Penetrationstest für KMU – ehrlich erklärt, sauber dokumentiert.

Ein Schwachstellen-Scan ist eine automatisierte Liste möglicher Probleme – wie ein Brandmelder, der piept. Ein Penetrationstest geht weiter: ein Mensch versucht aktiv, die Schwachstellen auszunutzen und zu zeigen, ob sie wirklich gefährlich sind und welcher Schaden entstehen würde. Der Scan sagt „Tür wirkt nicht abgeschlossen". Der Pentest probiert die Tür, kommt vielleicht rein, und dokumentiert, was im Inneren erreichbar war. Beides hat seinen Platz: Scan für Breite und Routine, Pentest für Tiefe und Realismus. Unser Audit kombiniert automatisierte Scans mit manueller Prüfung durch eine Fachperson.

Ein formaler IS-Penetrationstest durch einen vom BSI zertifizierten IT-Sicherheitsdienstleister läuft typischerweise mehrere Werktage bis Wochen und endet mit einer dokumentierten Bescheinigung, die für Compliance-Zwecke wie ISO 27001, KRITIS, NIS2 oder TISAX anerkannt ist. Wir sind kein vom BSI im Geltungsbereich IS-Penetrationstests zertifizierter Dienstleister und stellen keine Compliance-Bescheinigung aus. Unser Audit ist ein pragmatischer Sicherheits-Check für Solo-Betriebe und KMU: deutlich kürzer, mit ähnlichen Werkzeugen, wie sie ein externer Angreifer einsetzen würde. Sie bekommen eine fachliche Sicherheits-Einschätzung im vereinbarten Scope – kein Compliance-Zertifikat. Für formale Zertifizierungen empfehlen wir größere Häuser wie secunet, SySS, HiSolutions, syret oder TÜV-IT.

Per E-Mail. Das BKA-Lagebild Cybercrime 2025 weist Phishing-Mails als häufigsten Initial-Vektor aus. Ein Mitarbeiter klickt auf einen Link, gibt seine Anmeldedaten auf einer gefälschten Microsoft-Login-Seite ein, der Angreifer hat das Office-365-Konto. Von dort: Postfach lesen, Multi-Faktor schwächen, weitere interne Mails verschicken, Buchhaltungs-Daten kopieren. Brute-Force gegen Logins ist Sekundär-Methode, fast immer mit gestohlenen Passwortlisten aus früheren Daten-Lecks. Echte Server-Lücken werden oft erst genutzt, nachdem der erste Fuß in der Tür war.

Weil ein moderner Angriff oft gar keine klassische Schadsoftware mehr nutzt. Phishing, Credential-Stuffing und Session-Hijacking laufen über legitime Werkzeuge: Browser, Web-Mail, Cloud-Speicher. Der Anti-Virus sieht nichts Verdächtiges, weil nichts Verdächtiges ausgeführt wird – nur ein gestohlener Login. Was heute wirklich schützt, ist eine Kombination: Multi-Faktor-Auth, Mail-Filter mit DMARC, Mitarbeiter-Awareness, Endpoint-Detection-Response statt klassischem Anti-Virus, und regelmäßige Sicherheits-Checks von außen.

SQL ist die Sprache, in der Webseiten mit ihrer Datenbank reden („Hol mir alle Bestellungen von Kunde 42"). Bei einer SQL-Injection schmuggelt ein Angreifer eigene Datenbank-Befehle in ein Formular-Feld ein, weil die Seite die Eingabe nicht sauber prüft. Der Server führt diese Befehle aus, als kämen sie vom eigenen Code. Folge: ein Angreifer kann ganze Tabellen auslesen – Kunden, Passwörter, Bestellungen – oder Daten verändern. SQL-Injection steht seit über 15 Jahren auf Platz 1 der häufigsten Web-Schwachstellen weltweit und ist immer noch eine der häufigsten Ursachen großer Daten-Lecks.

Ein Angreifer schmuggelt eigenen JavaScript-Code in eine Webseite ein, der dann im Browser anderer Besucher ausgeführt wird. Beispiel: Kommentar-Funktion, die HTML nicht filtert. Der Angreifer postet einen Kommentar mit Code-Schnipsel, jeder andere Besucher führt diesen Code aus – Cookies stehlen, Session übernehmen, fremde Eingaben mitschneiden. Bei reflektiertem XSS reicht ein präparierter Link, den der Nutzer anklickt. Bei gespeichertem XSS sitzt der Code dauerhaft auf der Seite. XSS ist die häufigste Schwachstelle in Web-Anwendungen überhaupt.

Brute-Force heißt: ein Programm probiert systematisch Passwörter durch. Im einfachsten Fall „aaaa, aaab, aaac …". In der echten Welt: Angreifer nutzen Listen aus bekannten Daten-Lecks, weil Menschen Passwörter wiederverwenden. Wenn Ihr LinkedIn-Passwort 2012 geleakt wurde und Sie es in Ihrem Firmen-Mail noch nutzen, probiert das Programm es dort einfach. Schutz dagegen: kein Wiederverwenden, Passwort-Manager, und vor allem Zwei-Faktor-Authentifizierung – damit reicht das Passwort allein nicht mehr.

Ein Vulnerability-Scanner ist ein Programm mit einer riesigen Datenbank bekannter Schwachstellen, das systematisch prüft, ob Ihre Systeme davon betroffen sind. Beispiele: Tenable Nessus, Greenbone OpenVAS, Pentest-Tools.com. Der Scanner fragt Ihre Server höflich ab: „Welche Version läuft hier? Apache 2.4.50? Das hatte die Schwachstelle CVE-2021-41773." Er gibt eine priorisierte Liste mit Schweregraden. Wir nutzen mehrere Scanner parallel, weil keiner alles findet, und prüfen die Treffer manuell – Scanner haben oft falsch-positive Befunde, die nur eine Fachperson aussortiert.

Vier Schichten. SPF legt fest, welche Server in Ihrem Namen Mails verschicken dürfen. DKIM signiert jede ausgehende Mail mit Ihrer Domain, damit Empfänger die Echtheit prüfen können. DMARC bindet beides zusammen und sagt Empfängern, was bei einer Fälschung passieren soll. MTA-STS und DANE erzwingen verschlüsselten Mail-Transport. Ohne diese vier Schichten kann jeder Beliebige eine Mail mit Ihrer Domain als Absender verschicken – das ist die Grundlage fast jeder Phishing-Welle. Wir prüfen den aktuellen Stand, die Strenge der Policies, das DMARC-Report-Aufkommen und schlagen einen schrittweisen Härtungs-Plan vor.

Stichprobe: ein bis zwei Werktage. Webseiten-Audit: drei bis fünf Werktage. Komplett-Audit: fünf bis zehn Werktage je nach Größe Ihres Cloud-Tenants und Mitarbeiter-Zahl. Phishing-Simulation: zwei Wochen für Vorbereitung, Versand-Welle und Auswertung. Sie bekommen den Bericht als verschlüsseltes PDF per Mail mit priorisierten Reparatur-Empfehlungen. Bei akuten Sicherheits-Vorfällen prüfen wir nach Verfügbarkeit einen Start binnen 24 Stunden nach bestätigter Beauftragung und vollständiger Scope-Freigabe.

Ja, im Komplett-Audit. Wir prüfen die häufigsten Schwachstellen in Tenant-Konfigurationen: Conditional-Access-Policies, Multi-Faktor-Auth-Abdeckung, externe Freigaben in OneDrive oder Google Drive, Anmelde-Protokoll der letzten 30 Tage auf verdächtige Logins, Mailbox-Weiterleitungen, App-Berechtigungen für Drittanbieter, Audit-Log-Konfiguration, Backup-Status von Postfächern. Sie erteilen uns einen lesenden Audit-Zugang mit minimalen Rechten, der nach dem Audit sofort wieder entfernt wird.

Weil unbefugte Sicherheitsprüfungen strafbar sein können. §202a–c StGB stellen das Ausspähen und Abfangen von Daten sowie das Vorbereiten solcher Taten unter Strafe – auch dann, wenn der Tester gute Absichten hat. Entscheidend für die Zulässigkeit ist die dokumentierte Einwilligung des über die Systeme Berechtigten. Ohne diese Freigabe würde selbst ein gut gemeinter Scan ein rechtliches Risiko bergen. Unsere Prüfvereinbarung definiert deshalb Auftraggeber, Vertretungsberechtigung, Systeme im Scope, ausgeschlossene Systeme, Zeitraum, erlaubte Testtiefe, Notfallkontakt und den Umgang mit personenbezogenen Daten. Sie schützt beide Seiten – Sie behalten die volle Kontrolle über den Test-Rahmen, wir haben die nötige Rechtssicherheit.

Eine Phishing-Simulation ist rechtlich zulässig gestaltbar, braucht aber Vorbereitung. Bei Unternehmen mit Betriebsrat kann eine Mitbestimmung nach §87 Abs. 1 Nr. 6 BetrVG einschlägig sein, weil bei der Auswertung personenbezogene Beschäftigtendaten verarbeitet werden. Der Auftraggeber bleibt verantwortlich für Rechtsgrundlage, Mitarbeiter-Information, gegebenenfalls Betriebsratsbeteiligung und interne Datenschutz-Dokumentation. Wir liefern auf Wunsch Vorlagen für Mitarbeiter-Information, Betriebsrats-Abstimmung, Löschfrist und anonymisierte Auswertung. Standardmäßig erfolgen keine individuellen Auswertungen einzelner Beschäftigter und keine personenbezogenen Klick-Listen an Vorgesetzte – Ergebnisse werden anonymisiert als Gesamtwerte berichtet. Wir übernehmen keine arbeitsrechtliche Beratung.

Nein. Wir sind kein vom BSI im Geltungsbereich IS-Penetrationstests zertifizierter Dienstleister und kein akkreditiertes Audit-Unternehmen. Unser Bericht ist eine fachliche Sicherheits-Einschätzung, kein Zertifizierungs-Dokument. Wenn Sie ISO 27001, TISAX, KRITIS-Audit, NIS2-Konformitäts-Prüfung oder eine ähnliche formale Bestätigung brauchen, empfehlen wir secunet (Essen), SySS (Tübingen), HiSolutions (Berlin), syret (Hamburg), TÜV-IT (Köln) oder DEKRA. Unser Audit kann als interner Vor-Audit dienen, um die offenkundigen Mängel vor dem teuren formalen Audit zu beheben.

Wir stoppen den Scan, melden uns sofort telefonisch und liefern in derselben Stunde eine Notfall-Empfehlung, mit der Sie die Lücke entweder schließen oder den verwundbaren Dienst zumindest abschalten können. Das ist Standard in der Sicherheits-Branche und in unserer Prüfvereinbarung als Eskalations-Klausel festgehalten. Bei laufendem Angriff helfen wir bei der ersten Eindämmung, empfehlen aber für die forensische Aufarbeitung einen spezialisierten Incident-Response-Dienstleister.

Drei Wege. Erstens, Sie geben den Bericht an Ihren bestehenden Dienstleister oder Webentwickler. Der Bericht ist so geschrieben, dass jede erfahrene Fachperson die Empfehlungen umsetzen kann. Zweitens, wir beheben die Mängel selbst im Rahmen einer Folge-Beauftragung, je nach Anzahl der Anpassungen. Drittens, Sie buchen unsere Sicherheits-Pflege als laufenden Service-Vertrag: quartalsweiser Re-Scan, jährliche Stichprobe, Hotline für Rückfragen, neue Erkenntnisse aus aktuellen Sicherheits-Meldungen. Konditionen besprechen wir im persönlichen Erstgespräch.

Gerade dann ist sie wertvoll. Sie erhalten eine unabhängige Außensicht auf das, was Ihr Dienstleister geliefert hat. Häufige Befunde bei outgesourcten Umgebungen: veraltete Software auf produktiven Servern, fehlende Security-Header in der Web-Konfiguration, schwache SSL-Cipher-Suites, fehlende MFA für Admin-Zugänge, ungeprüfte Backup-Strategien, vergessene Test-Domains mit alten Daten. Der Bericht gibt Ihnen eine sachliche Grundlage für ein Gespräch mit Ihrem Dienstleister, ohne Vorwurfs-Ton. Viele Mängel werden danach binnen einer Woche behoben.

Ein Cyberaudit ist eine strukturierte Bestandsaufnahme der Informations-Sicherheit eines Unternehmens. Es kombiniert technische Außen-Sicht (Ports, TLS, CMS, Mail-Sicherheit), Anwendungs-Prüfung, Cloud- und Identitäts-Hygiene, Mitarbeiter-Awareness durch Phishing-Simulation und eine organisatorische Bestandsaufnahme (Backup, Notfall-Plan, Patch-Strategie). Ein Penetrationstest ist schmaler, dafür tiefer: konkrete Systeme aktiv angreifen, Schwachstellen ausnutzen, Schaden-Potenzial zeigen. Cyberaudit zeichnet die Risiko-Landkarte, Pentest gräbt in einer Stelle in die Tiefe. In der Praxis lassen sich beide kombinieren – unser Komplett-Audit deckt die Technik- und Cloud-Schicht breit ab, die Phishing-Simulation ergänzt die Awareness-Ebene.

Die ehrliche Antwort: Es kommt drauf an. Vier Faktoren bestimmen den Aufwand und damit das Angebot: Scope-Größe (eine Website oder die ganze IT-Infrastruktur), Test-Tiefe (automatisierter Scan oder manueller Pentest mit Ausnutzung), Zertifizierungs-Anspruch (BSI-Bescheinigung für ISO 27001 oder pragmatischer Sicherheits-Check) und Berichts-Tiefe (Roh-Export oder priorisierter, geschriebener Bericht). Achten Sie bei jedem Angebot auf einen festen, vorab abgestimmten Leistungsumfang statt offener Aufwands-Schätzung. Wir nennen einen konkreten Festumfang im persönlichen Erstgespräch nach kurzer Scope-Klärung – jetzt anfragen.

Beides hat seinen Platz. Ein Schwachstellen-Scan ist schnell und gibt einen breiten Überblick – aber er produziert viele falsch-positive Befunde, beweist keine Ausnutzbarkeit und übersieht alles, was eine echte Fachperson erst nach Analyse erkennt: IDOR in APIs, schwache Geschäftslogik, unsichere Passwort-Reset-Flows, Cloud-Tenant-Fehl-Konfigurationen. Für kleine Betriebe mit überschaubarer Website ist eine fokussierte Stichprobe oft der pragmatische Einstieg. Sobald Sie Login-Bereiche, Buchungs-Funktionen, Online-Shops, APIs oder einen Cloud-Tenant betreiben, bringt der Pentest deutlich mehr als der reine Scan – weil hier die wirklich gefährlichen Lücken sitzen. Faustregel: Je mehr digitales Geschäft am Login hängt, desto wichtiger ist die manuelle Prüfung.

Faustregel der Branche: einmal jährlich plus bei größeren Änderungen. Jährlich, weil sich die Bedrohungslage und die eigenen Systeme so schnell wandeln, dass ein zwei Jahre alter Befund kaum noch belastbar ist. Außerplanmäßig zusätzlich nach einem CMS-Major-Upgrade, einem Wechsel des Mail-Providers, einer Cloud-Migration, einer Plugin-Erweiterung mit Login-Bereich oder nach einem Sicherheits-Vorfall. Für Branchen mit erhöhtem Risiko (Gesundheit, Recht, E-Commerce, Finanzen) empfehlen sich quartalsweise Stichproben zwischen den Jahres-Audits. Unsere Sicherheits-Pflege deckt genau dieses Muster ab: quartalsweiser Re-Scan plus jährliche Stichprobe.