Pentesting · IT-Sicherheit
Wir greifen an, bevor es andere tun.
Ein Penetrationstest prüft Ihre Website, Ihr Kundenportal oder Ihre Software so, wie es ein Angreifer tun würde. Mit Ihrer schriftlichen Erlaubnis, in einem klaren Rahmen und mit einem Bericht, der zeigt, was zu tun ist.
Warum testen
Wer selbst Software baut, weiss, wo Fehler entstehen. Genau dort suchen wir.
Veraltete Plugins, offene Admin-Zugänge, Kundendaten, die ein anderer Kunde sehen kann, falsch eingestellte Cloud-Dienste: Oft reicht eine einzige Lücke. Ein Pentest findet sie, bevor sie jemand ausnutzt.
Seit dem neuen Datenschutzgesetz müssen Unternehmen Personendaten mit angemessenen technischen und organisatorischen Massnahmen schützen. Ein Pentest zeigt, wo Sie stehen, und gibt Ihnen einen klaren Plan.
- Grundlageschriftlicher Auftrag
- Methodikzum Beispiel OWASP
- ErgebnisBericht mit Massnahmen
- DanachNachtest
- Auf WunschBehebung durch uns
Was wir testen
Websites und Webshops
Content-Management, Plugins, Formulare, Verschlüsselung und Sicherheits-Header.
Web-Apps und Kundenportale
Anmeldung, Rollen und Rechte, Zugriff auf fremde Daten, Datei-Uploads und Sitzungen.
Schnittstellen
APIs: Authentisierung, Berechtigungen, Datenlecks und Missbrauch von Funktionen.
Erreichbar aus dem Internet
Was von Ihrem Betrieb von aussen sichtbar ist: Server, Fernzugänge, offene Dienste und Zertifikate.
E-Mail und Domain
Schutz vor gefälschten Absendern mit SPF, DKIM und DMARC, und was Ihre Domain über Sie verrät.
Quellcode
Prüfung eigener Anwendungen auf typische Schwachstellen, direkt im Code.
So läuft ein Pentest
Vorgespräch
Ziele, Systeme und Zeitfenster. Wir klären, was getestet wird und was nicht.
Schriftlicher Auftrag
Umfang, Ansprechpersonen, Testzeitraum und Notfallkontakt. Ohne Ihre Unterschrift testen wir nichts.
Test
Nach anerkannter Methodik, zum Beispiel den Leitfäden von OWASP. Schonend, riskante Schritte stimmen wir vorher ab.
Bericht
Jede Schwachstelle mit Risiko, Nachweis und konkreter Massnahme. Dazu eine Zusammenfassung für die Geschäftsleitung.
Nachtest
Nach der Behebung prüfen wir, ob die Lücken wirklich geschlossen sind.
Unsere Grundsätze
Nur mit Erlaubnis
Wir testen ausschliesslich Systeme, für die uns eine schriftliche Erlaubnis vorliegt.
Vertraulich
Ergebnisse gehen nur an Sie. Testdaten löschen wir nach Abschluss.
So wenig wie nötig
Wir weisen eine Lücke nach, ohne mehr Daten anzusehen, als dafür nötig ist.
Verständlich
Der Bericht erklärt Risiken so, dass auch die Geschäftsleitung entscheiden kann.
Wir schliessen auch
Als Entwickler finden wir die Lücke nicht nur, auf Wunsch beheben wir sie auch.
Ehrlich
Kein Test findet alles. Wir sagen klar, was geprüft wurde und was nicht.
Häufige Fragen
Ist ein Pentest legal?
Ja, mit der schriftlichen Erlaubnis der Firma, der die Systeme gehören. Liegen Systeme bei einem Hoster oder in der Cloud, klären wir vorher, was deren Regeln erlauben. Ohne Erlaubnis testen wir nichts.
Kann dabei etwas kaputtgehen?
Wir testen schonend und stimmen riskante Schritte vorher ab. Ganz ausschliessen lässt sich eine Störung nie, darum planen wir ein Testfenster und einen Notfallkontakt.
Warum braucht ein KMU einen Pentest?
Angriffe treffen nicht nur Grosse, oft reicht eine einzige Lücke. Zudem verlangt das Datenschutzgesetz, Personendaten mit angemessenen Massnahmen zu schützen. Ein Pentest zeigt, wo Sie stehen.
Wie oft sollte man testen?
Nach grösseren Änderungen an Website oder Software, und sonst regelmässig, zum Beispiel einmal im Jahr.
Was kostet ein Pentest?
Das hängt vom Umfang ab. Nach dem Vorgespräch erhalten Sie eine Offerte mit klar umschriebenem Umfang.