- Der Unterschied zum ErnstfallSie wissen davon, es ist schriftlich geregelt, wir zerstören nichts und geben alles zurück.
- Was Sie davon habenEine belegte Liste, was zu reparieren ist – nach Dringlichkeit sortiert, nicht nach Alphabet.
Lieber wir als jemand anderer.
Ein Einbruchsversuch mit Ihrer Unterschrift
Stellen Sie sich vor, Sie beauftragen jemanden, in Ihr eigenes Haus einzubrechen. Nicht um etwas mitzunehmen, sondern um Ihnen danach zu zeigen, wie er hineingekommen ist.
Genau das ist ein Penetrationstest, meist kurz Pentest. Wir versuchen mit denselben Mitteln hineinzukommen wie jemand mit schlechten Absichten – nur dass wir vorher einen Vertrag unterschreiben, nichts beschädigen und Ihnen am Ende jeden Schritt erklären.
Der entscheidende Unterschied zu einer Beratung: Wir sagen Ihnen nicht, was theoretisch passieren könnte. Wir machen es und zeigen Ihnen das Foto oder das Protokoll dazu.
Warum eine Liste nicht reicht
Es gibt Programme, die automatisch nach bekannten Schwachstellen suchen. Die sind nützlich, aber sie beantworten nicht die Frage, die Sie eigentlich haben.
So ein Programm meldet etwa „Diese Software ist veraltet". Ob das in Ihrer konkreten Umgebung ausnutzbar ist, weiß es nicht. Oft sind es Fehlalarme, manchmal steht die wirklich gefährliche Lücke gar nicht drin, weil sie erst durch die Kombination mehrerer Kleinigkeiten entsteht.
Ein Mensch probiert es aus. Er verkettet drei harmlose Details zu einem Weg, den kein Programm findet – weil jedes Detail für sich unauffällig ist.
Black Box, Grey Box, White Box.
Diese drei Begriffe begegnen Ihnen in jedem Angebot. Sie klingen technisch, beschreiben aber nur eines: wie viel wir vorher von Ihnen bekommen.
Black Box
Sie nennen uns nur Ihre Adresse. Sonst nichts.
Wir starten wie ein Fremder, der zum ersten Mal vor Ihrem Haus steht. Alles, was wir wissen wollen, müssen wir uns selbst zusammensuchen.
Das wirkt am realistischsten – hat aber einen Haken: Ein echter Angreifer hat unbegrenzt Zeit für diese Suche. Sie bezahlen sie. Ein erheblicher Teil des Budgets geht also fürs Suchen drauf statt fürs Finden.
Sinnvoll, wenn Sie wissen wollen, wie viel jemand ohne jedes Vorwissen über Sie herausfindet.
Grey Box
Sie geben uns einen Besucherausweis.
Wir bekommen einen ganz normalen Zugang – so einen, wie ihn eine neue Mitarbeiterin am ersten Tag hätte oder ein Kunde in Ihrem Portal.
Damit prüfen wir die Frage, die im Ernstfall meist zählt: Was kann jemand anrichten, der schon drin ist? Denn genau dort steht ein Angreifer nach einer erfolgreichen Phishing-Mail.
Sinnvoll, wenn Sie das beste Verhältnis aus Aufwand und Erkenntnis wollen. Das ist der häufigste Fall.
White Box
Sie legen uns den Bauplan auf den Tisch.
Wir bekommen vollen Einblick: Aufbau, Zugänge, bei Software auch den Programmcode. Nichts muss erraten werden.
In derselben Zeit finden wir hier am meisten, weil keine Stunde fürs Suchen draufgeht. Wer wissen will, was wirklich alles offen ist, nimmt diese Variante – auch wenn sie sich weniger nach Filmreife anfühlt.
Sinnvoll, wenn Sie möglichst viele Schwachstellen pro eingesetztem Euro finden wollen.
Ein verbreitetes Missverständnis: Black Box ist nicht „der bessere Test". Es ist der teurere Weg zum selben Ziel. Wir empfehlen deshalb meist Grey Box – und sagen es dazu, wenn etwas anderes besser passt.
Die Wörter, die Ihnen begegnen werden.
Diese Begriffe tauchen in jedem Angebot und jedem Bericht auf – auch in unseren. Hier stehen sie einmal ohne Fachsprache, damit Sie in einem Gespräch nicht nachfragen müssen, wenn Sie nicht wollen.
Schwachstelle
Ein Fehler oder eine ungünstige Einstellung, durch die etwas möglich wird, das nicht möglich sein sollte. Nicht jede Schwachstelle ist gefährlich – entscheidend ist, was jemand damit tatsächlich anfangen kann.
Exploit
Das fertige Werkzeug, mit dem eine bekannte Schwachstelle ausgenutzt wird. Für verbreitete Lücken gibt es solche Werkzeuge frei zum Herunterladen. Deshalb ist „das kann doch niemand" selten ein gutes Argument.
Patch
Ein Update, das eine Lücke schließt. Der unangenehme Teil: Sobald ein Patch erscheint, ist die Lücke öffentlich bekannt. Zwischen Veröffentlichung und Installation liegt das Zeitfenster, in dem automatisiert gesucht wird.
Zero-Day
Eine Lücke, für die es noch keinen Patch gibt, weil der Hersteller sie noch nicht kennt. Klingt bedrohlich, ist für die meisten Betriebe aber das kleinere Problem – Angriffe laufen weit häufiger über Lücken, für die es seit Monaten ein Update gäbe.
Social Engineering
Angriffe, die sich nicht gegen Technik richten, sondern gegen Menschen: ein glaubwürdiger Vorwand, etwas Zeitdruck, eine Bitte, die plausibel klingt. Keine Firewall hilft dagegen, weil formal nichts umgangen wird – jemand macht freiwillig auf.
Ransomware
Schadsoftware, die Ihre Dateien verschlüsselt und Geld für die Entschlüsselung fordert. Meist wird vorher kopiert, was interessant ist, damit man zusätzlich mit einer Veröffentlichung drohen kann. Eine funktionierende Sicherung nimmt der ersten Drohung die Wirkung, der zweiten nicht.
Sicherung (Backup)
Eine Kopie Ihrer Daten, die getrennt liegt und sich auf einen früheren Zeitpunkt zurückdrehen lässt. Eine dauerhaft angesteckte Festplatte oder ein gespiegelter Cloud-Ordner erfüllen das nicht – beide werden mitverschlüsselt.
Zwei-Faktor-Anmeldung
Zusätzlich zum Kennwort ein zweiter Nachweis: eine Bestätigung am Handy, ein Zahlencode, ein Sicherheitsschlüssel. Die wirksamste Einzelmaßnahme überhaupt, weil ein gestohlenes Kennwort allein damit wertlos wird.
Verschlüsselung
Daten werden so gespeichert oder übertragen, dass sie ohne den passenden Schlüssel unlesbar sind. Wichtig ist der Unterschied: Eine verschlüsselte Festplatte schützt bei Diebstahl des Geräts – gegen jemanden, der sich ganz normal anmeldet, schützt sie gar nicht.
Scope
Der vereinbarte Prüfumfang: welche Systeme, Gebäude und Methoden dazugehören und welche ausdrücklich nicht. Der Scope schützt beide Seiten – Sie vor bösen Überraschungen, uns vor dem Vorwurf, etwas geprüft zu haben, das nicht beauftragt war.
Finding
Ein einzelner Fund aus einer Prüfung: was gefunden wurde, wie schwer es wiegt, womit es belegt ist und was dagegen hilft. Ein Bericht ist nichts anderes als die geordnete Sammlung aller Findings.
Re-Test
Die Nachprüfung, nachdem Sie etwas repariert haben. Ohne sie bleibt offen, ob die Maßnahme wirklich gegriffen hat. Bei uns gilt ein Fund erst als geschlossen, wenn der Re-Test das bestätigt hat.
Was auf Sie zukommt, Schritt für Schritt.
Von der ersten Frage bis zu dem Moment, in dem die Lücke nachweislich geschlossen ist.
Gespräch
Kostenlos, 30 Minuten. Sie erzählen, was Sie schützen wollen. Wir sagen, ob und welcher Test sinnvoll ist – notfalls auch, dass gerade keiner nötig ist.
Angebot
Was genau geprüft wird, wie lange es dauert, was es kostet. Keine offenen Posten, keine Überraschungen nach dem Test.
Spielregeln
Schriftlich festgehalten: was erlaubt ist, was tabu bleibt, wann geprüft wird, wen wir anrufen, wenn etwas Ernstes auftaucht. Erst wenn das unterschrieben ist, fangen wir an.
Prüfung
Wir arbeiten. Sie sehen im Portal live mit, was wir finden. Kritisches melden wir sofort per Telefon – nicht erst im Bericht.
Bericht
Zwei Teile: eine Zusammenfassung für die Geschäftsführung ohne Fachsprache und ein technischer Teil für Ihre IT. Jeder Fund mit Beleg und Einstufung.
Nachprüfung
Wenn Sie repariert haben, prüfen wir nach. Erst wenn das bestätigt ist, gilt ein Fund als erledigt. Ohne diesen Schritt bleibt ein Bericht ein Stück Papier.
Die Fragen vor der ersten Beauftragung.
Im Normalfall nein. Tests, die einen Ausfall riskieren könnten, stimmen wir vorher ausdrücklich mit Ihnen ab und führen sie nur nach Freigabe durch. Wir empfehlen trotzdem immer, vorher eine Sicherung zu prüfen – nicht wegen uns, sondern weil das ohnehin regelmäßig gehört.
Möglicherweise, denn genau das ist ja die Frage: Kommt jemand an diese Daten heran? Wir sehen sie uns nur so weit an, wie es für den Nachweis nötig ist, kopieren nichts heraus und löschen alles spätestens 14 Tage nach Projektende.
Das entscheiden Sie. Weiß sie Bescheid, läuft es reibungsloser. Weiß sie es nicht, sehen Sie zusätzlich, ob Ihre Überwachung überhaupt anschlägt. Mindestens eine Person bei Ihnen muss aber erreichbar sein.
Ein überschaubarer Test zwei bis drei Tage, ein größerer eine bis zwei Wochen. Dazu kommen Vorbereitung und Bericht. Den genauen Rahmen nennen wir im Angebot, nicht erst in der Rechnung.
Das hängt vom Umfang ab, deshalb stehen hier keine Listenpreise. Nach dem kostenlosen Erstgespräch bekommen Sie einen konkreten Betrag – kein Stundenbudget, das im Verlauf wächst.
Einmal jährlich ist ein guter Rhythmus, zusätzlich nach größeren Umbauten. Zwischendurch genügt oft eine kleine passive Prüfung, weil sich die von außen sichtbare Angriffsfläche laufend verändert.
Das hören wir oft, und es stimmt fast nie. Die meisten Angriffe suchen sich kein Ziel aus, sondern finden es automatisiert – da spielt Ihre Größe keine Rolle, nur Ihre Erreichbarkeit. Was sich bei kleinen Betrieben ändert, ist der Umfang: Statt eines mehrwöchigen Einsatzes reicht oft ein Tag, der die drei Dinge abdeckt, die wirklich zählen. Wenn eine Prüfung bei Ihnen gerade keinen Sinn ergibt, sagen wir das im Erstgespräch.
Dann erfahren Sie es sofort, nicht am Ende. Bei einem kritischen Fund rufen wir an – und wenn wir Anzeichen dafür sehen, dass bereits jemand anderer in Ihren Systemen war oder ist, brechen wir die Prüfung ab und wechseln in den Notfallmodus. Ein laufender Test ist dann zweitrangig.
Ja, der Bericht gehört Ihnen. Für die Weitergabe an Dritte empfehlen wir die Zusammenfassung statt des technischen Teils – sie belegt, dass geprüft wurde und wie der Stand ist, ohne eine Anleitung mitzuliefern. Auf Wunsch stellen wir eine kurze Bestätigung über die durchgeführte Prüfung aus.
Wo Sie jetzt hinschauen können.
Was uns bei Prüfungen begegnet, bevor es Ihnen begegnet.
Kein Produktnewsletter. Wir schreiben über Angriffswege, die bei österreichischen Betrieben, Behörden und Schulen tatsächlich funktioniert haben - und was dagegen hilft.
- Etwa einmal im Monat, nicht jede Woche
- Konkrete Angriffswege aus echten Prüfungen
- Kein Zählpixel, keine Weitergabe an Werbetreibende
- Abmeldung mit einem Klick in jeder E-Mail