Pentest Konfigurator & Angebotsgenerator

Wie wird sichergestellt, dass der Pentest professionell und methodisch fundiert durchgeführt wird?

Unsere Penetrationstests folgen etablierten Standards wie den OWASP Testing Guidelines, ASVS (Application Security Verification Standard) sowie dem PTES (Penetration Testing Execution Standard). Dadurch stellen wir sicher, dass sowohl technische Schwachstellen als auch typische Angriffsvektoren (z. B. Authentifizierung, Zugriffskontrolle, API-Missbrauch) abgedeckt werden.
Zusätzlich setzen wir auf manuelle Prüfungen durch erfahrene Sicherheitsexperten – keine reinen Scanner-Reports.

Warum ist der Test so detailliert konfigurierbar? Wird das nicht zu komplex?

Wir bieten diese Konfigurationsmöglichkeiten, weil jede Webanwendung einzigartig ist. Durch die Parametrisierung können wir den Aufwand und die Risikolandschaft präziser einschätzen – und Sie zahlen nur für das, was tatsächlich getestet werden muss.
Für Kunden, die nicht alle Details kennen, bieten wir auch:
Beratung bei der Konfiguration
vorkonfigurierte „Typische Szenarien“ (z.B. SaaS, E-Commerce, interne Business-Anwendung)

Warum ist der Re-Test nicht immer inklusive?

In vielen Fällen reichen einfache Fixes – in anderen Fällen ist ein vollständiger Re-Test nötig. Daher bieten wir den Re-Test als optionale Qualitätssicherung an – besonders für sicherheitskritische Anwendungen empfehlen wir ihn ausdrücklich.

Kann ich auf den PDF-Report verzichten? Was bekomme ich dann?

Ja, Sie können bewusst auf einen formatierten PDF-Report verzichten, wenn Sie z.B. ein internes Sicherheitsteam haben oder technische Exporte bevorzugen. In diesem Fall liefern wir die Ergebnisse in strukturierter Form (Excel / Markdown / JSON) – funktional gleichwertig, aber ohne visuelle Aufbereitung. Wichtig: Der Management Summary ist davon unabhängig und kann separat gebucht werden.

Wie unterscheiden sich die drei Paket-Optionen?

Mini-Pentest: Fokus auf kritische Schwachstellen, 1 Werktag, kompakter E-Mail-Bericht
Standard-Pentest: Umfassende OWASP Top10-Prüfung, 5 Werktage, detaillierter PDF-Bericht mit Ergebnisbesprechung
Erweiterter Pentest: Vollumfängliche Prüfung inkl. externer Angriffsoberfläche, 9 Werktage, Management Summary

Was bedeutet "OWASP Top10"?

Die OWASP Top10 ist eine Liste der zehn häufigsten und kritischsten Sicherheitsrisiken für Webanwendungen, die von der Open Web Application Security Project (OWASP) jährlich aktualisiert wird. Sie gilt als internationaler Standard für Web-Sicherheitstests.

Was ist CVSS-Scoring?

Das Common Vulnerability Scoring System (CVSS) ist ein internationaler Standard zur Bewertung der Schwere von Sicherheitslücken. Werte über 7.0 gelten als kritisch und erfordern sofortige Aufmerksamkeit.

Kann ich mehrere Services kombinieren?

Ja, Sie können beliebig viele Services in den Warenkorb legen. Beispielsweise können Sie gleichzeitig eine Webanwendung, eine API und einen Phishing-Test beauftragen.

Warum kostet ein CMS-basiertes System weniger als eine Eigenentwicklung?

CMS-Systeme wie WordPress oder Drupal haben bekannte Strukturen und häufige Schwachstellen, wodurch der Test effizienter durchgeführt werden kann. Eigenentwicklungen erfordern mehr Analyse und individuelle Testansätze.

Was ist eine Test-/Staging-Umgebung und warum ist sie wichtig?

Eine Testumgebung ist eine Kopie Ihrer Produktionsanwendung, auf der gefahrlos getestet werden kann. Tests auf Produktionssystemen sind risikoreicher und erfordern mehr Vorsicht, was zu höheren Kosten führt.

Was bedeutet "externe Angriffsoberfläche"?

Das sind alle von außen (Internet) erreichbaren Systeme Ihres Unternehmens: Websites, E-Mail-Server, VPN-Zugänge, etc. Eine Analyse hilft, vergessene oder unbekannte Systeme zu identifizieren.

Was ist ein "Retest"?

Nach der Behebung gefundener Schwachstellen prüfen wir, ob die Fixes korrekt implementiert wurden und keine neuen Probleme entstanden sind. Dies umfasst auch Tests auf Bypass-Möglichkeiten.

Was ist "Argos EASM"?

External Attack Surface Monitoring (EASM) überwacht kontinuierlich Ihre externe Angriffsoberfläche und benachrichtigt Sie bei neuen Systemen oder Schwachstellen. Argos ist unser eigenes Tool dafür.

Wann brauche ich ein Management Summary?

Ein Management Summary fasst technische Befunde in verständlicher Sprache für Führungskräfte zusammen und zeigt Geschäftsrisiken sowie Handlungsempfehlungen auf.

Sind die angezeigten Preise Festpreise?

Ja, alle angezeigten Preise sind Festpreise inkl. aller Leistungen. Nachträglich fallen nur dann Kosten an, wenn Sie zusätzliche Services beauftragen oder das Testobjekt sich signifikant von Ihren Angaben unterscheidet.

Warum werden manche Features extra berechnet?

Bestimmte Features erhöhen den Testaufwand erheblich.

Was passiert, wenn meine Anwendung komplexer ist als erwartet?

Bei Festpreisen übernehmen wir das Risiko. Sollten unvorhergesehene Komplexitäten auftreten, besprechen wir mit Ihnen mögliche Anpassungen, bevor zusätzliche Kosten entstehen. Das geschieht in der Regel auch vor dem Start des Pentests.

Wie läuft ein Pentest ab?

1. Vorbesprechung: Klärung der Details und Zugänge
2. Testdurchführung: Analyse und Tests nach definierten Methoden
3. Berichtserstellung: Dokumentation aller Befunde
4. Ergebnisbesprechung: Erläuterung der Funde und Empfehlungen
5. Optional: Retest nach Implementierung der Fixes

Benötigen Sie Zugangsdaten?

Ja, für authentifizierte Tests benötigen wir gültige Zugangsdaten für verschiedene Benutzerrollen. Diese werden sicher behandelt und nach dem Test gelöscht.

Können Sie auch außerhalb der Geschäftszeiten testen?

Ja, das ist möglich und oft sinnvoll, um den laufenden Betrieb nicht zu stören. Dies vereinbaren wir individuell.

Hilft ein Pentest bei ISO 27001 oder anderen Standards?

Ja, regelmäßige Penetrationstests sind in vielen Standards wie ISO 27001, PCI DSS oder der DSGVO gefordert oder empfohlen. Unsere Berichte können als Nachweis dienen.

Erhalte ich ein Zertifikat oder eine Bestätigung?

Sie erhalten einen detaillierten Prüfbericht. Beim erweiterten Pentest ist zusätzlich ein Bestätigungsschreiben für Kunden/Lieferanten enthalten.

Ist ein Pentest gesetzlich vorgeschrieben?

Nicht direkt, aber die DSGVO und andere Gesetze fordern "angemessene technische Maßnahmen". Penetrationstests gelten als bewährte Praxis zum Nachweis der Sorgfaltspflicht.

Bieten Sie Unterstützung bei der Behebung an?

Wir erklären alle Befunde ausführlich und geben konkrete Handlungsempfehlungen. Die Implementierung übernehmen in der Regel Ihre internen Teams oder Dienstleister.

Wie aktuell sind Ihre Testmethoden?

Unsere Methoden werden kontinuierlich an neue Bedrohungen angepasst. Wir verwenden aktuelle Tools und Techniken entsprechend internationaler Standards.

Was ist, wenn der Aufwand doch geringer ausfällt, als erwartet?

Unsere Preise sind Maximalpreise - stellt sich heraus, dass der Pentest schneller fertig sein wird, zahlen Sie natürlich einen geringeren Preis.