Penetrationstest: Wir brechen ein, bevor es andere tun.
Bei einem Penetrationstest versuchen unsere Experten, wie echte Angreifer in Ihre IT einzudringen, aber mit Ihrer Erlaubnis. Kritische Funde erfahren Sie ohne Verzug, nicht erst im Bericht. Danach wissen Sie, welche Lücke Sie zuerst schließen.
100 % eigene Pentester in Deutschland, keine anonymen Subunternehmer. Fast zehn Jahre Praxis, und wir verlassen uns nicht auf Scans allein.
Diese Kunden vertrauen n-komm
Ein vergessener Testserver reicht.
Firewall da, Virenschutz da, Passwortregeln da. Ob das einem echten Angriff standhält, weiß kaum jemand. Oft genügt Angreifern eine falsch gesetzte Firewall-Regel oder ein Testserver, an den keiner mehr denkt. Oder ein Benutzerrecht, das zu weit gefasst ist.
Ihre IT-Abteilung sieht das im Alltag nicht. Sie kennt ihre Systeme zu gut und schaut als Verteidiger darauf. Ein Angreifer sucht genau die Stellen, an die niemand gedacht hat, und verbindet dann kleine Schwächen zu einem großen Angriffsweg.
Und Sie brauchen einen Beleg. NIS2 und ISO 27001 verlangen, dass Sie die Wirksamkeit Ihrer Maßnahmen bewerten. Versicherungen und große Kunden fragen nach. Ein Penetrationstest liefert Ihnen dafür einen belastbaren Nachweis.
Kommt Ihnen das bekannt vor?
- Sie wissen nicht, wie leicht ein Angreifer in Ihr Netzwerk käme.
- Ihre IT ist gewachsen, aber niemand hat sie je von außen geprüft.
- Ihre Versicherung oder ein Kunde verlangt einen Sicherheitsnachweis.
- Sie wollen vor einer größeren Investition wissen, wo es wirklich brennt.
Wie verwundbar sind Sie wirklich? Nach dem Pentest wissen Sie es schwarz auf weiß.
Was ein Penetrationstest ist
Pentesting: ein kontrollierter Angriff mit Ihrer Erlaubnis
Bei einem Penetrationstest, kurz Pentest, versuchen Sicherheitsexperten gezielt, Schwachstellen in Ihrer IT auszunutzen. Sie gehen dabei vor wie echte Angreifer, allerdings mit Ihrer schriftlichen Erlaubnis und in einem vorher festgelegten Rahmen.
Ein Pentest geht über einen Schwachstellenscan hinaus, der bekannte Lücken automatisch findet. Unsere Experten prüfen zusätzlich von Hand, ob sich diese Lücken tatsächlich ausnutzen lassen, und verbinden einzelne Schwächen zu realistischen Angriffswegen. So erfahren Sie nicht nur, dass es ein Problem gibt, sondern auch, wie gefährlich es ist.
- Schwachstellen finden Bekannte und unbekannte LückenAusnutzbarkeit prüfen Von Hand, nicht nur per Scan
- Angriffswege verbinden Kleine Schwächen, großer WegNach Risiko bewerten Mit konkreter Empfehlung
- Klarheitstatt Vermutung
- Nachweisfür Audit und Versicherung
- Hilfebeim Schließen der Lücken
Pentest, automatisiertes Pentesting und Schwachstellenscan
| Schwachstellenscan | Automatisiertes Pentesting (Pentera) | Penetrationstest | |
|---|---|---|---|
| Wer prüft | Software | Spezialisierte Plattform | Unsere Experten, von Hand |
| Findet | Bekannte Lücken, oft Hunderte | Lücken, die sich tatsächlich ausnutzen lassen | Lücken, die sich tatsächlich ausnutzen lassen, auch ungewöhnliche Wege |
| Angriffswege | Nein | Ja, bis zu Admin-Rechten und Daten | Ja, gezielt und kreativ kombiniert |
| Wiederholung | Automatisch | Beliebig oft, etwa nach jeder größeren Änderung | Nach Ihrem Risiko und nach wesentlichen Änderungen |
| Ergebnis | Liste der Funde | Nach Risiko priorisierte Angriffswege | Bericht für Geschäftsleitung und IT, kritische Funde sofort |
| Stärke | Breite | Regelmäßigkeit | Tiefe |
Mehr zum automatisierten Pentesting mit Pentera.
Was wir für Sie testen
Welche Testart sinnvoll ist, hängt davon ab, was Sie schützen wollen. Im Erstgespräch legen wir den Umfang gemeinsam fest.
Externer Penetrationstest
Wir greifen Ihre IT über das Internet an, so wie ein Angreifer, der Ihr Unternehmen ins Visier nimmt. Wir prüfen Ihre Firewall, Ihre Homeoffice-Zugänge, Ihre Mailserver und alle anderen Systeme, die aus dem Internet erreichbar sind.
Interner Penetrationstest
Wir gehen davon aus, dass ein Angreifer bereits im Netzwerk ist, etwa über ein infiziertes Notebook. Wie weit kommt er von dort? Wir prüfen auch Ihr Active Directory: Kann ein Angreifer Administratorrechte erlangen und an Ihre sensiblen Daten gelangen?
Webanwendungen und Schnittstellen
Wir prüfen Ihre Webanwendungen, Portale, Onlineshops und APIs. Lassen sich Daten abgreifen oder Anmeldungen umgehen?
Microsoft 365, Entra ID und Cloud
Wir prüfen Ihre Microsoft-365-Umgebung und Entra ID sowie Ihre Cloud-Umgebungen in Azure oder AWS. Oft liegen die Lücken hier in Berechtigungen und Einstellungen.
Weitere Prüfungen
WLAN, Social Engineering mit gezielten Täuschungsversuchen, mobile Apps für iOS und Android, SAP-Systeme und Red Teaming als realistischer Angriff über mehrere Wege.
Prüfungen im Kontext von CRA und DORA
Der Cyber Resilience Act (CRA) und DORA stellen Anforderungen an die Sicherheit von Produkten und Finanzunternehmen. Unsere Sicherheitsprüfungen unterstützen Sie dabei, diese Anforderungen zu belegen. Eine Konformitätsbewertung ersetzen sie nicht.
Wie viel unsere Tester vorab wissen
Wie viel unsere Tester vorab wissen, legen wir gemeinsam fest. Fachleute unterscheiden drei Ansätze. Wir beraten Sie, welcher Ansatz Ihnen den meisten Erkenntnisgewinn bringt.
- Black-Box-Test: Die Tester erhalten keine Informationen über Ihre Systeme. Sie greifen an wie ein Außenstehender.
- Grey-Box-Test: Die Tester kennen einige Details, zum Beispiel ein normales Benutzerkonto. So prüfen wir, was ein Angreifer mit gestohlenen Zugangsdaten erreicht.
- White-Box-Test: Die Tester erhalten umfassende Informationen, etwa Netzpläne oder Quellcode. So finden sie in kurzer Zeit auch versteckte Schwachstellen.
Penetrationstest: in fünf Schritten von der Planung zum Ergebnis
-
Vorgespräch und Umfang
Wir klären mit Ihnen, was getestet werden soll und was nicht. Dazu gehören Systeme, Testart und Ziele sowie die Zeiten, in denen wir testen dürfen. Daraus entstehen ein klarer Testumfang und ein Zeitrahmen.
-
Vereinbarung und Freigabe
Bevor wir starten, halten wir alles schriftlich fest. Sie erteilen uns die ausdrückliche Erlaubnis für den Test, und wir legen Ansprechpartner und Notfallregeln fest.
-
Durchführung
Unsere Experten testen Ihre Systeme von Hand, suchen Schwachstellen und versuchen, sie auszunutzen. Kritische Funde melden wir Ihnen ohne Verzug, Sie müssen nicht auf den Abschlussbericht warten.
-
Bericht
Sie erhalten einen verständlichen Bericht mit einer Zusammenfassung für die Geschäftsleitung und einem technischen Teil für Ihre IT. Jede Schwachstelle ist nach ihrem Risiko bewertet und mit einer konkreten Empfehlung versehen. So wissen Sie, was Sie zuerst angehen sollten.
-
Abschlussgespräch und optionaler Nachtest
Wir besprechen die Ergebnisse mit Ihnen und beantworten Ihre Fragen. Haben Sie die Lücken geschlossen, prüfen wir auf Wunsch in einem Nachtest, ob die Maßnahmen wirken. Den Nachtest beauftragen Sie als Zusatzleistung.
Unsere Tests orientieren sich an anerkannten Standards und bewährter Praxis.
12 Schritte zum erfolgreichen Penetrationstest
- Ziele und Umfang des Tests festlegen
- Testansatz und Spielregeln klären
- Ergebnisse verstehen und Lücken schließen
Prüfen, schützen und dranbleiben
Der Penetrationstest zeigt, wo Sie stehen. Mit unseren weiteren Leistungen schließen Sie die Lücken und halten Ihren Schutz aktuell.
Wer Ihre Systeme testet
Langjährige Praxis
Unser Cyber-Security-Team arbeitet seit vielen Jahren in der technischen und organisatorischen Informationssicherheit: Security-Analysen, Penetrationstests, Schwachstellenmanagement und Beratung zu ISO 27001, NIS2 und IT-Grundschutz.
Anerkannte Qualifikationen
Unser Team bringt anerkannte fachliche Qualifikationen in der Informationssicherheit mit. Ihre Tests führen ausschließlich unsere eigenen Experten in Deutschland durch.
Nachweisbare Projekterfahrung
Unternehmen aus unterschiedlichen Branchen und Größen arbeiten mit unserem Cyber-Security-Team. Ihre Projekte finden Sie in unseren Referenzen.
Referenzen ansehenWir prüfen nicht nur, wir helfen weiter
Ein Pentest-Bericht allein macht Sie nicht sicherer, deshalb verbinden wir Prüfung und Umsetzung. Unsere Empfehlungen setzen wir auf Wunsch selbst um, mit Endpoint-Schutz, Firewalls und Schulungen. Mit automatisiertem Pentesting über Pentera behalten wir Ihre Sicherheit danach im Blick.
Ihre Penetrationstests führen unsere eigenen Experten in Deutschland durch, die fast zehn Jahre Praxis im Penetration Testing mitbringen. Keine anonymen Subunternehmer, und wir verlassen uns nicht auf Scans allein. Sie erhalten eine praxisnahe Bewertung und konkrete Empfehlungen. Wir sind selbst nach ISO/IEC 27001 zertifiziert. Als Familienunternehmen in zweiter Generation sind wir ein langfristiger Partner für Ihre Sicherheit.
- ISO 27001
- selbst nach ISO/IEC 27001 zertifiziert
- ~10
- Jahre Praxis unseres Pentest-Teams
- 25+
- Jahre IT-Partner (seit 2000)
- 2
- Standorte in Karlsruhe und Hamburg
Aus der Praxis
Was unsere Kunden über unser Pentest-Team sagen
Für BLANC & FISCHER führen wir regelmäßig Penetrationstests und weiterführende Sicherheitsanalysen durch. Ziel ist, Schwachstellen früh zu finden und konkrete Maßnahmen abzuleiten, die zu den bestehenden Prozessen passen.
„Mit dem Pentester-Team der n-komm haben wir einen äußerst kompetenten und zuverlässigen Partner an unserer Seite, der nicht bloß auf Standardlösungen setzt, sondern unsere individuellen Anforderungen präzise und flexibel berücksichtigt. Ein starker und echter strategischer Partner, auf den wir voll vertrauen.“
Häufige Fragen zum Penetrationstest
Ihre Frage ist nicht dabei? Schreiben Sie uns.
Was ist ein Penetrationstest?
Ein Penetrationstest ist ein kontrollierter Angriff auf Ihre IT, mit Ihrer Erlaubnis. Sicherheitsexperten suchen Schwachstellen und prüfen, ob sie sich ausnutzen lassen. Sie erhalten einen Bericht mit Empfehlungen.
Was ist der Unterschied zwischen Pentest und Schwachstellenscan?
Ein Schwachstellenscan findet bekannte Lücken automatisch. Ein Pentest prüft zusätzlich, ob sich die Lücken ausnutzen lassen, und verbindet sie zu realistischen Angriffswegen. Beides ergänzt sich gut.
Wie lange dauert ein Penetrationstest?
Das hängt von Umfang und Testart ab. Ziele und Zeitrahmen legen wir vorab gemeinsam mit Ihnen fest.
Kann ein Penetrationstest unsere Systeme beschädigen?
Wir testen kontrolliert und in Absprache mit Ihnen. Kritische Systeme testen wir besonders vorsichtig oder zu Zeiten, in denen ein Ausfall nicht stört. Ein Restrisiko besprechen wir offen im Vorgespräch.
Was kostet ein Penetrationstest?
Die Kosten richten sich nach Umfang und Testart. Nach dem Vorgespräch erhalten Sie ein individuelles Angebot.
Ist ein Nachtest enthalten?
Der Nachtest ist optional. Sie können ihn als Zusatzleistung beauftragen, wenn Sie Ihre Maßnahmen prüfen lassen wollen.
Wie oft sollten wir testen?
Das richtet sich nach Ihrem Risiko. Testen Sie außerdem nach wesentlichen Änderungen an Anwendungen, Netzen oder Systemen. Zwischen den Tests hält automatisiertes Pentesting Ihre Sicherheitslage im Blick.
Brauchen wir einen Pentest für NIS2?
NIS2 verlangt, dass betroffene Unternehmen die Wirksamkeit ihrer Sicherheitsmaßnahmen bewerten. Ein Penetrationstest ist dafür ein bewährtes Mittel. Ob NIS2 Sie betrifft, klären wir gern mit Ihnen.
Wer führt den Test durch?
Unsere eigenen Experten in Deutschland, mit fast zehn Jahren Praxis im Penetration Testing. Wir lagern Penetrationstests nicht an Dritte aus.
Unser IT-Dienstleister sagt, wir sind sicher. Brauchen wir trotzdem einen Pentest?
Das mag stimmen, aber ein unabhängiger Test schafft Gewissheit. Wer eine IT selbst aufgebaut hat, übersieht leichter die eigenen Lücken.
Wie leicht kommt ein Angreifer in Ihre IT?
Finden Sie es heraus, bevor es jemand anderes tut. Im kostenlosen Erstgespräch klären wir, welche Systeme getestet werden sollten und welche Testart zu Ihnen passt. Danach erhalten Sie ein individuelles Angebot. Das Gespräch per Teams oder Telefon dauert 30 Minuten, unverbindlich und kostenfrei. Akuter Sicherheitsvorfall? Rufen Sie unsere Servicenummer an, montags bis freitags von 8 bis 17 Uhr.
Lieber direkt sprechen? +49 721 35 46 00