Ein Penetrationstester. Vom ersten Gespräch bis zum Abschlussbericht.

VidraSec verwendet transparente, personentagebasierte Preisgestaltung. Jedes Angebot enthält die geplante Anzahl an Personentagen, den Tagessatz und einen Fixpreis: der genannte Preis ist der berechnete Preis, auch wenn die Arbeit ein paar Stunden länger dauert. Engagements beginnen ab 4.200 € bei kleinem Umfang, etwa einer Handvoll aus dem Internet erreichbarer Systeme. Die meisten Projekte liegen zwischen 6.000 € und 15.000 €, größere Red-Team-Engagements können darüber liegen. Der endgültige Preis hängt vom Umfang und der Dauer ab. Lies was ein Penetrationstest kostet für die vollständige Erklärung, oder nimm Kontakt auf, um ein auf dich zugeschnittenes Angebot zu erhalten.

Typische Engagements umfassen 3-10 Tage aktives Testing, abhängig vom Umfang. Ein Webanwendungstest für eine einzelne Applikation dauert üblicherweise 3-5 Tage; ein vollständiger interner Infrastrukturtest mit Active Directory im Scope kann 5-10 Tage in Anspruch nehmen. Die Berichtserstellung kommt mit etwa 30-50% der Testzeit obendrauf.

Nach der Unterzeichnung beträgt die typische Vorlaufzeit bis zum Projektstart etwa 4 Wochen, abhängig von der aktuellen Auslastung. Bei dringenden Anfragen kannst du Martin direkt kontaktieren, um die Verfügbarkeit zu besprechen.

Das Gespräch dauert etwa 30 Minuten. Keine Vorbereitung notwendig. Ich stelle dir ein paar Fragen zu deiner Umgebung und was dich zum Thema Testing treibt. Wenn du bereits Details hast (Anzahl der Systeme, Compliance-Anforderungen, frühere Testergebnisse), kannst du sie gerne teilen, aber es gibt keine Pflicht dazu. Du erhältst innerhalb weniger Werktage ein schriftliches Angebot.

Martin Grottenthaler führt jedes Engagement persönlich durch. Es gibt keine Account Manager, Delivery-Teams oder Substitutionen. Die Person, mit der du vor der Unterzeichnung sprichst, ist die Person, die deine Systeme testet, den Bericht schreibt und das Debriefing leitet.

Das Engagement wird pausiert und so bald wie möglich fortgesetzt. Es gibt keine Substitutionen: eine kurze Verzögerung ist ein besseres Ergebnis, als jemanden weitermachen zu lassen, den du nie gesprochen hast. In der Praxis führt Krankheit selten zu mehr als einer kurzen Unterbrechung. Wenn du einen fixen Compliance-Termin hast, sprich ihn beim Scoping an; ich stelle sicher, dass der Zeitplan genug Puffer lässt.

Interne Pentests werden in der Regel vor Ort durchgeführt, können aber bei entsprechender Netzwerkkonfiguration auch remote über VPN oder einen dedizierten Jump Host durchgeführt werden. Externe und Cloud-Assessments werden immer remote durchgeführt.

Jeder Bericht enthält eine Management-Zusammenfassung (nicht-technisch), einen detaillierten technischen Abschnitt pro Schwachstelle mit Beschreibung, Nachweis, Risikobewertung und Reproduktionsschritten sowie umsetzbare Empfehlungen zur Behebung. Alle Schwachstellen werden manuell verifiziert. Berichte enthalten keine automatisierten Scanner-Ausgaben. Sieh dir Beispielberichte an, um zu sehen, wie das in der Praxis aussieht.

Ja. Auf Wunsch stellt VidraSec ein Zertifikat aus, das bestätigt, dass ein Penetrationstest durchgeführt wurde. Es nennt die Anzahl der Testtage und die Anzahl der Schwachstellen, ohne technische Details, und kann damit bedenkenlos an Kunden, Partner oder Auditoren weitergegeben werden, als Nachweis, dass getestet wurde.

Ein Retest ist nicht standardmäßig enthalten, kann aber als optionaler Zusatz hinzugefügt werden. Beim Retest verifiziert VidraSec, ob die identifizierten Schwachstellen erfolgreich behoben wurden.

Berichte können auf Deutsch oder Englisch geliefert werden, vereinbart beim Scoping. Beide Sprachen werden vollständig unterstützt.

Ja. Der Großteil der Kunden kommt aus Österreich und Deutschland, Engagements sind aber auch international möglich, auf Deutsch oder Englisch.

Ja. VidraSec unterzeichnet routinemäßig Geheimhaltungsvereinbarungen vor Beginn von Engagements. Kundennamen, Schwachstellen und Infrastrukturdetails werden nie an Dritte weitergegeben.

Alle Kundendaten werden im Rahmen des internen Informationssicherheits-Managementsystems (ISMS) von VidraSec behandelt, das an ISO-27001-Grundsätzen ausgerichtet ist. Dies umfasst sichere Speicherung von Testergebnissen und Berichten, strenge Zugriffskontrollen, Datensparsamkeit und definierte Löschverfahren nach Projektabschluss.

Ja. VidraSec-Penetrationstests dienen als dokumentierter Nachweis technischer Sicherheitsprüfungen für ISO 27001, NIS2, TISAX und DORA (Artikel 25). VidraSec stellt keine Compliance-Zertifikate aus; das ist Aufgabe der zuständigen Zertifizierungs- oder Prüfstelle. Hinweis: DORA-Artikel-26-TLPT (Threat-Led Penetration Testing für bedeutende Finanzunternehmen) ist ein separat regulierter Prozess und liegt außerhalb des Umfangs von Standard-VidraSec-Engagements. Sieh dir an, wie ein NIS2-tauglicher Pentest konkret aussieht.

Ja. VidraSec hat Engagements für Organisationen durchgeführt, die ISO 27001, TISAX, DORA und NIS2 anstreben oder bereits einhalten. Diese Frameworks erfordern regelmäßige, dokumentierte technische Sicherheitsprüfungen.

Ja. VidraSec arbeitet sowohl mit KMUs als auch mit größeren Unternehmen. Ein kleineres Unternehmen mit weniger Systemen benötigt in der Regel weniger Personentage, und der Fixpreis spiegelt das wider. Nimm Kontakt auf, um zu besprechen, wie ein passendes Engagement für deine Organisation aussehen könnte.

Kurze Antwort: Greybox liefert fast immer mehr Mehrwert. Blackbox (ohne Zugangsdaten) simuliert einen nicht authentifizierten externen Angreifer, findet aber selten Schwachstellen, die ein Schwachstellenscanner nicht auch finden würde. Greybox (mit gültigen Benutzer-Zugangsdaten) simuliert das realistische Szenario: ein Phishing-Angriff war erfolgreich oder ein Insider hat Zugriff. Hier finden sich die interessanten Schwachstellen. Der Käuferratgeber behandelt das im Detail.