Penetrationstest light für Solo-Betriebe und Mittelstand.

Ein klassischer Penetrationstest nach BSI-Standard 200-3 läuft 5 bis 20 Tage, kostet 8.000 bis 30.000 Euro und endet mit einem zertifizierten Bericht für Compliance-Zwecke wie ISO 27001 oder KRITIS. Unser Sicherheits-Audit ist ein Penetrationstest light für Solo-Betriebe und KMU: deutlich kürzer, deutlich günstiger, deutlich pragmatischer. Wir prüfen die häufigsten Angriffsvektoren mit den gleichen Werkzeugen, die ein externer Angreifer nutzen würde, geben Ihnen einen klaren Maßnahmen-Katalog und sagen ehrlich, wo unsere Grenze liegt. Wenn Sie eine Zertifizierung brauchen, nennen wir Ihnen passende größere Dienstleister.

Wir gehen den Weg eines Angreifers ohne Login-Daten. Geprüft werden: erreichbare Ports und Dienste per Nmap-Scan, SSL- und TLS-Konfiguration mit testssl.sh und SSL Labs, HTTP-Sicherheits-Header mit Mozilla Observatory, DNS-Konfiguration und E-Mail-Sicherheit per SPF, DKIM, DMARC und MTA-STS, Web-Anwendung mit OWASP ZAP gegen die OWASP Top 10, CMS-Versionen und veraltete Plugins, sichtbare Informations-Leaks wie git-Verzeichnisse, .env-Dateien, Backup-Dateien, alte Admin-Bereiche. Ergebnis ist ein priorisierter Mängel-Bericht mit Schweregrad und Reparatur-Empfehlung.

Es kommt darauf an, was die Seite enthält. Eine reine Visitenkarten-Seite ohne Formular und ohne Login braucht selten ein Audit, ein einfacher Check der HTTP-Header und der SSL-Konfiguration reicht. Sobald Sie ein Kontaktformular, einen Login-Bereich, einen Online-Shop, eine Buchungs-Funktion, eine Dateiverwaltung oder personenbezogene Daten verarbeiten, lohnt sich der Sicherheits-Check. Faustregel: wenn ein Datenleck Ihrem Geschäft oder Ihren Kunden schaden könnte, ist die einmalige Investition von 290 oder 690 Euro deutlich günstiger als die Folgen.

Ja, mit Ihrer schriftlichen Einwilligung. Der sogenannte Hackerparagraph §202c StGB stellt das Vorbereiten von Computerstraftaten unter Strafe, schützt aber ausdrücklich beauftragte Sicherheitsprüfungen. Vor jedem Audit unterzeichnen Sie eine Pentest-Beauftragung mit klar definiertem Scope: welche Domains, welche IP-Adressen, welcher Zeitraum, welche Test-Tiefe. Ohne dieses Dokument startet kein Scan. Das Dokument schützt beide Seiten und ist deutsche Standard-Praxis bei Sicherheits-Audits.

Das Webseiten-Audit für 690 Euro konzentriert sich ausschließlich auf eine Web-Anwendung: Login-Strecken, Session-Handling, Password-Reset-Flow, CMS-Härtung, DSGVO-Datenflüsse, Cookies und Tracker. Das Komplett-Audit für 1.490 Euro erweitert um Ihre Mail-Infrastruktur, Ihren Cloud-Tenant in Microsoft 365 oder Google Workspace, die Fernwartung- und VPN-Konfiguration sowie die Backup-Strategie. Wenn nur die Website schützenswert ist, reicht das Webseiten-Audit. Wenn Sie ein vollständiges Bild Ihrer Angriffsfläche brauchen, ist das Komplett-Audit der richtige Schritt.

Wir bereiten in Absprache mit Ihnen drei bis fünf Phishing-Szenarien vor, die zu Ihrer Branche und Ihrem Alltag passen. Beispiele: gefälschte Rechnung vom Steuerberater, vermeintliche DHL-Sendungsverfolgung, falsche Microsoft-Sicherheits-Warnung, manipulierte interne Anfrage vom Geschäftsführer. Die Mails gehen kontrolliert an bis zu 50 Adressen Ihrer Firma. Wer klickt, landet auf einer Schulungs-Seite mit Erklärung, was hätte auffallen müssen. Wer Anmelde-Daten eingibt, sieht zusätzlich ein Awareness-Modul. Sie erhalten eine anonymisierte Auswertung der Klick-Rate, der Anmelde-Rate und der Melde-Rate. Optional als monatlicher Service mit neuen Szenarien pro Quartal.

Externer Sicherheits-Check: ein bis zwei Werktage von Auftrag bis fertigem Bericht. Webseiten-Audit: drei bis fünf Werktage. Komplett-Audit IT-Infrastruktur: fünf bis zehn Werktage je nach Größe Ihres Cloud-Tenants und Mitarbeiter-Zahl. Phishing-Simulation: zwei Wochen für Vorbereitung, Versand-Welle und Auswertung. Sie bekommen den Bericht als PDF per Mail, plus ein optionales Nachsorge-Telefonat per Bildschirm-Freigabe über die Fernwartung. Bei akuten Sicherheits-Vorfällen können wir den externen Check binnen 24 Stunden starten, sprechen Sie uns direkt an.

Wir stoppen den Scan, melden uns sofort telefonisch und liefern in derselben Stunde eine Notfall-Empfehlung, mit der Sie die Lücke entweder schließen oder den verwundbaren Dienst zumindest abschalten können. Das ist Standard in der Sicherheits-Branche und in unserer Pentest-Beauftragung als Eskalations-Klausel festgehalten. Bei laufendem Angriff helfen wir bei der ersten Eindämmung, empfehlen aber für die forensische Aufarbeitung einen spezialisierten Incident-Response-Dienstleister.

Ja, im Komplett-Audit für 1.490 Euro. Wir prüfen die häufigsten Schwachstellen in Tenant-Konfigurationen: Conditional-Access-Policies, Multi-Faktor-Auth-Abdeckung, externe Freigaben in OneDrive oder Google Drive, Anmelde-Protokoll der letzten 30 Tage auf verdächtige Logins, Mailbox-Weiterleitungen, App-Berechtigungen für Drittanbieter, Audit-Log-Konfiguration, Backup-Status von Postfächern. Sie erteilen uns einen lesenden Audit-Zugang mit minimalen Rechten, der nach dem Audit sofort wieder entfernt wird.

Nein. Wir sind kein BSI-zertifizierter Penetrationstester und kein akkreditiertes Audit-Unternehmen. Unser Bericht ist eine fachliche Sicherheits-Einschätzung, kein Zertifizierungs-Dokument. Wenn Sie ISO 27001, TISAX, KRITIS-Audit, NIS2-Konformitäts-Prüfung oder eine ähnliche formale Bestätigung brauchen, nennen wir Ihnen passende größere Dienstleister wie secunet, TÜV, DEKRA oder spezialisierte Cyber-Security-Häuser. Unser Audit kann als interner Vor-Audit dienen, um die offenkundigen Mängel vor dem teuren formalen Audit zu beheben.

Gerade dann ist sie wertvoll. Sie erhalten eine unabhängige Außensicht auf das, was Ihr Dienstleister geliefert hat. Häufige Befunde bei outgesourcten Umgebungen: veraltete Software auf produktiven Servern, fehlende Security-Header in der Web-Konfiguration, schwache SSL-Cipher-Suites, fehlende MFA für Admin-Zugänge, ungeprüfte Backup-Strategien, vergessene Test-Domains mit alten Daten. Der Bericht gibt Ihnen eine sachliche Grundlage für ein Gespräch mit Ihrem Dienstleister, ohne Vorwurfs-Ton. Viele Mängel werden danach binnen einer Woche behoben.

Drei Wege. Erstens, Sie geben den Bericht an Ihren bestehenden Dienstleister oder Ihren Webentwickler. Der Bericht ist so geschrieben, dass jede erfahrene Fachkraft die Empfehlungen umsetzen kann. Zweitens, wir beheben die Mängel selbst zum Festpreis nach Befund, üblicher Bereich 590 bis 2.490 Euro für 8 bis 25 Anpassungen. Drittens, Sie buchen unsere Sicherheits-Pflege für 39 Euro pro Monat: quartalsweiser Re-Scan, jährliche Stichprobe, Hotline für Rückfragen, neue Erkenntnisse aus aktuellen Sicherheits-Meldungen.