Pentest Konfigurator & Angebotsgenerator

Unsere Penetrationstests folgen etablierten Standards wie den OWASP Testing Guidelines, ASVS (Application Security Verification Standard) sowie dem PTES (Penetration Testing Execution Standard). Dadurch stellen wir sicher, dass sowohl technische Schwachstellen als auch typische Angriffsvektoren (z. B. Authentifizierung, Zugriffskontrolle, API-Missbrauch) abgedeckt werden. Zusätzlich setzen wir auf manuelle Prüfungen durch erfahrene Sicherheitsexperten - keine reinen Scanner-Reports.

Wir bieten diese Konfigurationsmöglichkeiten, weil jede Webanwendung einzigartig ist. Durch die Parametrisierung können wir den Aufwand und die Risikolandschaft präziser einschätzen - und Sie zahlen nur für das, was tatsächlich getestet werden muss. Für Kunden, die nicht alle Details kennen, bieten wir auch Beratung bei der Konfiguration sowie vorkonfigurierte „Typische Szenarien" (z.B. SaaS, E-Commerce, interne Business-Anwendung).

In vielen Fällen reichen einfache Fixes - in anderen Fällen ist ein vollständiger Retest nötig. Daher bieten wir den Retest als optionale Qualitätssicherung an - besonders für sicherheitskritische Anwendungen empfehlen wir ihn ausdrücklich.

Ja, Sie können bewusst auf einen formatierten PDF-Report verzichten, wenn Sie z.B. ein internes Sicherheitsteam haben oder technische Exporte bevorzugen. In diesem Fall liefern wir die Ergebnisse in strukturierter Form (Excel / Markdown / JSON) - funktional gleichwertig, aber ohne visuelle Aufbereitung. Wichtig: Der Management Summary ist davon unabhängig und kann separat gebucht werden.

Mini-Pentest: Fokus auf kritische Schwachstellen, 1 Werktag, kompakter E-Mail-Bericht
Standard-Pentest: Umfassende OWASP Top10-Prüfung, 5 Werktage, detaillierter PDF-Bericht mit Ergebnisbesprechung
Erweiterter Pentest: Vollumfängliche Prüfung inkl. externer Angriffsoberfläche, 9 Werktage, Management Summary

Die OWASP Top10 ist eine Liste der zehn häufigsten und kritischsten Sicherheitsrisiken für Webanwendungen, die von der Open Web Application Security Project (OWASP) jährlich aktualisiert wird. Sie gilt als internationaler Standard für Web-Sicherheitstests.

Das Common Vulnerability Scoring System (CVSS) ist ein internationaler Standard zur Bewertung der Schwere von Sicherheitslücken. Werte über 7.0 gelten als kritisch und erfordern sofortige Aufmerksamkeit.

Ja, Sie können beliebig viele Services in den Warenkorb legen. Beispielsweise können Sie gleichzeitig eine Webanwendung, eine API und einen Phishing-Test beauftragen.

CMS-Systeme wie WordPress oder Drupal haben bekannte Strukturen und häufige Schwachstellen, wodurch der Test effizienter durchgeführt werden kann. Eigenentwicklungen erfordern mehr Analyse und individuelle Testansätze.

Eine Testumgebung ist eine Kopie Ihrer Produktionsanwendung, auf der gefahrlos getestet werden kann. Tests auf Produktionssystemen sind risikoreicher und erfordern mehr Vorsicht, was zu höheren Kosten führt.

Das sind alle von außen (Internet) erreichbaren Systeme Ihres Unternehmens: Websites, E-Mail-Server, VPN-Zugänge, etc. Eine Analyse hilft, vergessene oder unbekannte Systeme zu identifizieren.

Nach der Behebung gefundener Schwachstellen prüfen wir, ob die Fixes korrekt implementiert wurden und keine neuen Probleme entstanden sind. Dies umfasst auch Tests auf Bypass-Möglichkeiten.

External Attack Surface Monitoring (EASM) überwacht kontinuierlich Ihre externe Angriffsoberfläche und benachrichtigt Sie bei neuen Systemen oder Schwachstellen. Argos ist unser eigenes Tool dafür.

Ein Management Summary fasst technische Befunde in verständlicher Sprache für Führungskräfte zusammen und zeigt Geschäftsrisiken sowie Handlungsempfehlungen auf.

Ja, alle angezeigten Preise sind Festpreise inkl. aller Leistungen. Nachträglich fallen nur dann Kosten an, wenn Sie zusätzliche Services beauftragen oder das Testobjekt sich signifikant von Ihren Angaben unterscheidet.

Bestimmte Features erhöhen den Testaufwand erheblich.

Bei Festpreisen übernehmen wir das Risiko. Sollten unvorhergesehene Komplexitäten auftreten, besprechen wir mit Ihnen mögliche Anpassungen, bevor zusätzliche Kosten entstehen. Das geschieht in der Regel auch vor dem Start des Pentests.

1. Vorbesprechung: Klärung der Details und Zugänge
2. Testdurchführung: Analyse und Tests nach definierten Methoden
3. Berichtserstellung: Dokumentation aller Befunde
4. Ergebnisbesprechung: Erläuterung der Funde und Empfehlungen
5. Optional: Retest nach Implementierung der Fixes

Ja, für authentifizierte Tests benötigen wir gültige Zugangsdaten für verschiedene Benutzerrollen. Diese werden sicher behandelt und nach dem Test gelöscht.

Ja, das ist möglich und oft sinnvoll, um den laufenden Betrieb nicht zu stören. Dies vereinbaren wir individuell.

Ja, regelmäßige Penetrationstests sind in vielen Standards wie ISO 27001, PCI DSS oder der DSGVO gefordert oder empfohlen. Unsere Berichte können als Nachweis dienen.

Sie erhalten einen detaillierten Prüfbericht. Beim erweiterten Pentest ist zusätzlich ein Bestätigungsschreiben für Kunden/Lieferanten enthalten.

Nicht direkt, aber die DSGVO und andere Gesetze fordern "angemessene technische Maßnahmen". Penetrationstests gelten als bewährte Praxis zum Nachweis der Sorgfaltspflicht.

Wir erklären alle Befunde ausführlich und geben konkrete Handlungsempfehlungen. Die Implementierung übernehmen in der Regel Ihre internen Teams oder Dienstleister.

Unsere Methoden werden kontinuierlich an neue Bedrohungen angepasst. Wir verwenden aktuelle Tools und Techniken entsprechend internationaler Standards.

Unsere Preise sind Maximalpreise - stellt sich heraus, dass der Pentest schneller fertig sein wird, zahlen Sie natürlich einen geringeren Preis.