Schwachstellen finden,
bevor Angreifer es tun.
NIS2 macht regelmäßige Sicherheitsprüfungen zur Pflicht. Wir prüfen Ihre Azure-, Entra ID- und Active Directory-Umgebung systematisch auf Schwachstellen und liefern priorisierte Maßnahmenkataloge für Prüfer und Geschäftsleitung.
Ihre Angriffsfläche im Blick
Ein Security Assessment deckt alle relevanten Angriffsvektoren ab: von Cloud-Konfigurationen über Identitäten bis zum Netzwerk.
Identity & AD
Entra ID, Active Directory, Kerberos, NTLM
Cloud & Azure
Konfiguration, Storage, Policies, RBAC
Netzwerk
Extern & intern, Firewall, Segmentierung
Applikationen
Dienste, APIs, Schwachstellen-Scan
Scope und Tiefe des Assessments werden gemeinsam mit Ihnen definiert.
Was ohne Assessment passiert
Ungetestete Umgebungen sind nicht sicher — ihre Risiken sind nur unbekannt.
Unentdeckte Fehlkonfigurationen
Azure-Ressourcen mit öffentlichem Zugang, überprivilegierte Service Accounts und offene Storage Accounts bleiben Monate unentdeckt.
Schwache Active Directory Strukturen
Kerberoasting, Pass-the-Hash und ungesteuerte Delegation ermöglichen Angreifern vollständige Domänenkompromittierung.
Compliance ohne Nachweis
NIS2, ISO 27001 und BSI-Grundschutz fordern Sicherheitsnachweise. Ohne regelmäßige Tests fehlt die Dokumentation für Prüfer und Versicherungen.
Verzögerte Erkennung
Ohne Test kein Wissen über Angriffsvektoren. Einbrüche bleiben durchschnittlich 197 Tage unentdeckt.
Laterale Bewegung ungehindert
Ohne Segmentierungsprüfung und Netzwerktest ist unklar, wie weit ein Angreifer nach erfolgreichem Erstzugang vordringen kann.
Cyber-Versicherung gefährdet
Viele Versicherer verlangen Penetrationstest-Nachweise. Fehlen diese, drohen Leistungsausschlüsse im Schadensfall.
Was wir prüfen
Sechs Assessment-Typen, abgestimmt auf den Microsoft-Stack und die Anforderungen des deutschen Mittelstands.
Azure & Cloud Konfigurationsanalyse
CLOUD AUDIT
- Systematische Prüfung aller Azure-Ressourcen gegen CIS Benchmarks und Microsoft Security Baseline
- Identifikation von Fehlkonfigurationen, überprivilegierten Identitäten und offenen Angriffsflächen
- Bewertung gegen Azure Policy und regulatorische Compliance-Anforderungen (NIS2, ISO 27001)
- Priorisierter Maßnahmenkatalog mit Aufwandsschätzung und Risikobewertung
CIS BENCHMARKS . MICROSOFT SECURITY BASELINE . AZURE POLICY
Entra ID & Active Directory Assessment
IDENTITÄT & ZUGANG
- Analyse von Identitäten, Berechtigungen und Delegation in Entra ID und Active Directory
- Erkennung von Kerberoasting-Anfälligkeit, Pass-the-Hash-Vektoren und ungesteuerten GPOs
- Bewertung privilegierter Accounts, PIM-Konfiguration und Conditional Access Policies
- Identifikation kritischer Pfade zur Domänenkompromittierung
ENTRA ID . ACTIVE DIRECTORY . KERBEROS . NTLM
Netzwerk Penetrationstest
EXTERN & INTERN
- Externe Angriffssimulation: Scope-Definition, Reconnaissance und Exploitation öffentlicher Dienste
- Interner Netzwerktest: laterale Bewegung, Netzwerksegmentierung und Firewall-Regeln
- Bewertung von VPN-Zugängen, Remote-Desktop-Diensten und VNet-Peering-Konfigurationen
- Dokumentation aller Findings mit Reproduktionsschritten und CVSS-Bewertung
RECONNAISSANCE . EXPLOITATION . LATERAL MOVEMENT
Vulnerability Assessment
SCHWACHSTELLEN-SCAN
- Automatisierter Schwachstellenscan als Baseline über alle Systeme und Dienste
- Manuelle Verifikation und Priorisierung nach CVSS-Score und tatsächlicher Ausnutzbarkeit
- Bewertung von Patch-Stand, bekannten CVEs und Zero-Day-Exposition
- Regelmäßige Wiederholung als kontinuierlicher Sicherheitsnachweis
CVSS . AUTOMATISIERT . MANUELL VERIFIZIERT
Red Team / Simulierter Angriff
ANGRIFFSSIMULATION
- Gezielte Angriffssimulation mit definierten Zielen: Datenexfiltration oder Privilege Escalation
- Realistische Angriffsszenarien einschließlich Social Engineering und Phishing-Komponenten
- Kombination aus technischen Angriffsvektoren und menschlichen Faktoren
- Nachweis realer Auswirkungen für Geschäftsleitung, CISO und Versicherungen
PRIVILEGE ESCALATION . DATENEXFILTRATION . SOCIAL ENGINEERING
Reporting & Maßnahmenkatalog
DOKUMENTATION
- Management-Summary für Geschäftsleitung, Prüfer und Aufsichtsbehörden
- Technischer Bericht mit CVSS-bewerteten Findings und Reproduktionsschritten
- Priorisierter Maßnahmenkatalog mit Aufwandsschätzung und Quick Wins
- Direktes Compliance-Mapping auf NIS2, ISO 27001, BSI-Grundschutz und DORA
MANAGEMENT-SUMMARY . CVSS-BEWERTUNG . MASSNAHMENPLAN
Ihr Weg zum Assessment
Vier Phasen, klar strukturiert. Vom ersten Gespräch bis zum revisionsreifen Bericht.
- 01
Scope & Planung
1 Woche- Abstimmung der Testziele und Scope-Definition
- Klärung rechtlicher Rahmenbedingungen und Rules of Engagement
- Technische Vorbereitung und Zugangsdaten für White-Box-Assessments
- Ergebnis: Klarer Testplan, keine unerwarteten Unterbrechungen
-
- 02
Reconnaissance & Assessment
1-2 Wochen- Automatisierte Schwachstellenscans als Baseline
- Manuelle Prüfung von Entra ID, Azure-Konfiguration und AD-Struktur
- Netzwerk-Assessment: extern und intern, passiv und aktiv
- Ergebnis: Vollständiges Bild der Angriffsfläche
-
- 03
Exploitation & Verifikation
1-2 Wochen- Kontrollierte Ausnutzung identifizierter Schwachstellen zur Beweissicherung
- Privilege Escalation und laterale Bewegung bis zum definierten Testziel
- Dokumentation aller Findings mit Reproduktionsschritten
- Ergebnis: Belastbare Evidenz, kein spekulativer Befund
-
- 04
Reporting & Übergabe
1 Woche- Management-Summary für Geschäftsleitung und Prüfer
- Technischer Bericht mit CVSS-bewerteten Findings
- Priorisierter Maßnahmenkatalog mit Aufwandsschätzung und Quick Wins
- Ergebnis: Vollständige Dokumentation für Compliance und Umsetzung
-
Circa 4-6 Wochen vom ersten Gespräch bis zum abgelieferten Bericht
Jede Phase liefert eigenständigen Mehrwert und ist separat buchbar.
Was sich für Ihr Unternehmen ändert
Warum Wenske Cyber Solutions
Microsoft-Stack-Spezialisten
Wir prüfen die Umgebungen, die wir täglich absichern: Azure, Entra ID, Active Directory, Microsoft 365. Keine generischen Web-App-Tests.
White-Box und Black-Box
Assessment-Tiefe an Ihren Bedarf angepasst. Von der schnellen Konfigurationsanalyse bis zum vollständigen Red-Team-Engagement.
Ein Bericht, der wirkt
Management-Summary für die Geschäftsleitung, technischer Bericht für Ihre IT, priorisierter Maßnahmenkatalog für die Umsetzung.
Compliance-Mapping
Alle Findings direkt auf NIS2, ISO 27001, BSI-Grundschutz und DORA gemappt. Der Bericht ist revisionsfertig.
Bereit für Klarheit?
In einem kostenlosen Erstgespräch definieren wir gemeinsam den Scope und zeigen Ihnen, welche Assessment-Tiefe für Ihre Umgebung sinnvoll ist.
Keine Verpflichtung. Kein Verkaufsgespräch. Nur Klarheit.