Penetrationstest München: Wie weit käme einer?

Ein echter Angriff, kontrolliert

Was ist ein Penetrationstest?

Bei einem Penetrationstest schlüpfen wir in die Rolle eines Angreifers. Wir prüfen, wie weit jemand in Ihre IT-Systeme vordringen könnte. Nicht theoretisch, sondern praktisch: mit denselben Werkzeugen und Wegen, die auch echte Angreifer nutzen.

Viele spezialisierte Labore liefern einen dicken Bericht mit langer Mängelliste. Danach stehen Sie damit allein da. bios-tec ist kein reines Testlabor, sondern ein IT-Systemhaus. Wir finden die Lücken, erklären sie verständlich und schließen sie anschließend gemeinsam mit Ihnen. Der Test ist Teil unserer IT-Security aus einer Hand.

Ein Beispiel, wie das im Muster aussieht: Ein fremdes Gerät an der Netzwerkdose, ohne Konto, findet einen Weg Richtung Kernsysteme. Sobald der Beweis steht, stoppt der Test; weiter als für den Beleg nötig gehen wir nicht. Der Versuch vom Gast-WLAN ins Betriebsnetz bricht an der Trennung ab und bleibt als gescheiterter Versuch im Bericht sichtbar. Die Cloud-Verbindung war in diesem Muster nicht Teil der Prüfung: offen, keine Aussage.

Denn nach dem Bericht beginnen die eigentlichen Fragen: Wer behebt die Schwachstellen? Wer entscheidet, was dringend ist? Wer stemmt die Umsetzung im Tagesgeschäft? Beim reinen Testlabor ist das nicht mehr Thema. Bei uns ist der Test nicht das Ende, sondern der Anfang der Lösung.

Sieben Einstiege, ein Maßstab

Welche Pentest-Arten prüfen wir?

Ein Angreifer sucht nicht dort, wo Sie am besten geschützt sind, sondern dort, wo es am leichtesten geht. Deshalb wählen wir die Prüfart nach Ihrem Risiko: einzeln oder kombiniert, immer mit demselben Maßstab. Gezählt wird nur, was sich belegen lässt.

Das kennt jeder vom Zollstock: Wer eine Nische für ein neues Regal ausmisst, schreibt die Länge auf, die er abgelesen hat, nicht die, die er schätzt. Ein Pentest-Bericht arbeitet genauso. Er nennt, wie weit ein Angriffsweg nachweislich trägt, und markiert die Stelle, ab der es nur noch Vermutung wäre. Was jenseits der Markierung liegt, ist damit nicht sicher, sondern nur nicht gemessen.

Externer Pentest

Von außen, ohne Vorwissen: Was sieht und erreicht ein Angreifer aus dem Internet?

Interner Pentest

Ein fremdes Gerät an der Netzwerkdose. Wie weit kommt es Richtung Active Directory und Kernsysteme?

Webanwendung

Shop, Portal oder Kundenzugang: Anmeldung, Rechte und Datenwege werden von Hand geprüft.

WLAN

Vom Gast-WLAN Richtung Betriebsnetz. Hält die Trennung, die auf dem Netzplan steht?

Social Engineering und Phishing

Der Mensch als Einstieg: Wer klickt, wer gibt Zugangsdaten preis, wer meldet den Versuch?

Red Teaming

Mehrere Angriffswege zu einem zusammenhängenden Szenario verbunden, gegen die laufende Abwehr.

IoT und Gebäudetechnik

Kameras, Zutrittssysteme und Steuerungen, die oft vergessen im selben Netz hängen.

Auch der Cloud-Mandant und die Annahme eines bereits erfolgreichen Ransomware-Einstiegs (Assume Breach) lassen sich als Ausgangspunkt setzen. Welche Kombination sinnvoll ist, klären wir im Scoping.

Mensch statt Maschine

Warum ein Mensch testet — und keine KI-Pentest-Maschine

Am Markt tauchen zunehmend vollautomatisierte, „KI-gestützte“ Pentest-Werkzeuge auf. Sie wollen auf Knopfdruck ein ganzes Netzwerk durchprüfen. Das klingt effizient, hat aber einen gefährlichen Haken.

• Ein automatisiertes Tool feuert breit und laut. Firewall, Intrusion-Prevention (IPS), Endpoint-Schutz und SIEM schlagen reihenweise Alarm.
• Damit es durchläuft, werden diese Schutzsysteme oft vorübergehend abgeschaltet oder auf eine Whitelist gesetzt. In diesem Zeitfenster ist Ihre IT real ungeschützt.
• Die Folge ist doppelt fatal: Ihre IT ist im Zeitfenster ungeschützt, und der Test läuft gegen eine bewusst deaktivierte Abwehr. Ein Angriff gegen wehrlose Systeme sagt nichts darüber, wie gut Sie sich gegen einen echten Angreifer wehren.
• Unsere Tester arbeiten wie ein echter Angreifer: leise, gezielt und gegen Ihre voll aktive Abwehr. Kein Schutzsystem wird für den Test abgeschaltet.
• Wir wollen sehen, ob Ihre Alarmglocken anschlagen und ob Ihr IPS greift. Ihr Team bemerkt den Angriff oder eben nicht. Beides ist ein wertvolles Ergebnis.

Ein Pentest, für den man die Schutzsysteme erst ausschalten muss, ist kein Test unter realen Bedingungen. Er ist eine teure Illusion von Sicherheit.

Wie wir testen

Wie läuft ein Penetrationstest bei bios-tec ab?

Klar strukturiert und jederzeit nachvollziehbar. Von der ersten Absprache bis zur geschlossenen Lücke sind es fünf Schritte. Sie wissen immer, woran wir gerade arbeiten.

Was uns unterscheidet

Ein Penetrationstest, der zur Lösung wird

Viele Anbieter testen gut. Entscheidend ist, was danach mit dem Ergebnis passiert und wie belastbar es ist. Fünf Punkte machen bei uns den Unterschied.

Testen und Beheben aus einer Hand

Bei uns endet der Pentest nicht mit einer Mängelliste. Weil wir Ihre IT ohnehin betreuen können, schließen wir die Schwachstellen anschließend auch. Ein Ansprechpartner für Analyse und Lösung, nicht zwei getrennte Welten.

Echter Test statt automatisiertem Fehlalarm

Wir testen gegen Ihre aktive Abwehr. Kein Werkzeug, das erst Ihr IPS lahmlegt und dann gegen eine wehrlose IT „gewinnt“. Die Prüfung zeigt, ob Ihre Verteidigung im Ernstfall hält.

Rückwirkungsarm im laufenden Betrieb

Kein Schadcode, keine Persistenz, keine Last- oder Zerstörungstests. Eingriffe mit Betriebswirkung legen wir im Bericht offen.

Belegt statt behauptet

Jeder Befund trägt einen Belegstatus: bestätigt, stark belegt, bedingt, potenziell oder offen. Positive Kontrollen stehen ebenfalls im Bericht. So sehen Sie, was hält, und nicht nur, was fehlt.

Persönlich, regional, auf Augenhöhe

Sie haben einen festen Ansprechpartner in München, der die Sprache des Mittelstands spricht und vor Ort ist. Er schneidet den Test auf Ihre Realität zu. Kein Konzern-Overhead für den 30-Mann-Betrieb.

Pentest als Compliance-Nachweis

Sicherer werden — und Nachweispflichten gleich miterfüllen

Regulatorik setzt den Mittelstand zunehmend unter Druck. Ein Penetrationstest ist oft der geforderte oder empfohlene technische Nachweis. Wir ordnen Ihre Ergebnisse den Rahmenwerken zu, die Sie betreffen. So dient ein Test zugleich als Nachweis für Audits, Zertifizierungen und Ihre Lieferkette.

NIS2

Die EU-Richtlinie zur Cybersicherheit, für immer mehr Mittelständler verpflichtend.

DORA

Für Finanzdienstleister und deren Zulieferer: verpflichtende Tests der digitalen Widerstandsfähigkeit.

ISO 27001

Der internationale Standard für Informationssicherheit. Pentests dienen als technischer Nachweis.

BSI IT-Grundschutz

Der deutsche Referenzrahmen für die Absicherung von IT-Systemen.

TISAX

Pflicht für viele Automotive-Zulieferer und deren Informationssicherheit.

Als Faustregel gilt: mindestens ein Test pro Jahr und zusätzlich nach größeren Änderungen an Ihrer IT, etwa einer neuen Anwendung, einer Cloud-Migration oder einem Umbau im Netzwerk. Viele Rahmenwerke und Cyberversicherungen erwarten einen regelmäßigen Rhythmus.