Pentest: Wir prüfen Ihre IT, bevor es Angreifer tun
Ein Pentest zeigt, wie weit ein Angreifer in Ihrem Unternehmen wirklich käme. Im Rahmen unseres Penetration Testing greifen wir Ihre Systeme an wie ein echter Angreifer. Das geschieht abgestimmt, kontrolliert und mit einem klaren Auftrag. Wir prüfen Ihre IT-Systeme, Ihre Anwendungen und auf Wunsch auch Ihre Mitarbeitenden.
Sie erhalten keine lange Liste aus einem Scanner. Sie erhalten die Schwachstellen, die sich tatsächlich ausnutzen lassen, und eine klare Reihenfolge, was zuerst zu tun ist. So geben Ihnen unsere Penetration Testing Services eine solide Grundlage für Ihre nächsten Entscheidungen.
Sprechen Sie mit uns. In einer kostenlosen Erstberatung von 30 Minuten klären wir Ihre Ausgangslage.
Warum ein Pentest für Ihr Unternehmen sinnvoll ist
Firewalls und Sicherheits-Tools sind wichtig. Ob sie einem echten Angriff standhalten, zeigen sie aber nicht. Die gefährlichsten Lücken liegen oft zwischen den Systemen, nicht in einem einzelnen System.
Das zeigt auch einer unserer anonymisierten Praxisfälle. Für eine SaaS-Plattform mit HR- und Payroll-Daten haben wir fünf Anwendungen und die Cloud geprüft. Im Fokus standen die Verbindungen zwischen den Systemen. Genau diese Stellen werden bei einzelnen Tests leicht übersehen.
Ein Penetrationstest für Unternehmen macht solche Risiken sichtbar. Geschäftsführung und IT erhalten ein gemeinsames Bild der Lage. Auf dieser Basis lassen sich Budgets und Maßnahmen gezielt planen.
Die Ergebnisse helfen auch im Gespräch mit Kunden und Versicherern. Sie zeigen, dass Ihre Schutzmaßnahmen geprüft wurden. Wenn Sie sich auf Anforderungen aus NIS2 vorbereiten, liefert ein Test wichtige Erkenntnisse über Ihren technischen Stand. Er ist dabei ein Baustein und ersetzt kein Compliance-Programm.
Was unser Penetration Testing umfasst
Wir prüfen die Bereiche, über die Angreifer in Ihr Unternehmen gelangen können. Den Umfang legen wir gemeinsam mit Ihnen fest:
- Websites und Webanwendungen, einschließlich Schnittstellen (APIs) und Anmeldung
- Mobile Apps für iOS und Android
- Netzwerke von außen und von innen
- WLAN in Firmen- und Gästenetzen
- Mitarbeitende, zum Beispiel mit kontrollierten Test-E-Mails und Test-Anrufen
Ein Penetrationstest Ihrer IT kann aus drei Perspektiven erfolgen:
- Black Box: Wir greifen von außen an, wie ein Fremder. Wir kennen nur Ihren Firmennamen oder Ihre IP-Adressen.
- Grey Box: Wir haben begrenztes Insider-Wissen. Das ist die häufigste und kosteneffektivste Wahl.
- White Box: Wir haben Zugang zum Quellcode. Das ist die gründlichste Prüfung, zum Beispiel vor einem Produktlaunch.
Was Sie von unserem Pentest-Service erhalten
Statt einer 200-seitigen Scanner-Liste erhalten Sie die Handvoll Schwachstellen, die ein echter Angreifer nutzen würde:
- Nachvollziehbare und wiederholbare Belege für jede relevante Schwachstelle (Proof-of-Concept-Exploits, kurz PoC)
- Eine Priorisierung nach tatsächlicher Ausnutzbarkeit, nicht nach theoretischer Schwere
- Handlungsempfehlungen, die Ihre IT und Ihre Entwicklung direkt umsetzen können
- Einen klaren Plan, welche Maßnahmen zuerst kommen
Pentest beauftragen: So läuft die Zusammenarbeit ab
Unsere Penetrationstest-Dienste folgen einem klaren Ablauf. Sie wissen in jeder Phase, was geprüft wird.
- Kostenlose Erstberatung: In 30 Minuten besprechen wir Ihre Ziele, Ihre Systeme und die Rahmenbedingungen. Danach wissen Sie, ob ein Test für Sie sinnvoll ist. Ist Ihr Bedarf schon klar, reicht oft auch ein ausgefüllter Fragebogen als Grundlage für unser Angebot.
- Umfang und Vorgehen festlegen: Wir legen gemeinsam fest, welche Systeme und Anwendungen geprüft werden. Außerdem wählen wir den passenden Ansatz: Black, Grey oder White Box. Umfang, Methoden und Zeitfenster halten wir im Angebot fest, und Sie bestätigen sie.
- Durchführung: Wir simulieren einen realistischen Angriff. Dabei orientieren wir uns an anerkannten Standards wie OWASP, PTES und MITRE ATT&CK.
- Bericht und Priorisierung: Sie erhalten belegte Schwachstellen, eine klare Priorisierung und einen konkreten Plan zur Behebung.
- Abschluss-Workshop: Wir besprechen mit Ihnen den Abschlussbericht, die Risiken und unsere Empfehlungen zur Behebung. Der Workshop ist im Leistungsumfang enthalten und für Sie optional.
Pentest-Kosten: Wovon der Preis abhängt
Jede Systemlandschaft ist anders. Deshalb gibt es bei uns keine Pauschalpreise. Der Aufwand hängt vor allem von diesen Punkten ab:
- Wie viele und welche Systeme werden geprüft, zum Beispiel Webanwendungen, Apps, Netzwerke oder WLAN?
- Welcher Ansatz passt: Black, Grey oder White Box? Grey Box bietet oft das beste Verhältnis von Aufwand und Erkenntnis.
- Wie tief soll geprüft werden?
- Sollen Ihre Mitarbeitenden einbezogen werden, etwa mit Test-E-Mails oder Test-Anrufen (Social Engineering)?
- Welche Rahmenbedingungen gelten für die Durchführung?
Wir kalkulieren auf Basis des abgestimmten Umfangs, meist nach Stundensätzen. Je nach Aufgabe setzen wir Spezialisten unterschiedlicher Erfahrungsstufen ein. Den Umfang klären wir vor Beginn gemeinsam, so können Sie die Penetrationstest-Kosten verlässlich einschätzen. Nach der kostenlosen Erstberatung erhalten Sie ein individuelles Pentest-Angebot.
Warum Sheriff als Pentest-Anbieter
Wer einen Pentest-Dienstleister beauftragt, gibt Einblick in kritische Systeme. Deshalb setzen wir auf nachweisbare Kompetenz und eine klare Arbeitsweise.
- Praktiker statt reiner Berater: Unser Team führt selbst Angriffe durch und untersucht echte Vorfälle. Wir wissen, wie Angreifer vorgehen.
- Klare Prioritäten statt Scanner-Liste: Wir konzentrieren uns auf Schwachstellen, die sich tatsächlich ausnutzen lassen. Außerdem zeigen wir, wie Sie sie schließen.
- Zertifizierte Spezialisten: Unsere Pentester haben anerkannte Zertifizierungen, zum Beispiel OSCP, OSWE, PenTest+, eWPTX, eWPT, eMAPT und Burp Suite Certified Practitioner. Einen Überblick über die Zertifizierungen unseres Teams finden Sie auf unserer Teamseite.
- Herstellerunabhängig und persönlich erreichbar: Wir empfehlen, was zu Ihrer Lage passt, nicht, was wir verkaufen. Sie haben einen festen Ansprechpartner in Deutschland. Unsere Delivery-Teams sitzen in Deutschland, der Schweiz, Frankreich und Rumänien. Dahinter steht die internationale SHERIFF-Gruppe.
Ob einzelne Webanwendung oder gesamte Infrastruktur: Als Penetrationstest-Anbieter passen wir Umfang und Tiefe an Ihre Ziele an.
Nach dem Test: Schwachstellen schließen und dauerhaft absichern
Ein Pentest für Ihre IT zeigt den Stand zum Zeitpunkt der Prüfung. Danach geht es darum, die gefundenen Lücken zu schließen. Ob das gelungen ist, zeigt ein Retest. Wir empfehlen ihn nach der Behebung, er ist optional und wird separat berechnet.
Mit einem festen Prozess können Sie Schwachstellen dauerhaft im Blick behalten. Denn Systeme ändern sich laufend, und jede Änderung kann neue Lücken öffnen. Zusätzlich hilft eine 24/7-Überwachung durch unser SOC, Angriffe auch zwischen zwei Tests zu erkennen.
Häufige Fragen
Was kostet ein Penetrationstest?
Das hängt vor allem von drei Punkten ab: von Anzahl und Art der Systeme, vom gewählten Ansatz und von der Prüftiefe. Wir kalkulieren auf Basis des abgestimmten Umfangs, meist nach Stundensätzen. Unverbindliche Richtwerte nennen wir Ihnen gern vorab. Nach einer kostenlosen Erstberatung erhalten Sie ein individuelles Angebot mit den Penetration Test Kosten für Ihren Umfang.
Wie lange dauert ein Pentest?
Eine pauschale Angabe ist nicht möglich. Die Dauer hängt von Ihrer IT-Infrastruktur und vom vereinbarten Umfang ab. Den Zeitrahmen legen wir im Angebot fest.
Beeinträchtigt der Test unseren laufenden Betrieb?
Umfang, Methoden und Zeitfenster legen wir im Angebot fest, und Sie bestätigen sie vor Beginn. So richten wir den Test nach Ihren betrieblichen Abläufen aus. Zusätzliche Arbeiten oder Änderungen stimmen wir immer gesondert mit Ihnen ab.
Black, Grey oder White Box - was passt zu uns?
Black Box simuliert einen Angreifer ohne Vorwissen. White Box ist mit Zugang zum Quellcode die gründlichste Prüfung. Grey Box mit begrenztem Insider-Wissen ist die häufigste und kosteneffektivste Wahl. In der Erstberatung empfehlen wir Ihnen den passenden Ansatz.
Was erhalten wir nach dem Test?
Sie erhalten nachvollziehbare Belege (PoC-Exploits), eine Priorisierung nach tatsächlicher Ausnutzbarkeit und umsetzbare Handlungsempfehlungen. Im optionalen Abschluss-Workshop besprechen wir die Ergebnisse gemeinsam. Ihre IT weiß damit genau, was zuerst zu tun ist.
Eignet sich ein Pentest auch für kleinere Unternehmen?
Ja. Wir arbeiten für den Mittelstand, für kleinere Unternehmen und für Betreiber kritischer Infrastruktur. Den Umfang passen wir an Ihre Größe und Ihre Risiken an. So bleibt der Aufwand im Verhältnis zum Nutzen.
Sprechen wir über Ihre Sicherheitslage
Sie möchten wissen, wie gut Ihre Systeme wirklich geschützt sind? Beschreiben Sie uns kurz Ihre Ausgangslage. In einer kostenlosen Erstberatung von 30 Minuten klären wir, ob ein Test für Sie sinnvoll ist. Sie haben dabei einen festen Ansprechpartner für Ihren Pentest in Deutschland. Einen Überblick über alle Themen bietet unser gesamtes Leistungsspektrum.