Penetrationstest
Penetrationstest: verifiziert statt Fehlalarm
Ein Penetrationstest prüft Ihre Anwendung so, wie ein Angreifer sie angeht: gezielt, kettenweise, auf die eine Schwäche, die tatsächlich ausnutzbar ist. Bei CyberSec42 verlässt kein Befund den Bericht, ohne dass er mit einem ausgeführten Nachweis belegt ist. Sie bekommen keine Liste voller Vermutungen, sondern das, was ein Angreifer wirklich erreichen könnte, und einen Bericht, der einer Prüfung standhält.
- Zielgerichteter Test statt Massen-Scan: wir suchen die ausnutzbare Kette, nicht das laute Rauschen.
- Jeder Befund kommt mit einem Proof of Concept, im Rahmen belegt und reproduzierbar, nicht auf Verdacht gemeldet.
- Kalibrierte Triage: echt statt False Positive, keine Severity-Inflation.
- Der Bericht ist ein prüffähiges Artefakt mit Risiko-Register und Korrektur-Vorschlag je Befund.
- Ehrliche Grenze: ein sauberes Ergebnis heißt kein Befund auf dem Geprüften, nie ein Freibrief.
Was ein Penetrationstest leistet
Ein automatisierter Scan sagt Ihnen, was an bekannten Mustern auffällt. Ein Penetrationstest sagt Ihnen, was ein Angreifer damit anfangen kann. Der Unterschied ist die Verkettung: einzelne Schwächen, die für sich harmlos aussehen, werden zur Wirkungskette, bei der der Ausgang eines Schrittes der Eingang des nächsten wird. Genau diese Ketten findet ein Scanner nicht, weil sie im Zusammenspiel und im Berechtigungs-Design liegen, nicht in einer einzelnen Codezeile.
Deshalb prüfen wir auf zwei Ebenen. Eine statische Prüfung gegen definierte Invarianten deckt die Klassen ab, die sich strukturell fangen lassen. Eine dynamische Prüfung belegt jeden Einzelbefund mit einem ausgeführten Nachweis, statt ihn nur zu vermuten. Diese Trennung ist der Grund, warum wir Befunde ehrlich als belegt oder als offen kennzeichnen können, statt beides zu vermischen.
Was wir prüfen
Zugriffskontrolle
Ob ein Nutzer nur seine eigenen Daten sieht, ob Rollen halten, ob Ownership-Prüfungen wirklich greifen. Die häufigste und teuerste Klasse.
Injection und Ausführung
SQL, Command, Template und verwandte Familien, verfolgt vom nicht vertrauenswürdigen Eingang bis zur gefährlichen Senke.
Authentifizierung und Sessions
Token-Handhabung, Session-Sicherheit, Passwort- und Reset-Fluss, Umgang mit Mehrfaktor.
Server-seitige Abrufe
SSRF und ungefilterte ausgehende Anfragen, Sperre interner Adressen, Umgang mit Redirects.
Secret- und Datenumgang
Wo Zugangsdaten liegen, ob sie geloggt oder weitergereicht werden, wie sensible Daten geschützt sind.
Konfiguration und Defaults
Unsichere Standardwerte, zu breite Berechtigungen, offene Bindungen, mitgelieferte Default-Schlüssel.
Der Scope wird pro Projekt festgelegt. Was geprüft wird und was ausdrücklich nicht, halten wir schriftlich fest, bevor der Test beginnt.
So läuft ein Test ab
Scope und Rahmen
Wir legen gemeinsam fest, welche Systeme, welche Rollen und welche Wirkungen in Scope sind, und halten die Grenzen und die Freigabe schriftlich fest.
Aufklärung und Kartierung
Wir kartieren die Angriffsfläche, die Eingänge, die Vertrauensgrenzen und die Berechtigungen, um die Stellen zu finden, an denen etwas kippen kann.
Prüfung und Verkettung
Wir prüfen jede relevante Schwachstellen-Klasse und verbinden einzelne Schwächen zu Ketten, um den tatsächlichen Impact einzuordnen.
Verifikation je Befund
Jeder Kandidat wird gegengeprüft. Nur was sich mit einem ausgeführten Nachweis belegen lässt, wird als Befund geführt, der Rest wird ehrlich verworfen.
Bericht und Übergabe
Sie erhalten einen prüffähigen Bericht mit Management-Zusammenfassung, Risiko-Register, Nachweis und Korrektur-Vorschlag je Befund, plus ein Gespräch zur Priorisierung.
Nachtest
Nach Ihren Korrekturen prüfen wir die behobenen Befunde erneut und dokumentieren den Stand, damit die Behebung belegt ist.
Warum CyberSec42
Der Markt liefert vor allem Breite: viele Regeln, ein grünes Dashboard, eine Note. Das ist nützlich und gehört dazu, aber es sagt einem Käufer nichts über die eine Eigenschaft, auf der sein Produkt steht. Unsere Arbeit beginnt genau dort, wo der Scan aufhört.
- Nachweis pro Befund. Wir melden nichts auf Verdacht. Jeder Einzelbefund wird mit einem ausgeführten Proof of Concept belegt, bevor er in den Bericht kommt.
- Null-Fehlalarm-Disziplin. Kandidaten, die sich nicht verifizieren lassen, werden verworfen statt hochgestuft. Keine Severity-Inflation, kein Melden zur Zahl.
- Invariantenbasiert statt ratend. Wir prüfen gegen eine Bibliothek definierter Sicherheits-Invarianten, nicht gegen eine Ahnung, was verdächtig aussieht.
- Der Bericht als Artefakt. Belegbar, prüffähig und vorbereitet für den Fall, dass ein externer Prüfer oder ein Enterprise-Einkauf ihn sehen will.
- Ehrliche Einordnung. Wir behaupten lieber zu wenig als ein grünes Licht zu verkaufen, das keins ist. Ein sauberes Ergebnis heißt kein Befund auf dem, was wir geprüft haben.
Halten Ihre Sicherheitsannahmen einer Prüfung stand?
In einem kostenlosen Erstgespräch benennen wir die eine Eigenschaft, von der Ihr Produkt abhängt, und ordnen ein, wie ein sinnvoller Umfang aussieht. Jeder spätere Befund kommt mit einem Nachweis, nicht mit einer Vermutung.
Erstgespräch anfragenCyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung.
Häufige Fragen
Was ist der Unterschied zwischen einem Penetrationstest und einem Schwachstellenscan?
Ein Schwachstellenscan sucht automatisiert nach bekannten Mustern und liefert eine Liste. Ein Penetrationstest prüft gezielt, ob sich diese und weitere Schwächen tatsächlich ausnutzen und zu Ketten verbinden lassen. Bei CyberSec42 wird jeder gemeldete Befund mit einem ausgeführten Nachweis belegt.
Wie lange dauert ein Penetrationstest?
Das hängt vom Umfang ab: von der Größe der Anwendung, der Zahl der Rollen und der Tiefe der Prüfung. Wir legen Dauer und Umfang vor Beginn schriftlich fest, damit es keine Überraschungen gibt.
Was kostet ein Penetrationstest?
Der Aufwand richtet sich nach dem Umfang. Statt einer Pauschale sprechen wir zuerst über Ihr System und den sinnvollen Umfang und machen Ihnen danach ein individuelles Angebot.
Bekomme ich einen Nachweis, den ich weitergeben kann?
Ja. Der Bericht ist als prüffähiges Artefakt aufgebaut, mit Management-Zusammenfassung, Risiko-Register und Nachweis je Befund. Er ist so gehalten, dass ein Enterprise-Einkauf oder ein externer Prüfer damit arbeiten kann.
Was passiert nach dem Test?
Sie erhalten den Bericht und ein Gespräch zur Priorisierung. Nach Ihren Korrekturen prüfen wir die behobenen Befunde in einem Nachtest erneut und dokumentieren den Stand.