Web-Anwendung und API
Kundenportale, Shops und eigene Software im Browser. Dazu APIs, also die Programmierschnittstellen, über die Apps und Systeme Daten austauschen. Wir prüfen Anmeldung, Rechte, Eingaben und Datenflüsse.
·PENETRATIONSTEST · PENTEST
Penetrationstest: Lücken finden, bevor Angreifer es tun
Unsere Fachleute greifen Ihre Web-Anwendungen, Netzwerke und Cloud-Umgebungen an wie echte Angreifer, mit Ihrer schriftlichen Erlaubnis. Sie sehen, welche Lücken sich wirklich ausnutzen lassen und was zuerst zu tun ist. Aus Frankfurt, bundesweit.
·WAS IST EIN PENETRATIONSTEST
Ein kontrollierter Angriff mit Ihrer Erlaubnis
Ein Penetrationstest, kurz Pentest, ist ein beauftragter Angriff auf Ihre IT. Die Prüfer suchen Schwachstellen, also Fehler in Software, Einstellungen oder Zugriffsrechten, und weisen nach, welche sich tatsächlich ausnutzen lassen. Dabei richten sie keinen Schaden an und bleiben im schriftlich vereinbarten Umfang.
- 01
Nachweis statt Vermutung
Ein Scan meldet, was verwundbar sein könnte. Der Pentest zeigt, was sich wirklich ausnutzen lässt und wie weit ein Angreifer damit käme.
- 02
Angriffspfade im Zusammenhang
Mehrere kleine Lücken ergeben oft zusammen einen Weg zu kritischen Daten. Der Test macht diesen Weg sichtbar, vom ersten Zugang bis zum Ziel.
- 03
Bericht für Technik und Leitung
Jeder Befund mit Schwere, Nachweis und Empfehlung zur Behebung, dazu eine Zusammenfassung für die Geschäftsleitung.
·ARTEN
Was wir prüfen können
Der Umfang richtet sich danach, wo Ihr Risiko liegt. Häufig kombinieren wir mehrere Arten in einem Auftrag.
Externe Infrastruktur
Alles, was aus dem Internet erreichbar ist: Server, Fernzugänge, Mailsysteme und Firewalls. Der Blick eines Angreifers, der noch keinen Zugang hat.
Internes Netz und Active Directory
Was passiert, wenn ein Angreifer schon im Firmennetz ist, etwa über ein Gerät mit Schadsoftware. Active Directory ist der Verzeichnisdienst von Microsoft, der Konten und Rechte verwaltet. Dort entscheidet sich oft, ob ein Angreifer an Administratorrechte kommt.
Cloud-Umgebung
Konten, Rollen, Freigaben und Einstellungen in AWS, Azure oder europäischen Clouds. Schon eine falsch gesetzte Freigabe kann Daten offen ins Netz stellen.
Quellcode und Eigenentwicklung
Bei kritischer eigener Software prüfen wir mit Einblick in Quellcode und Architektur. So finden sich auch Lücken, die von außen schwer zu sehen sind.
Phishing-Simulation
Der Faktor Mensch als eigene Leistung: echt wirkende, harmlose Test-Mails an Ihre Mitarbeitenden, mit kurzer Lerneinheit für alle, die klicken. Gibt es einen Betriebsrat, stimmen wir die Kampagne vorher mit ihm ab.
·PRÜFTIEFE
Blackbox, Greybox oder Whitebox, je nach Ziel
Die drei Begriffe beschreiben, wie viel die Prüfer vor dem Test über Ihre Systeme wissen. Mehr Wissen bringt mehr Tiefe in derselben Zeit, weniger Wissen bildet einen Angreifer von außen genauer nach.
- 01
Blackbox
Kein Vorwissen, nur die öffentlich sichtbare Angriffsfläche. Passt zum Blick von außen auf Perimeter und Web-Anwendungen.
- 02
Greybox
Teilwissen wie ein Testkonto oder ein Netzplan. Für die meisten Unternehmen der wirtschaftliche Einstieg, etwa bei Anwendungen mit Anmeldung und internen Netzen.
- 03
Whitebox
Volle Einsicht in Quellcode, Architektur und Zugänge. Die größte Tiefe, sinnvoll für kritische Eigenentwicklungen und Pflichtprüfungen.
·ABLAUF
In fünf Schritten vom Umfang zum Nachtest
Jeder Schritt ist dokumentiert, damit der Test für Prüfer und Geschäftsleitung nachvollziehbar bleibt.
- 01
Umfang festlegen
Zielsysteme, Prüftiefe und Ziele des Tests gemeinsam bestimmen (Scope)
- 02
Schriftliche Freigabe
Zielsysteme, erlaubte Testarten, Zeitfenster und Notfallkontakt unterschreiben
- 03
Kontrollierter Test
Aufklärung, Analyse und Ausnutzung von Lücken, ohne Schaden anzurichten
- 04
Bericht mit Risikobewertung
Befunde nach Schwere sortiert, mit Nachweis und Empfehlung, Vorstellung im Termin
- 05
Nachtest
Nach der Behebung prüfen wir, ob die Maßnahmen wirklich greifen
Start: schriftlich festgelegter UmfangErgebnis: Bericht und geprüfte Behebung
Ohne schriftliche Freigabe sind Zugriffe auf fremde Systeme strafbar (§§ 202a bis 202c StGB). Gehören Systeme einem Hoster oder Cloud-Anbieter, holen wir mit Ihnen auch dessen Zustimmung ein.
·STANDARDS UND REGELWERKE
Nach anerkannten Leitfäden, verwertbar fürs Audit
Wir richten Tests an öffentlichen Leitfäden aus. Sie beschreiben Vorgehen und Prüfpunkte, sie sind keine Zertifizierung.
- 01
OWASP
Das Open Worldwide Application Security Project veröffentlicht den Web Security Testing Guide und die Top-10-Listen der häufigsten Lücken in Web-Anwendungen und APIs.
- 02
PTES
Der Penetration Testing Execution Standard beschreibt die Phasen eines Pentests, von der Abstimmung des Umfangs bis zum Bericht.
- 03
BSI-Praxisleitfaden
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt im Praxis-Leitfaden für IS-Penetrationstests, wie ein Test geplant, durchgeführt und dokumentiert wird.
Die Berichte dienen als Nachweis in Regelwerken. NIS 2 verlangt von besonders wichtigen und wichtigen Einrichtungen Verfahren, um die Wirksamkeit ihrer Maßnahmen zu bewerten (§ 30 Abs. 2 Nr. 6 BSIG). In einem ISMS nach ISO/IEC 27001:2022 stützen Pentests die Kontrollen zum Umgang mit technischen Schwachstellen (Anhang A 8.8) und zu Sicherheitstests in Entwicklung und Abnahme (Anhang A 8.29), sofern sie in Ihrer Anwendbarkeitserklärung stehen. Ein ISMS (Informationssicherheits-Managementsystem) sind feste Rollen, Regeln und Abläufe, mit denen ein Unternehmen seine Informationsrisiken steuert.
Selbst zertifiziert, Pentests inklusive GermanAI Defense ist seit Mai 2026 nach ISO/IEC 27001:2022 zertifiziert, geprüft durch die akkreditierte Zertifizierungsstelle A-Mark Ratings Limited (Zertifikat-Nr. 26052601, gültig bis 25.05.2029). Penetration Testing gehört zum Geltungsbereich der Zertifizierung. Zur Information Security Policy →
Stand: 26.10.2026. Rechtsgrundlagen: BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes, Strafgesetzbuch. Normbezug: ISO/IEC 27001:2022.
·ZWISCHEN ZWEI TESTS
RedMentis ergänzt den Pentest, ersetzt ihn nicht
Ein Pentest ist eine Momentaufnahme. Unsere Pentest-Plattform RedMentis macht Sicherheitsprüfungen wiederholbar und zeigt Angriffspfade im Zusammenhang. Heute setzen wir RedMentis im Pilotbetrieb mit ausgewählten Kunden ein, als Dienstleistung durch GAD.
Klassischer Pentest
Fachleute prüfen Ihre Systeme gezielt und in der Tiefe, mit Bericht und Nachtest. Der Anker für Nachweise gegenüber Prüfern.
Wiederholte Prüfläufe
Mit RedMentis prüft unser Team im vereinbarten Umfang erneut, ob ein geschlossener Pfad geschlossen bleibt. Jeder Prüflauf startet erst nach Ihrer schriftlichen Freigabe.
Fragen zum Penetrationstest? Antworten
Was kostet ein Penetrationstest?
Der Preis richtet sich nach Zahl und Art der Systeme, nach der Prüftiefe (Blackbox, Greybox oder Whitebox), nach dem Zeitfenster für den Test und danach, ob ein Nachtest dazugehört. Sie nennen uns, was geprüft werden soll, und erhalten ein konkretes Angebot. Orientierungswerte finden Sie in unserem Beitrag Pentest im Mittelstand.
Wie lange dauert ein Penetrationstest?
Das hängt vom Umfang ab. Eine einzelne Web-Anwendung ist schneller geprüft als ein ganzes Firmennetz mit Cloud-Anteil. Zur reinen Testzeit kommen die Abstimmung des Umfangs vorher und der Bericht danach. Den Zeitplan legen wir mit dem Angebot fest.
Was unterscheidet einen Penetrationstest von einem Schwachstellen-Scan?
Ein Scan listet bekannte Lücken automatisch auf. Ein Penetrationstest geht weiter: Wir weisen kontrolliert nach, welche Lücken sich ausnutzen lassen, und zeigen, wie weit ein Angreifer vom ersten Zugang bis zu kritischen Systemen käme. Am Ende steht ein Bericht mit technischem Befund und Zusammenfassung für die Geschäftsleitung.
Was bedeuten Blackbox, Greybox und Whitebox?
Die Begriffe beschreiben, wie viel die Prüfer vorab wissen. Bei Blackbox kennen sie nur, was auch ein Angreifer von außen sieht. Bei Greybox erhalten sie Teilwissen, etwa ein Testkonto oder einen Netzplan. Bei Whitebox liegen Quellcode, Architektur und Zugänge offen, das bringt die größte Tiefe.
Ist ein Penetrationstest unter NIS 2 Pflicht?
Das Gesetz nennt den Pentest nicht wörtlich. Besonders wichtige und wichtige Einrichtungen brauchen aber Verfahren, um die Wirksamkeit ihrer Maßnahmen zu bewerten (§ 30 Abs. 2 Nr. 6 BSIG). Ein Pentest ist dafür der übliche Nachweis. Ob Ihr Unternehmen unter NIS 2 fällt, klären wir in der NIS-2-Beratung.
Wie oft sollte man einen Penetrationstest machen?
Vor dem Start neuer Systeme, nach größeren Änderungen und in festen Abständen, die Sie in Ihrem Sicherheitskonzept festlegen. Einzelne Regelwerke geben Fristen vor: Betreiber kritischer Anlagen weisen dem BSI alle drei Jahre nach, dass ihre Maßnahmen wirken (§ 39 BSIG). Für die Zeit zwischen zwei Tests gibt es wiederholbare Prüfungen mit RedMentis.
Ist ein Penetrationstest legal?
Ja, mit schriftlicher Freigabe des Auftraggebers. Sie legt Zielsysteme, erlaubte Testarten, Zeitfenster und einen Notfallkontakt fest. Ohne diese Freigabe sind Zugriffe auf fremde Systeme strafbar (§§ 202a bis 202c StGB). Gehören Systeme einem Hoster oder Cloud-Anbieter, braucht es oft auch dessen Zustimmung.
Was steht im Pentest-Bericht?
Eine Zusammenfassung für die Geschäftsleitung und für jeden Befund die technische Beschreibung, die Schwere, die Schritte zum Nachvollziehen und eine Empfehlung zur Behebung. Die Schwere bewerten wir zum Beispiel nach CVSS, einer Skala von 0 bis 10 für die Schwere einer Lücke. Den Bericht stellen wir Ihnen vor und besprechen ihn.