Audits und Penetrationstests
Wir testen Webanwendungen, B2B-Panels, APIs und Infrastruktur nach OWASP Top 10 und OWASP ASVS: Authentifizierung, Berechtigungen, Injection, Konfiguration, Header, TLS und Datenexposition.
Behebung und Härtung
Befunde werden zu konkreten Aufgaben: Fixes im Laravel- und PHP-Code, Updates von Abhängigkeiten, Linux-Serverkonfiguration, Backups, Secrets und eine sichere Deployment-Pipeline.
Monitoring und Compliance
Wir richten regelmäßige Scans und Alarme für neue Schwachstellen und ablaufende Zertifikate ein und unterstützen bei der technischen Dokumentation für NIS2 und DSGVO.
Für wen diese Leistung ist
Für Unternehmen mit Webanwendung, Onlineshop, B2B-Plattform, Kundenportal oder API mit Kundendaten, die ihr reales Risiko kennen wollen. Besonders relevant für NIS2-pflichtige Unternehmen und Zulieferer, deren Kunden Sicherheitsnachweise verlangen.
Regeln der Tests
Jeder Test erfolgt nur mit schriftlicher Beauftragung des Systemeigentümers, mit vereinbartem Umfang (Domains, IP-Adressen, Umgebungen), Zeitfenster und Ansprechpartner. DoS-artige Lasttests führen wir nur mit gesonderter Zustimmung durch, die Ergebnisse sind durch ein NDA geschützt.
Was Sie bekommen
Einen Bericht mit Management-Zusammenfassung, Schwachstellen mit CVSS-Bewertung, Reproduktionsschritten und Empfehlungen. Nach der Behebung führen wir einen Retest durch und bestätigen, welche Punkte geschlossen sind.
Was ein Unternehmen vor dem Start dieser Leistung wissen sollte
Sicherheit beginnt nicht mit dem Kauf eines Tools, sondern mit der Frage, was das Unternehmen schützt: Kundendaten, Bestellungen, Zugänge, Vertriebskontinuität. Wir klären zuerst Umfang und Testauftrag, prüfen die Systeme von außen und innen und liefern einen Bericht, der sich in konkrete Aufgaben für das Team übersetzen lässt.
Wie diese Leistung zu einem funktionierenden Business-System wird
Umfang und Beauftragung
Wir klären Ziel, Systeme, Umgebung, Zeitfenster und Kontakte und unterzeichnen Testauftrag, NDA und bei Bedarf einen AV-Vertrag.
Aufklärung und Scans
Wir erfassen die Angriffsfläche: Domains, Subdomains, offene Ports, Technologien, Zertifikate, Header und bekannte Schwachstellen der eingesetzten Versionen.
Manuelle Tests und Verifizierung
Geschäftslogik, Berechtigungen, Sessions, Formulare und APIs werden manuell geprüft, jeder automatische Befund wird verifiziert.
Bericht, Behebung und Retest
Wir liefern einen priorisierten Bericht, setzen Fixes in Code und Konfiguration um, testen erneut und richten optional laufendes Monitoring ein.
Was sich nach der Umsetzung verbessern sollte
- Klarheit, welche Risiken real und welche nur theoretisch sind
- Weniger aus dem Internet erreichbare Schwachstellen und schnellere Reaktion
- Dokumentation für NIS2, DSGVO und Sicherheitsfragebögen von Kunden
- Sicherere Release- und Wartungsprozesse für Ihre Anwendungen
Häufige Fragen
Ist ein Penetrationstest legal?
Ja, wenn er mit schriftlicher Zustimmung des Systemeigentümers und im vereinbarten Umfang stattfindet. Deshalb beginnt jedes Projekt mit einem Testauftrag mit Domains, IP-Adressen und Terminen.
Können Tests den Produktivbetrieb stören?
Das Risiko ist gering und kontrolliert: Zeitfenster, Traffic-Limits, Ansprechpartner, keine DoS-Tests ohne gesonderte Zustimmung und wenn möglich eine Staging-Kopie der Produktion.
Unterstützen Sie bei NIS2?
Ja, technisch: Systeminventar, Schwachstellenbewertung, Härtung, Backups, Monitoring und Incident-Prozess. Die rechtliche Auslegung erfolgt gemeinsam mit dem Rechts- oder Compliance-Berater des Kunden.
Beheben Sie die gefundenen Schwachstellen?
Ja. Als Entwicklungsteam korrigieren wir Laravel- und PHP-Code, aktualisieren Abhängigkeiten, konfigurieren Server, deployen Fixes und testen anschließend erneut.