Ein Kunde verlangt einen Testbericht
Lieferantenbewertungen fragen nach einem aktuellen Test mit Umfang und Vorgehen.
Angriffstest
Wie weit käme ein Angreifer
in Ihrem Unternehmen?
Wir versuchen mit Ihrer Erlaubnis, bei Ihnen einzudringen, und zeigen Ihnen, wie weit wir gekommen sind und was davor schützt. Getestet werden die Wege, die echte Angreifer nehmen: über E-Mail, Konten und Zugänge bis zu Ihren Daten. Fachleute nennen das Penetrationstest. Den Bericht können Sie Kunden und Versicherern vorlegen.
Beispiel eines Befunds mit Priorität hoch: Ein Angreifer kommt über eine E-Mail an ein Konto, meldet sich von einem fremden Gerät an und liest Kundenakten. Der Nachweis ist für Ihre IT nachvollziehbar dokumentiert. Nach der Behebung endet der Weg bei der Anmeldung, ein Nachtest bestätigt es.
- Für wen
- Unternehmen, die wissen wollen, ob ihr Schutz hält, oder einen Testbericht brauchen
- Umfang
- E-Mail, Konten und Geräte in Microsoft 365, auf Wunsch Azure und Active Directory
- Vorgehen
- Nur mit Ihrer schriftlichen Freigabe, Kritisches melden wir sofort
- Ergebnis
- Bericht in verständlicher Sprache, auf Wunsch Nachtest nach der Behebung
- Preis
- Festpreis, nach einem kurzen Gespräch zum Umfang
Projekte unter anderem für
Kennen Sie das?
Versicherer oder Kunden fragen nach
Für die Cyberversicherung, einen Großkunden oder NIS2 brauchen Sie einen aktuellen Bericht. Wir planen vom Termin rückwärts.
Sie wollen es genau wissen
Ihre IT hat vieles abgesichert, und Sie wollen wissen, ob es einem echten Angriff standhält.
Beispiel
Ein Angriff, Schritt für Schritt
Ein Angreifer sucht keinen einzelnen Fehler, sondern einen Weg. Jeder Schritt auf diesem Weg wird ein Befund im Bericht. Schalten Sie um und sehen Sie, wo der Weg nach der Behebung endet.
-
1 Gefälschte E-Mail
Eine Mail mit falschem Absender landet im Postfach Gefälschte Absender werden aussortiert
Priorität mittel Behoben
-
2 Anmeldung
Passwort und SMS-Code reichen zur Anmeldung Zweiter Faktor, der sich nicht abfangen lässt
Priorität kritisch Weg endet hier
-
3 Gerät
Anmeldung klappt auch vom fremden Gerät Zugriff nur von geprüften Firmengeräten
Priorität hoch Nicht erreichbar
-
4 Administratorrechte
Das Konto hat dauerhaft Administratorrechte Administratorrechte nur auf Zeit
Priorität hoch Nicht erreichbar
-
Kundendaten
Angreifer liest Kundenakten und Verträge Über diesen Weg kein Zugriff
Erreicht Nicht erreichbar
Im Bericht
Der ganze Weg mit Nachweis, jeder Schritt als Befund mit Priorität. Kritisches melden wir sofort, nicht erst im Bericht. Ein Nachtest bestätigt, dass der Weg bei der Anmeldung endet. Den Bericht können Sie Kunden und Versicherern vorlegen.
Wie viel wir vorab über Ihre Umgebung wissen, legen wir gemeinsam fest. Tests in der Microsoft-Cloud halten sich an die Regeln, die Microsoft dafür vorgibt.
Aus unserem Webinar
MFA umgangen: 3 Angriffe auf Microsoft 365 mit Evilginx
Die Aufzeichnung zeigt an einem Testtenant drei Angriffe, die eine Anmeldung trotz Multi-Faktor-Authentifizierung übernehmen, und was sie stoppt: phishing-resistente Anmeldung, Postfach-Auditing und kontrollierte App-Zustimmungen. Gezeigt wird die Wirkung, keine Anleitung.
Umstieg auf Passkeys mit Conditional AccessWas wir testen
Konten und Anmeldung
Wie leicht ein Angreifer an ein Konto kommt und ob er sich von dort zum Administrator hocharbeiten kann.
E-Mail und Freigaben
Ob gefälschte Absender durchkommen und welche Dateien nach außen geteilt sind.
Azure
Welche Dienste aus dem Internet erreichbar sind und wer darauf zugreifen darf.
Active Directory
Wie weit ein Angreifer von einem einzelnen Arbeitsplatz aus im Firmennetz käme.
Phishing-Test
Optional und schriftlich abgegrenzt. Wir werten aus, welche Schutzmaßnahme gegriffen hat, nicht wer geklickt hat.
So läuft ein Angriffstest ab
-
Schriftlich
Umfang und Freigabe
Ohne Ihre schriftliche Freigabe beginnt kein Test.
-
Testzeitraum
Zeitraum, Ansprechpersonen und wann wir abbrechen, stehen vorher fest.
-
Sofortmeldung
Kritische Befunde melden wir sofort an die vereinbarte Ansprechperson.
-
Bericht
Jeder Befund mit Priorität, Nachweis und Empfehlung. Auf Wunsch ordnen wir ihn NIS2, ISO 27001 und BSI IT-Grundschutz zu.
-
Behebung und Nachtest
Mit Ihrer IT legen wir fest, was zuerst behoben wird. Auf Wunsch bestätigt ein Nachtest die Behebung.
Ein Kunde oder Versicherer verlangt einen Testbericht?
Wir klären in 30 Minuten, was Sie brauchen und ob ein Angriffstest passt oder der IT-Sicherheitscheck reicht.
Was Sie nach dem Test erhalten
Zusammenfassung für die Geschäftsführung
Wie weit ein Angreifer kam und was zuerst zu tun ist, ohne Fachsprache.
Befunde nach Priorität
Mit Nachweis, damit Ihre IT jeden Punkt nachvollziehen und beheben kann.
Zuordnung zu NIS2 und ISO 27001
Jeder Befund ist NIS2, ISO 27001 und BSI IT-Grundschutz zugeordnet, falls Sie das brauchen.
Testbericht für Dritte
Für Kunden und Versicherer. Testkonten entfernen wir nach dem Test.
Häufig gestellte Fragen
Was kostet ein Angriffstest?
Der Test hat einen Festpreis. Wir nennen ihn schriftlich nach einem kurzen Gespräch zum Umfang, bevor der Test beginnt. Ein Nachtest nach der Behebung ist optional und wird gesondert vereinbart.
Stört der Test unseren laufenden Betrieb?
Nein, der Test ist so geplant, dass Ihr Betrieb weiterläuft. Prüfungen, die Systeme beeinträchtigen könnten, gibt es nur nach Ihrer ausdrücklichen Freigabe. Zeitraum, Ansprechpersonen und wann wir abbrechen, stehen vorher schriftlich fest.
Wie lange dauert es, und wie viel Zeit kostet es uns?
Das hängt vom Umfang ab, etwa ob Azure und Active Directory dazugehören; nach dem Erstgespräch nennen wir einen verbindlichen Zeitplan. Von Ihnen brauchen wir die schriftliche Freigabe und eine Ansprechperson während des Tests. Danach legen wir mit Ihrer IT fest, was zuerst behoben wird.
Was passiert mit unseren Daten und Zugängen?
Mit jedem Kunden schließen wir eine Vertraulichkeitsvereinbarung, und ohne Ihre schriftliche Freigabe beginnt kein Test. Testkonten entfernen wir nach dem Test. Unsere Mitarbeitenden haben vor der Einstellung ein Führungszeugnis vorgelegt; wo ein Projekt es verlangt, setzen wir sicherheitsüberprüfte Berater ein.
Was haben wir am Ende in der Hand?
Eine Zusammenfassung für die Geschäftsführung ohne Fachsprache, die Befunde nach Priorität mit Nachweis für Ihre IT und einen Testbericht, den Sie Kunden und Versicherern vorlegen können. Auf Wunsch ordnen wir jeden Befund NIS2, ISO 27001 und BSI IT-Grundschutz zu.
Brauchen wir einen Angriffstest, oder reicht der IT-Sicherheitscheck?
Der IT-Sicherheitscheck prüft, wie Ihre IT aufgebaut und eingestellt ist. Der Angriffstest, auch Penetrationstest genannt, probiert aus, ob ein Angreifer Schwachstellen tatsächlich ausnutzen und miteinander verbinden kann. Welcher Einstieg passt, klären wir im Erstgespräch.
Verlangt NIS2 einen Angriffstest?
NIS2 und ISO 27001 schreiben ihn nicht wörtlich vor, verlangen aber, die Wirksamkeit der Maßnahmen zu prüfen. Ein dokumentierter Penetrationstest ist einer der direktesten Belege, üblich ist ein jährlicher Zyklus.
Lassen Sie uns über Ihre IT-Sicherheit sprechen
Im Erstgespräch (30 Minuten, unverbindlich) klären wir:
- wo Ihr Unternehmen heute steht und was Ihnen am meisten Sorgen macht
- welcher nächste Schritt für Ihr Unternehmen sinnvoll ist
- mit welchem Aufwand und Preisrahmen Sie rechnen können
Bastian Wenske
Gründer und Geschäftsführer
Sie möchten uns lieber direkt schreiben? Dann senden Sie uns eine E-Mail an [email protected].
Erstgespräch vereinbaren