Echte Pentests.
Von einem echten
Ethical Hacker.

Ein Penetrationstest ist ein simulierter, kontrollierter Angriff auf Ihre IT — durchgeführt von einem autorisierten Spezialisten, der versucht, mit denselben Methoden wie ein echter Angreifer in Ihre Systeme einzudringen. Ziel ist nicht der Schaden, sondern der Beweis: Welche Schwachstellen gibt es wirklich, wie kritisch sind sie, und wie schließt man sie?

Genau deshalb. Großkonzerne haben SOCs und Sicherheitsteams; KMU haben oft nur die IT-Verantwortliche, die auch noch das Drucker-Problem löst. Angreifer scannen automatisiert — sie suchen nicht nach „großen Zielen“, sondern nach einfachen Zielen. Ein Pentest zeigt Ihnen, wo Sie aktuell unter dieser Schwelle liegen.

Ein Schwachstellen-Scan ist ein automatisiertes Tool, das bekannte Lücken anhand von Signaturen erkennt — mit hoher Quote an Falsch-Positiven und ohne Kontext. Ein Pentest geht weiter: ein Mensch verifiziert jede Schwachstelle, kombiniert sie mit anderen Funden zu einer realistischen Angriffskette und bewertet sie im Kontext Ihres Geschäfts.

Je nach Umfang typischerweise zwischen 3 und 15 Arbeitstagen für die aktive Testphase, plus Berichtserstellung. Eine kleine Webanwendung kann in einer Woche getestet sein, eine komplette interne Infrastruktur eines KMU braucht eher zwei bis drei. Sie bekommen vorab eine realistische Schätzung — keine Mondrechnung.

Im Normalfall nicht — wir wählen das Vorgehen so, dass produktive Systeme nicht beeinträchtigt werden. Aggressive Tests werden vorab abgestimmt, oft auf Wartungsfenster gelegt, und es gibt jederzeit einen Notfall-Kontakt, der den Test sofort stoppen kann.

Praktisch alles, was Sie betreiben: Webseiten und Webanwendungen, externe und interne Netzwerke, Active Directory, Cloud-Umgebungen (M365, Azure, AWS), WLAN, mobile Apps, APIs, Industriesteuerungen, physische Sicherheit und Mitarbeiter (Social Engineering / Phishing). Was getestet wird, entscheiden Sie.

Black-Box: Ich weiß nur, wer Sie sind — wie ein externer Angreifer. Grey-Box: Ich erhalte begrenzte Infos, z. B. einen Standard-User-Zugang. Realistischer Mitarbeiter- oder kompromittierter-Account-Angriff. White-Box: Ich erhalte vollen Einblick (Dokumentation, ggf. Quellcode). Maximale Tiefe in minimaler Zeit. Meist wird Grey-Box gewählt — das beste Verhältnis aus Realismus und Effizienz.

Faustregel: mindestens einmal jährlich sowie nach jeder größeren Änderung (neues System, neue Web-App, Cloud-Migration, M&A). Mit Pentest 365 oder Pentest AI wird daraus ein kontinuierlicher Prozess — so wie sich Ihre IT auch kontinuierlich verändert.

Eine Executive Summary für die Geschäftsführung (verständlich, ohne Fachchinesisch), eine Risiko-Übersicht mit Priorisierung, sowie für jede Schwachstelle: technische Beschreibung, CVSS-Bewertung, Reproduktionsschritte, betroffene Systeme und konkrete Behebungsempfehlungen — keine generischen Lehrbuchsätze, sondern Umsetzbares.

Die Behebung selbst übernimmt in der Regel Ihre interne IT oder Ihr Dienstleister — Sie kennen Ihre Systeme. Ich unterstütze Sie aber bei Bedarf konsiliarisch: Empfehlungen, Workarounds, Reviews der vorgeschlagenen Lösungen.

Pentest ONE für KMU liegt typischerweise zwischen 2.500 € und 10.000 € — je nach Umfang. Pentest 365 startet bei 250 € monatlich und liegt bis 800 € für mittelgroße Umgebungen. Pentest AI kostet pauschal 199 € pro Monat (inkl. Hardware und Installation vor Ort). Größere Umgebungen oder Konzernscopes auf Anfrage. Alle Preise zzgl. USt.

Pentests werden mit großer Sorgfalt durchgeführt, dennoch ist das Restrisiko in keinem realistischen Szenario null. Deshalb: schriftliche Auftragserteilung mit klar abgestecktem Scope, definierter Notfall-Kontakt, abgestimmte Zeitfenster, und eine Berufshaftpflichtversicherung im Hintergrund.

Ja — sofern Sie als Eigentümer/Betreiber der Systeme ihn schriftlich beauftragt haben. Ohne explizite Autorisierung wäre dieselbe Tätigkeit eine Straftat. Deshalb gibt es bei jedem Auftrag einen sogenannten „Authorization Letter“, der den Scope und die Berechtigung dokumentiert.

NIS2 fordert regelmäßige Wirksamkeitsprüfungen — Pentests sind dafür ein anerkanntes Mittel. DSGVO verlangt „Stand der Technik“ — auch hier ist ein Pentest ein üblicher Nachweis. ISO 27001 (A.8.8 / A.8.29) verlangt technische Schwachstellen-Tests. Cyber-Versicherer fragen es ebenfalls ab. Kurz: ja, mit hoher Wahrscheinlichkeit relevant.

Auf verschlüsselten Arbeitssystemen in Österreich. Keine US-Cloud, kein „Drittländer-Transfer“, keine Indizierung durch Drittdienste. Nach Projektabschluss werden Findings je nach Vereinbarung sicher archiviert oder gelöscht — Sie entscheiden.

Selbstverständlich — und vertraglich (NDA) abgesichert. Es werden keine Referenzen ohne Ihre ausdrückliche Freigabe gezeigt, keine Details an Dritte weitergegeben und keine „anonymisierten Auszüge“ ohne Zustimmung in Vorträgen oder Marketingmaterial verwendet.

Ein klassischer Pentest ist eine Momentaufnahme — Ihre IT verändert sich aber jeden Tag. Pentest 365 verteilt das Testen über das ganze Jahr: jeden Monat ein anderer Schwerpunkt, monatliche Kurzberichte, Sofortmeldung bei kritischen Funden. So bleibt Sicherheit aktuell statt einmal jährlich „abgehakt“.

Nicht „besser“, sondern anders: rund um die Uhr, immer im internen Netz, immer auf dem aktuellen Stand. Die KI findet neue Lücken sofort nach Veröffentlichung und priorisiert sie. Manuelle Tests sind tiefer und kreativer — deshalb validiere ich die kritischen Funde persönlich. Pentest AI ersetzt manuelle Tests nicht, es ergänzt sie.

Ja, und für viele KMU ist genau das die beste Kombination: Pentest AI deckt die kontinuierliche interne Sicht ab, Pentest 365 ergänzt die kreative menschliche Perspektive von außen. Auf Wunsch erstelle ich Ihnen ein kombiniertes Angebot mit Paket-Konditionen.

Ja. Beide Modelle sind monatlich kündbar, ohne Mindestlaufzeit über den laufenden Monat hinaus. Wenn es nicht passt, ist es nicht das richtige Modell — dann finden wir gemeinsam etwas Passenderes oder beenden die Zusammenarbeit fair.

Das Gerät ist gehärtet und vollständig verschlüsselt. Es kommuniziert ausschließlich über verschlüsselte, signierte Verbindungen mit meinem System. Daten werden lokal verarbeitet; nur stark reduzierte, anonymisierte Telemetrie verlässt Ihr Netz.

Nein. Es genügt eine Ansprechperson, die Zugänge bereitstellen und Rückfragen beantworten kann — oft ist das Ihr IT-Dienstleister. Für die Behebung der Findings hilft natürlich technisches Know-how; ich begleite den Prozess aber gerne.

Kritische Funde werden sofort gemeldet — nicht erst im Endbericht. Sie erhalten umgehend eine klare Beschreibung der Lücke, der Ausnutzbarkeit und eine Sofort-Empfehlung zur Eindämmung, damit Sie reagieren können, bevor jemand anderer es tut.

Ja. Gezielte Phishing-Simulationen mit nachgelagerter Awareness-Schulung lassen sich sowohl als einmaliges Modul als auch als Baustein in Pentest 365 buchen. Ziel ist nicht, Mitarbeiter zu blamieren, sondern Reaktionsmuster messbar zu verbessern.

Eine Kombination aus etablierten Industriestandards (OWASP Testing Guide, OSSTMM, PTES, MITRE ATT&CK) und bewährter Tooling-Auswahl — von klassischem Recon (Nmap, Recon-ng) über Web-Tests (Burp Suite Pro, ZAP), interne Tests (BloodHound, Impacket, CrackMapExec) bis zu spezifischen Custom-Scripts. Tool ≠ Pentest: entscheidend ist die Methodik und die manuelle Verifikation.

Mit einer wichtigen Unterscheidung: die Plattform selbst — also Microsofts, Googles oder Amazons eigene Infrastruktur — testet niemand. Die gehört den Providern und ist deren Sache. Was wir sehr wohl testen können (und sollten), ist Ihre Konfiguration und Nutzung dieser Plattformen: M365-Tenant-Härtung (Conditional Access, Entra ID, Exchange Online), Azure- und AWS-Accounts, IAM-Richtlinien, exponierte Storage-Buckets, fehlgeleitete Berechtigungen — und natürlich Ihre eigenen Anwendungen, die in der Cloud betrieben werden. Die Provider haben dafür eigene „Rules of Engagement" (z. B. Microsoft Cloud Penetration Testing Rules, AWS Customer Support Policy for Penetration Testing) — die halten wir strikt ein. Kurz: die Cloud testen wir nicht. Die Art, wie Sie darin agieren, schon.

MFA ist die Basis — aber bei weitem nicht alles. Moderne Angriffe umgehen sie inzwischen routinemäßig. Bei einem M365- und Entra-ID-Pentest prüfe ich deshalb das vollständige Identity-Bild: Conditional-Access-Lücken (Legacy-Auth-Fenster, Break-Glass-Konten ohne MFA, zu offene Service-Accounts), Token-Diebstahl und Session-Hijacking (mit Tools wie evilginx wird MFA in Echtzeit umgangen — wir simulieren das in kontrollierten Phishing-Szenarien), OAuth-Consent-Phishing (ein einziger Klick gibt einer bösartigen App vollen Zugriff auf Mail, OneDrive und Teams — komplett ohne MFA-Bypass), Service Principals und App-Registrierungen (häufig vergessen, oft zu privilegiert, beliebter Persistence-Pfad nach einem ersten Einbruch), Privileged Identity (Wer hat Global Admin? Wer kann sich selbst dazu machen? Wie viele inaktive Admin-Konten schlummern noch im Tenant?) sowie die Mailbox- und Sharing-Konfiguration (externe Auto-Forwards, geteilte Postfächer ohne Audit, öffentliche SharePoint-Links, vergessene Gast-Zugänge). Die meisten erfolgreichen Cyber-Angriffe auf KMU heute beginnen genau hier — nicht über exotische Zero-Days, sondern über schlecht konfigurierte Identitäten.

Direktheit, Preis-Leistung und Verantwortung. Sie sprechen mit der Person, die testet — nicht mit einem Account-Manager. Sie zahlen für die Arbeit, nicht für ein Büro in der Wiener Innenstadt. Und wenn etwas zurückkommt, kommt es zu mir — nicht zu einem Ticketsystem.