Der Builder-Vorteil
Wer baut,
weiss, wo es bricht.
weiss, wo es bricht.
Erst der Angriff zeigt,
woraus die Hülle besteht.
Penetrationstests und Sicherheitsprüfungen aus der Schweiz — von Entwicklern, die dieselbe Art von Systemen seit 2001 selbst ausliefern.
Angriffsfläche
Vier Prüfbereiche.
Ein vereinbarter Umfang.
Anwendung, Infrastruktur, Quelltext und der Alltag dazwischen. Der Umfang steht vor dem ersten Test schriftlich fest.
Vor dem Test
Der Rahmen
steht.
steht.
Umfang, Zeitfenster, Meldewege und Grenzen — schriftlich vereinbart.
Menschen und Abläufe
Der Weg dessen,
der schon drin ist.
der schon drin ist.
Phishing-Simulation und die Zugangswege des Alltags — nicht als Nebenschauplatz, sondern als Teil des Systems.
Quelltext
Mit Einsicht.
Oder von aussen.
Oder von aussen.
Beides ist möglich. Mit Einsicht lässt sich dieselbe Zeit gezielter einsetzen.
Finden und beheben
Ein Befund ist kein Ergebnis.
Jeder Fund wird nachvollziehbar belegt. Auf Wunsch schliesst dasselbe Team die Lücke und prüft danach denselben Weg erneut.
Ergebnis
Sie bekommen den Weg zum Fund.
Nicht nur den Fund.
Vom ersten Beleg bis zur beauftragten Nachprüfung bleibt jeder Schritt nachvollziehbar.
Schritt für Schritt.
Betroffenes System, Voraussetzungen, Reproduktionsweg und Auswirkung: Ihre Entwickler können den Befund nachvollziehen und gezielt bearbeiten.
Nach echtem Schaden priorisiert.
Sie erhalten konkrete Massnahmen nach Risiko und Dringlichkeit. Ihr Team setzt sie um — oder Sie beauftragen uns zusätzlich mit der Behebung.
Die Korrektur nachweisen.
Eine vereinbarte Nachprüfung testet den betroffenen Weg erneut. Der Bericht hält fest, was behoben ist und was offenbleibt; eine neue Gesamtprüfung ist das nicht.
Diskretion
Ihre Befunde gehören Ihnen.
Nicht unserer Werbung.
Wir veröffentlichen keine Kundennamen oder Prüfberichte. Wer Ergebnisse erhält und wie sie übermittelt werden, vereinbaren wir vor dem Test.
Verfahren
Nach anerkannten Katalogen.
Ein Schwachstellenscan liefert Hinweise auf bekannte Probleme. Im Penetrationstest prüfen wir diese manuell und untersuchen zusätzlich Rechte, Geschäftslogik und zusammenhängende Angriffswege. Im Bericht unterscheiden wir bestätigte Befunde, offene Fragen und nicht geprüfte Bereiche.
- OWASP WSTG
- OWASP ASVS
- PTES
- MITRE ATT&CK
- 01Scope
- 02Aufklärung
- 03Prüfung
- 04Bericht
- 05Nachprüfung nach Vereinbarung
Vor der Beauftragung
Was soll der Test
für Sie klären?
Ein Portal vor dem Start prüfen, Rollen nach einer Erweiterung kontrollieren oder die von aussen erreichbare Infrastruktur untersuchen: Ihre Sicherheitsfrage bestimmt den Auftrag. Sie erhalten einen abgegrenzten Prüfbericht mit priorisierten Massnahmen. Behebung und Nachprüfung werden separat vereinbart.
Welche Systeme dürfen geprüft werden?
Vor dem ersten Test vereinbaren wir schriftlich Zielsysteme, Prüfbereiche, Zugänge, Zeitfenster, Belastungsgrenzen und Abbruchkriterien. Sie benennen eine verantwortliche Kontaktperson und bestätigen die nötige Berechtigung zur Prüfung. Dienste Dritter gehören nur mit entsprechender Zustimmung in den Auftrag. Anwendungen, Infrastruktur, Quelltext und Mitarbeitende werden nicht automatisch gemeinsam geprüft: Was dazugehört und was ausgeschlossen bleibt, steht ausdrücklich im Umfang.
Brauchen Sie Benutzerkonten oder den Quelltext?
Das richtet sich nach der Sicherheitsfrage. Ohne Anmeldung prüfen wir den von aussen erreichbaren Teil. Mit Testkonten können wir zusätzlich untersuchen, ob Benutzerrollen und Zugriffsgrenzen halten. Quelltext und Dokumentation ermöglichen eine gezieltere Prüfung mit Einsicht. Wir vereinbaren Perspektive, Testumgebung und nötige Zugänge vorab; ein anonymer Test deckt nicht automatisch die angemeldeten Arbeitsabläufe ab.
Was erhalten wir – und gehört die Nachprüfung dazu?
Sie erhalten einen Bericht mit geprüftem Umfang, nachvollziehbaren Befunden, deren Bedeutung für Ihren Betrieb und priorisierten Massnahmen. Kritische Befunde melden wir über den vorab vereinbarten Weg. Behebung und Nachprüfung werden im Angebot ausdrücklich abgegrenzt. Eine Nachprüfung dokumentiert, ob die vereinbarte Korrektur wirksam ist; sie ersetzt keine erneute Gesamtprüfung nach grösseren Änderungen. Auch ein Test ohne Befund ist keine Garantie vollständiger Sicherheit.
Wovon hängen Aufwand und Kosten ab?
Entscheidend sind Anzahl und Komplexität der Systeme, unterschiedliche Benutzerrollen, verfügbare Dokumentation und Quelltexte sowie die vereinbarte Prüftiefe. Besondere Zeitfenster, Berichtsumfang, Behebung und Nachprüfung beeinflussen den Aufwand ebenfalls. Für eine konkrete Offerte reichen zunächst eine Systemübersicht und Ihre wichtigste Sicherheitsfrage. Daraus grenzen wir einen sinnvollen ersten Auftrag ab, statt eine pauschale Prüfung für jeden Betrieb anzubieten.
Ein Sicherheitsgespräch