Alle VidraSec Dienstleistungen Druckansicht

Ein Active Directory Audit ist eine White-Box-Sicherheitsanalyse deines lokalen Active Directory, die Fehlkonfigurationen, gefährliche Berechtigungen und Angriffspfade bis zur Domänenübernahme aufdeckt, bevor ein Angreifer oder Ransomware sie ausnutzen kann.

Die Ransomware-Angriffe mit der größten Auswirkung laufen über Active Directory: Wer die Domäne übernimmt, kontrolliert jedes System und jede Datei im Unternehmen. Oft reicht dafür eine einzige vergessene Berechtigung oder eine alte Fehlkonfiguration. Genau diese Schwachstellen deckt das Audit auf, bevor ein Angreifer sie findet.

Dieses Audit fokussiert sich auf das lokale (on-premises) Active Directory. Entra ID (Microsofts Cloud-Identitätsplattform) ist ein eigenes System und wird in einem separaten Entra ID Audit behandelt.

Umfang

Diese Art von Test wird in der Regel als White-Box durchgeführt, was bedeutet, dass die Tester vollen Zugang zum getesteten System und dessen Dokumentation erhalten. Dies ermöglicht eine umfassende Analyse von Schwachstellen und Fehlkonfigurationen in einem kurzen Zeitrahmen. Folgende Punkte sind der Hauptfokus des Tests:

• Audit des Implementierungsstatus des Tier-Modells und möglicher Schwachstellen
• Überprüfung aller Konten und ihres Passwortalters
• Überprüfung der Berechtigungen von Benutzern, Computern und Gruppen
• Überprüfung der Gruppenmitgliedschaften von hochprivilegierten Gruppen
• Interview mit Admins darüber, wie sie das System typischerweise verwalten
• Wenn vorhanden: Domänen- und Forest-Trusts
• Test auf typische Schwachstellen wie “Kerberoasting” oder (un)eingeschränkte Delegation

Warum

• Wer Active Directory übernimmt, kontrolliert jedes System und jede Datei im Unternehmen. Genau deshalb zielen Ransomware-Gruppen zuerst darauf
• Eine einzige vergessene Berechtigung aus einem alten Projekt kann das fehlende Glied in einem Angriffspfad zu Domain Admin sein
• Active Directory wächst über Jahre und Admins wechseln; nur eine regelmäßige Überprüfung findet die Fehlkonfigurationen, die sich ansammeln

Für eine umfassende Bewertung des lokalen Active Directory empfiehlt VidraSec, diese Analyse in Verbindung mit einem Penetrationstest der internen Infrastruktur durchzuführen. Dieser Ansatz bietet einen kompletten Überblick über die Sicherheitslage deiner internen Systeme. Als kombiniertes Projekt gebucht, teilen sich beide Tests zudem den Aufwand für Scoping und Setup.

Warum VidraSec 🦦

Martin Grottenthaler, Gründer und leitender Penetrationstester. OSCP, CISSP, GCFA, GWAPT. Penetrationstests seit 2017. Mehr über mich

Ich habe mehrere Jahre Erfahrung in Angriffen und der Sicherung von Active Directory. Wenn ich es schaffe, nach ein paar Tagen Arbeit Domain-Admin-Berechtigungen zu erhalten, bin ich sicher, dass ein echter Angreifer dies ebenfalls kann. Lass mich also zeigen, was falsch ist und wie es behoben werden kann, um sich gegen Angriffe zu schützen.

Typische Dauer

3-5 Tage (abhängig vom Scope). Die Berichtserstellung dauert typischerweise zusätzlich 30-50 % der Testzeit.

Typischer Preis

ab 8.400 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Schwachstellen und Fehlkonfigurationen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Direkt relevant für NIS2, ISO 27001 und TISAX (Automobilindustrie). Active-Directory-Sicherheit ist ein Standardpunkt in Informationssicherheits-Management-Audits.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Penetrationstest der internen IT-Infrastruktur
• Entra ID Audit
• Simulation von Cyberangriffen

Ein interner IT-Infrastruktur Penetrationstest simuliert einen Angreifer, der bereits einen Fuß im Netzwerk hat (etwa nach einem Phishing-Klick), und testet, ob er sich lateral bewegen und Domain Admin erreichen kann.

Jemand in deinem Team klickt auf den falschen E-Mail-Anhang, und ein Angreifer ist in deinem Netzwerk. Was dann passiert, hängt davon ab, was er dort vorfindet: Endet der Angriff bei einem einzelnen Rechner, oder bewegt er sich lateral weiter und übernimmt alle deine Systeme? Dieser Test beantwortet diese Frage, bevor ein echter Angreifer es tut.

Die externe Infrastruktur ist heute meist gut gesichert. Im internen Netzwerk sieht es anders aus: keine Verschlüsselung, abgeschaltete Sicherheitsmechanismen (ältere Software unterstützt sie nicht), völlig veraltete Software. Im schlimmsten Fall führen diese Schwachstellen zur vollständigen Kompromittierung aller Unternehmensdaten.

Umfang

Dieser Penetrationstest kann angepasst werden, um sich auf spezifische Systeme zu konzentrieren, wie z. B. einen bestimmten Server oder die Konfiguration von Windows-Clients. Das bereden wir im ersten Abstimmungsmeeting. Im Zuge dieses Tests kann auch die Fähigkeit zur Angriffserkennung überprüft werden. Allerdings ist das nicht der primäre Fokus eines Penetrationstests. Folgende Punkte sind der Hauptfokus des Tests:

• Penetrationstest von Active Directory, einschließlich Credential-Angriffen wie dem Auslesen lokaler Hashes (siehe Hashes auslesen in Windows 11 24H2) und der Abbildung von Angriffspfaden zu Domain Admin mit BloodHound
• Überprüfung, ob alle empfohlenen Gegenmaßnahmen vorhanden sind
• Identifizierung von Schwachstellen im Netzwerk
• Identifizierung veralteter Software im Netzwerk
• Fehlkonfigurationen, z. B. Active Directory Certificate Services oder Lücken im AD-Tiering
• Test auf offene Dateifreigaben mit vertraulichen Daten
• Und insgesamt: Kann ein Angreifer Domain-Admin-Rechte im Netzwerk erlangen?

Suchst du eigentlich den externen Test? Dieser Test deckt dein internes Netzwerk und Active Directory ab. Um deine aus dem Internet erreichbaren Systeme (Server, VPNs, Mail, Fernzugänge) aus Sicht eines Angreifers von außen zu testen, sieh dir den externen IT-Infrastruktur Penetrationstest an.

Warum

• Ein einziger Phishing-Klick verschafft einem echten Angreifer genau die Ausgangslage, die dieser Test simuliert: ein normales Benutzerkonto in deinem Netzwerk
• Fehlkonfigurationen im Active Directory, veraltete Protokolle und schwache Segmentierung öffnen von dort aus regelmäßig einen Weg bis zu Domain Admin
• Ransomware-Gruppen automatisieren genau diese Angriffspfade. Sie vorher zu schließen entscheidet, ob ein infizierter Client ein Vorfall bleibt oder das ganze Unternehmen stillsteht
• Deine Infrastruktur ändert sich laufend; nur regelmäßige Tests finden die Fehlkonfigurationen, die sich mit der Zeit einschleichen

Warum VidraSec 🦦

Martin Grottenthaler, Gründer und leitender Penetrationstester. OSCP, CISSP, GCFA, GWAPT. Penetrationstests seit 2017. Mehr über mich

Ich habe oft Domain-Admin-Rechte erlangt, ausgehend von einem normalen Benutzer. Und zwar in vielen verschiedenen Arten von Unternehmen. Egal, ob klein oder groß, es gibt immer Schwachstellen. Wenn ich es schaffen kann, kann es ein Angreifer auch. Und ich hoffe, dass es angenehmer ist, wenn ich die Schwachstellen und wie man sie behebt in einem Bericht erkläre, als wenn ein Angreifer erklärt, wohin die Bitcoins geschickt werden sollen.

Hinweis: Dieser Test enthält Active-Directory-Testing aus Angreifersicht (kann ich Domain Admin erreichen?). Ein Active Directory Audit ist eine separate, tiefere White-Box-Analyse der AD-Konfiguration. Beide ergänzen sich und werden häufig kombiniert.

Typische Dauer

3 bis 5 Tage Testing (bei großen Umgebungen bis zu 2 Wochen). Die Berichtserstellung dauert typischerweise zusätzlich 30 bis 50 % der Testzeit.

Typischer Preis

ab 8.000 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Schwachstellen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Direkt relevant für NIS2 (Artikel 21, Sicherheit von Netz- und Informationssystemen), ISO 27001 und TISAX (Automobilindustrie).

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Penetrationstest der externen IT-Infrastruktur
• Active Directory Audit
• Simulation von Cyberangriffen

Ein Cloud Infrastruktur Audit ist eine rein lesende White-Box-Prüfung deiner Azure-, AWS- oder GCP-Umgebung, die Fehlkonfigurationen, überprivilegierte IAM-Rollen und exponierte Dienste findet, bevor Angreifer es tun.

Cloud-Services bieten enorme Flexibilität, aber diese Flexibilität bringt auch Risiken mit sich. Falsch konfigurierte Storage Buckets, zu weitreichende IAM-Rollen und exponierte Management-Schnittstellen zählen zu den häufigsten Ursachen für Cloud-Sicherheitsvorfälle. Ein Cloud Infrastruktur Audit prüft deine Cloud-Umgebung mit einem Nur-Lese-Account, um genau diese Schwachstellen zu finden, bevor Angreifer es tun.

Unterstützte Plattformen: Azure, AWS und GCP. In Azure-Umgebungen hängen Fehlkonfigurationen im Cloud-IAM häufig eng mit Entra ID Rollenzuweisungen und Conditional Access zusammen. Beide werden oft gemeinsam geprüft.

Umfang

Dieses Audit wird als White-Box-Engagement mit einem Nur-Lese-Account und Standard-Tools (ScoutSuite, manuelle Überprüfung) durchgeführt. Folgende Bereiche werden abgedeckt:

• Identity and Access Management: Rollenzuweisungen, überprivilegierte Konten, Service Principals, Least-Privilege-Überprüfung
• Storage und Datenexposition: öffentliche Buckets/Blobs, Zugriffsrichtlinien, exponierte sensible Daten
• Virtual Network Konfiguration: Security Groups, Netzwerk-ACLs, Firewall-Regeln, exponierte Management-Ports
• Logging und Monitoring: Audit-Log-Konfiguration, Alerting, Erkennungsabdeckung
• Sicherheitseinstellungen: Defender/Security Hub/Security Command Center, Verschlüsselung at rest und in transit
• Service-spezifisches Hardening: Konfiguration der aktiv genutzten Cloud-Dienste

Warum

• Cloud-Umgebungen sind eine häufige Quelle für Sicherheitsvorfälle, oft weil Standardkonfigurationen nicht gehärtet sind
• IAM-Fehler (z. B. zu weitreichende Rollen, ungenutzte Service-Accounts mit hohen Berechtigungen) sind die häufigste Cloud-Sicherheitslücke
• Eine Nur-Lese-Konfigurationsüberprüfung kann kritische Expositionen in Stunden aufdecken, die sonst monatelang unbemerkt bleiben könnten

Typische Findings sind ein CI/CD-Service-Principal mit Contributor- oder Owner-Rechten, weit über das hinaus, was seine Pipeline braucht, Storage Accounts oder Buckets, die nach einem einmaligen Datenexport öffentlich lesbar bleiben, sowie veraltete Gastkonten, die lange nach Projektende noch Zugriff behalten. Keiner dieser Fälle erfordert das Ausnutzen einer Schwachstelle. Es handelt sich um Konfigurationsfehler, die für jeden sichtbar sind, der weiß, wo er hinschauen muss, weshalb eine Nur-Lese-Prüfung sie so schnell findet.

Warum VidraSec 🦦

Ich habe Cloud Infrastruktur Audits in Azure-, AWS- und GCP-Umgebungen durchgeführt. Mein Hintergrund im Identitäts- und Zugriffsmanagement, insbesondere im Microsoft-Stack, erstreckt sich natürlich auch auf Cloud-IAM, wo viele der gleichen Fehlkonfigurationen auftreten.

Typische Dauer

3 bis 5 Tage (abhängig vom Scope, je nach Anzahl und Komplexität der genutzten Cloud-Dienste). Die Berichtserstellung dauert typischerweise zusätzlich 30 bis 50 % der Testzeit.

Typischer Preis

ab 7.000 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Fehlkonfigurationen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Direkt relevant für NIS2 und ISO 27001. Cloud-Konfiguration wird zunehmend in Informationssicherheits-Management-Reviews geprüft.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Entra ID Audit
• Microsoft 365 Audit

Ein EntraID Audit (früher Azure AD) ist eine White-Box-Prüfung deines Microsoft-Entra-ID-Tenants, die Fehlkonfigurationen bei Identität und Zugriff, schwache bedingte Zugriffsrichtlinien und Angriffspfade zur Rechteausweitung aufdeckt.

EntraID (Microsoft Entra ID) ist die zentrale Lösung von Microsoft für Identitäten und Zugriff, vor allem in Microsoft-365-Umgebungen. Sie ermöglicht Single Sign-On (SSO) und die Zugriffsverwaltung. Fehlkonfigurationen können zu unberechtigten Zugriffen oder erleichterten Social-Engineering-Angriffen führen. Deshalb ist ein gründliches Testen dieser Komponente wichtig.

Umfang

Das Audit wird in der Regel als White-Box durchgeführt: Die Tester haben vollen Zugang zum System und zur Dokumentation. So können Schwachstellen und Fehlkonfigurationen in kurzer Zeit analysiert werden. Schwerpunkte sind:

• Implementierungsstatus des Tier-Modells und mögliche Schwachstellen
• Alle Konten und ihr Passwortalter
• Berechtigungen von Benutzern, Computern und Gruppen
• Gruppenmitgliedschaften hochprivilegierter Gruppen
• Gespräch mit Admins zur typischen Verwaltung des Systems
• Bedingte Zugriffsrichtlinien
• Prüfung anhand bewährter Vorgehensweisen
• Die Anbindung an das lokale Active Directory

Typische Dauer

3-5 Tage (abhängig vom Scope). Die Berichtserstellung dauert typischerweise zusätzlich 30-50 % der Testzeit.

Typischer Preis

ab 7.000 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Fehlkonfigurationen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Direkt relevant für NIS2, ISO 27001 und TISAX. Identitäts- und Zugriffsmanagement ist ein Kernkontrollbereich in allen großen Sicherheitsframeworks.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Microsoft 365 Audit
• Active Directory Audit
• Cloud Infrastruktur Audit

Ein externer IT-Infrastruktur Penetrationstest prüft deine aus dem Internet erreichbaren Systeme (Server, VPNs, Mail, Fernzugänge) auf ausnutzbare Schwachstellen und Exposition, die ein Angreifer für einen ersten Zugang nutzen könnte.

Wenn dein System aus dem Internet erreichbar ist, könnte es potenziell von jedem gehackt werden. Okay, ich übertreibe ein bisschen, aber ich denke, du verstehst, was ich meine. Schwachstellen in deiner externen Infrastruktur können zu sehr schlechter Presse führen und die persönlichen Informationen deiner Kunden gefährden. Deshalb ist es besser, auf Nummer sicher zu gehen.

Suchst du eigentlich den internen Test? Dieser Test deckt deine aus dem Internet erreichbaren Systeme ab. Um zu testen, was ein Angreifer tun kann, wenn er bereits einen Fuß in deinem Netzwerk hat, sieh dir den internen IT-Infrastruktur Penetrationstest an.

Umfang

Dieser Test, oft auch externer Netzwerk-Penetrationstest genannt, kann sich auf eine Range von extern zugänglichen IPs konzentrieren. Ein anderer Ansatz ist die Ermittlung deiner externen Angriffsfläche: Welche Informationen kann ein Angreifer über dein Unternehmen herausfinden, und welche Dienste sind aus dem Internet zugänglich, von denen du vielleicht nicht einmal weißt? Folgende Punkte sind der Hauptfokus des Tests:

• Erkennung von Schwachstellen in deiner externen Infrastruktur. VPN-Gateways, Mailserver, RDP-/Citrix-Gateways und andere Fernzugänge sind häufige Einstiegspunkte
• Identifizierung veralteter Software und verwendeter Libraries, einschließlich bekannter CVEs in aus dem Internet erreichbaren Appliances
• Überprüfung auf fehlende Absicherungsmaßnahmen, die dich im Falle einer Schwachstelle schützen können
• Öffentlich zugängliche sensible Informationen, z. B. in Cloud-Speichern, Code-Repositories oder falsch konfigurierten Dateifreigaben
• Unsichere Konfiguration von Diensten

Aus dem Internet erreichbare Appliances sind branchenweit eine wiederkehrende Quelle kritischer Schwachstellen. Ein konkretes Beispiel für diese Schwachstellenklasse zeigt CheckPoint-Schwachstelle mit einem einfachen Kommando ausnutzen.

Optional lässt sich dieser Test um OSINT (Open Source Intelligence) erweitern: die Recherche, welche Informationen ein Angreifer über dein Unternehmen, deine Infrastruktur und deine Mitarbeiterinnen und Mitarbeiter aus öffentlichen Quellen (geleakte Zugangsdaten, exponierte Subdomains, Metadaten, Code-Repositories) gewinnen könnte, noch bevor er ein einziges Paket sendet. Das gehört nicht zum Standardumfang und wird beim Scoping separat vereinbart.

Warum

• Weißt du überhaupt von allen Diensten, die aus dem Internet erreichbar sind?
• Bist du sicher, dass du nicht unbeabsichtigt sensible Daten preisgibst?
• Hast du alle zusätzlichen Sicherheitsmaßnahmen angewendet, die Angriffe verhindern können?
• Sind alle deine Dienste nach den Best Practices konfiguriert?

Warum VidraSec 🦦

Ich bin seit 2017 in Penetrationstests und Red Teaming tätig. In dieser Zeit habe ich viele verschiedene Systeme gesehen und eine Menge Schwachstellen gefunden. Fun Fact: In all dieser Zeit gab es schlechtere und bessere Systeme, aber es gab nie ein System ohne Schwachstellen. Lassen wir uns gemeinsam deine Sicherheit verbessern!

Typische Dauer

2+ Tage Testing (stark abhängig vom Scope, je nach Anzahl der IPs und Dienste). Die Berichtserstellung dauert typischerweise zusätzlich 30 bis 50 % der Testzeit.

Typischer Preis

ab 4.200 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Schwachstellen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Direkt relevant für NIS2 (Artikel 21), ISO 27001 und DSGVO: exponierte Internet-Dienste können direkt personenbezogene Kundendaten gefährden.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Penetrationstest der internen IT-Infrastruktur
• Simulation von Cyberangriffen

Ein Microsoft 365 Audit ist eine rein lesende White-Box-Prüfung deines M365-Tenants (Exchange Online, Teams, SharePoint, Defender und Admin-Rollen), die Fehlkonfigurationen findet, die Phishing, Datendiebstahl oder Kontoübernahmen ermöglichen.

Microsoft 365 ist das produktive Rückgrat der meisten modernen Unternehmen, Exchange Online verwaltet E-Mails, Teams ermöglicht Zusammenarbeit, SharePoint speichert Dokumente und Entra ID verwaltet Identitäten. Eine Fehlkonfiguration in einem dieser Bereiche kann sensible Daten exponieren, Phishing-Angriffe ermöglichen oder unbefugten Zugriff auf Unternehmensressourcen erlauben.

Dieses Audit überprüft die Sicherheitskonfiguration deines Microsoft 365-Tenants mit einem Nur-Lese-Account. Es wird typischerweise als White-Box-Engagement durchgeführt und im Kick-off-Call scopiert. Es ergänzt sich ideal mit einem Entra ID Audit, das sich gezielt auf Identitäts- und Zugriffsverwaltung konzentriert.

Scope

Im Rahmen eines Microsoft 365 Audits werden folgende Bereiche überprüft:

• Exchange Online: Anti-Phishing-Richtlinien, SPF/DKIM/DMARC-Konfiguration, Mail-Transport-Regeln, Connector-Sicherheit, Warnungen bei externen E-Mails
• Teams und SharePoint: externe Freigabeeinstellungen, Gastzugriffsrichtlinien, Berechtigungsüberprüfung von Dokumenten
• Microsoft Defender for Office 365: Richtlinienkonfiguration, Safe Links, Safe Attachments, Bedrohungsschutzeinstellungen
• Admin-Rollen und MFA: Überprüfung globaler Admins und privilegierter Rollen, MFA-Durchsetzung für Admin-Konten
• Microsoft Secure Score: Überprüfung des aktuellen Scores und der wirkungsvollsten Verbesserungsmaßnahmen
• Conditional Access: Überprüfung von Richtlinien zum Schutz von M365-Applikationen

Warum

• Microsoft 365-Umgebungen sind ein bevorzugtes Angriffsziel, Phishing, Business Email Compromise (BEC) und Datendiebstahl nutzen typischerweise Fehlkonfigurationen aus, keine Software-Schwachstellen
• Die Standard-Einstellungen von Microsoft 365 sind nicht gehärtet, viele Unternehmen betreiben erhebliche Sicherheitslücken, ohne es zu wissen
• Ein kompromittierter M365-Tenant kann alle Unternehmens-E-Mails, Dateien und Anmeldedaten exponieren

Warum VidraSec 🦦

Mein Fokus auf Windows, Active Directory und den Microsoft-Identitätsstack erstreckt sich natürlich auch auf Microsoft 365. Die Entra ID- und M365-Schichten sind eng integriert, das eine zu verstehen erfordert das andere. Dieses Audit wird häufig mit einem Entra ID Audit kombiniert, um ein vollständiges Bild der Microsoft-Identitäts- und Produktivitätsumgebung zu erhalten.

Typische Dauer

3-5 Tage (inkl. Berichtserstellung; abhängig vom Scope)

Typischer Preis

ab 7.000 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen identifizierten Fehlkonfigurationen, nach Risiko priorisiert
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Relevant für Unternehmen, die NIS2, ISO 27001 oder TISAX-Compliance anstreben. Die Sicherheitskonfiguration von Microsoft 365 wird zunehmend als Teil von Informationssicherheits-Management-Reviews geprüft.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Entra ID Audit
• Interner IT-Infrastruktur Penetrationstest
• Cloud Infrastruktur Audit

Ein Web Application Penetration Test ist eine manuelle Sicherheitsanalyse einer Webanwendung und ihrer APIs mit Fokus auf die OWASP Top 10: Broken Access Control, Injection, Authentifizierungsfehler und Business-Logik-Schwachstellen.

Deine Webanwendung ist rund um die Uhr aus dem Internet erreichbar, für deine Kunden genauso wie für Angreifer. Oft reicht ein einziger Fehler in der Zugriffskontrolle, und fremde Kundendaten sind abrufbar oder der Server ist übernommen. Genau diese Fehler finde ich, bevor sie jemand ausnutzt.

Umfang

Webanwendungen werden auf die wichtigsten Schwachstellenklassen getestet, mit Fokus auf die OWASP Top 10. Dazu zählen:

• Test der Zugriffskontrolle: Broken Access Control, Privilege Escalation, IDOR (Zugriff auf fremde Daten durch Ändern einer ID im Request)
• Authentifizierungs- und Session-Schwachstellen: schwache Passwort-Reset-Abläufe, Session Fixation, JWT-Fehlkonfiguration
• Injection-Angriffe: SQL Injection, Command Injection, SSTI
• Server-Side Request Forgery (SSRF) und unsichere Deserialisierung
• Business-Logik-Schwachstellen: Fehler im Ablauf der Anwendung, die automatisierte Scanner nicht erkennen, etwa das Überspringen eines Bezahl- oder Freigabeschritts
• Fehlkonfigurationen: Security Headers, TLS-Einstellungen, Fehlermeldungen
• Überprüfung von Drittkomponenten: veraltete Libraries, bekannte CVEs
• Implementierung von Defense-in-Depth-Maßnahmen

Android-App-Testing ist auf Anfrage ebenfalls möglich.

Der genaue Testablauf und die getesteten Komponenten werden in einem Scoping-Termin besprochen.

Warum

• Automatisierte Scanner finden die offensichtlichen Probleme. Zugriffskontroll- und Business-Logik-Schwachstellen, also genau die, die tatsächlich zu Datenlecks führen, brauchen einen menschlichen Tester
• Ein einziger IDOR- oder Broken-Access-Control-Bug kann die gesamte Kundendatenbank offenlegen
• Webanwendungen ändern sich laufend. Ein Test ist eine Momentaufnahme der Sicherheit, und regelmäßiges Testen deckt Regressionen durch neue Features auf

Warum VidraSec 🦦

Martin Grottenthaler, Gründer und leitender Penetrationstester. OSCP, CISSP, GCFA, GWAPT. Penetrationstests seit 2017. Mehr über mich

In den meisten Webanwendungstests finde ich mindestens eine Schwachstelle in der Zugriffskontrolle, über die fremde Daten abrufbar sind, also genau die Art von Schwachstelle, die automatisierte Scanner nicht erkennen. Manuelles Testen bedeutet, dass ich die Logik der Anwendung tatsächlich verstehe, statt mich auf Scanner-Signaturen zu verlassen. Und genau für diese Art von Tests bin ich zertifiziert: GWAPT (GIAC Web Application Penetration Tester).

Typische Dauer

3 bis 5 Tage Testing (abhängig von Größe und Komplexität der Anwendung). Die Berichtserstellung dauert typischerweise zusätzlich 30 bis 50 % der Testzeit.

Typischer Preis

ab 7.000 €

Der endgültige Preis richtet sich nach dem Umfang des Projekts und wird auf Basis des geplanten Aufwands kalkuliert, den das Angebot transparent ausweist (Personentage mal Tagessatz). Der Angebotspreis ist der Endpreis: Liegt der tatsächliche Aufwand etwas über oder unter der Schätzung, bleibt der Preis gleich.

Leistungsumfang

Jedes Engagement umfasst:

• Schriftlichen Ergebnisbericht mit allen Schwachstellen, nach Schweregrad priorisiert, mit Behebungsempfehlungen
• Management Summary, abgestimmt auf deine Zielgruppe (technisch oder für die Geschäftsführung)
• Live-Debriefing zur Besprechung der Ergebnisse und Beantwortung von Fragen
• Nachtest nach Behebung der Schwachstellen auf Anfrage möglich

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Compliance

Relevant für DSGVO (Schutz personenbezogener Kundendaten, die von der Anwendung verarbeitet werden), NIS2 (Artikel 21 umfasst die Sicherheit aller Netz- und Informationssysteme, also auch Webanwendungen) und ISO 27001. Für Unternehmen aus dem Finanzsektor verlangt DORA zusätzlich regelmäßige Sicherheitstests kritischer Anwendungen.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Penetrationstest der externen Infrastruktur

Ein Security Awareness Training schult deine Mitarbeitenden darin, die Angriffe zu erkennen und abzuwehren, die die meisten Sicherheitsvorfälle verursachen: Phishing, Social Engineering und schwache Passwörter, gehalten von einem Pentester, der diese Angriffe selbst durchführt.

Auch als Security-Awareness-Schulung oder Social-Engineering-Schulung bezeichnet.

Ein Großteil der Cyberangriffe beginnt mit einem menschlichen Fehler. Irgendjemand hat ein schwaches Passwort gesetzt oder den falschen E-Mail Anhang geöffnet. Daher ist es unerlässlich, dass alle Mitarbeitenden geschult werden, wie sie sich richtig verhalten.

Der genaue Umfang und die Länge dieses Trainings können individuell festgelegt werden. Typische Trainingsinhalte sind:

1. Einführung in die Bedrohungslage
2. Phishing und Social Engineering
3. Betrug im Internet
4. Passwortsicherheit
5. Veraltete Empfehlungen
6. Social Media Sicherheit

Das Training kann remote oder vor Ort durchgeführt werden.

Warum VidraSec 🦦

Die meisten Security Awareness Trainings werden von jemandem gehalten, der die Angriffe nur kennt, nicht von jemandem, der sie tatsächlich durchgeführt hat. Ich habe Phishing-Kampagnen gegen Unternehmen durchgeführt, MFA umgangen, Zugangsdaten gestohlen und mich unentdeckt durch interne Netzwerke bewegt. Diese direkte Angriffserfahrung prägt die Art, wie das Training vermittelt wird: Die Beispiele sind real, die gezeigten Techniken sind aktuell, und die Erklärungen wirken anders, wenn sie von jemandem kommen, der das tatsächlich macht.

Für nicht-technische Zielgruppen ist eine Live-Demonstration eines Cyberangriffs als Teil des Trainings oder als eigenständiges Format verfügbar. Zu sehen, wie ein echter Angriff abläuft, ist überzeugender als jede Präsentation: wie eine Phishing-E-Mail Filter umgeht, wie Zugangsdaten gestohlen werden, wie ein kompromittiertes Konto zu vollem Netzwerkzugriff führt. Ich habe auf internationalen Sicherheitskonferenzen wie Troopers, IT-SECX und Hacktivity präsentiert, und diese Erfahrung als Speaker fließt direkt in die Trainings ein.

Details zum Live-Demo-Format findest du unter Schulungen & Vorträge.

Format

Einzelne Sessions sollten 1 Stunde nicht überschreiten. Kürzere, fokussierte Einheiten funktionieren besser als lange Vorträge. Bei Gruppen über 15-20 Personen empfiehlt es sich, in kleinere Gruppen aufzuteilen, um das Engagement hoch zu halten.

Typischer Preis

200 € pro Stunde Training

Der schlussendliche Preis richtet sich nach den gewünschten Inhalten, da das Training auf dein Unternehmen und deine Branche angepasst werden muss.

Leistungsumfang

Jedes Engagement beinhaltet eine maßgeschneiderte Trainingseinheit und eine Q&A-Session danach. Kein schriftlicher Pentest-Bericht. Das Ergebnis ist das Wissen, das an dein Team weitergegeben wird.

Compliance

Direkt relevant für NIS2 (Artikel 21: Organisationen müssen sicherstellen, dass Mitarbeitende regelmäßige Sicherheitsschulungen erhalten) und ISO 27001 (Anhang A, Kontrolle A.6.3: Bewusstsein, Schulung und Training zur Informationssicherheit).

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Simulation von Cyberangriffen
• Schulungen & Vorträge

Eine Simulation von Cyberangriffen stellt realistische, durchgängige Angriffsszenarien nach, um zu testen, ob deine Mitarbeitenden, Prozesse und Sicherheitstools einen Angreifer erkennen und darauf reagieren, der bereits im Netzwerk ist.

Auch als Angreifersimulation oder Angriffssimulation bezeichnet.

Dabei werden realistische Angriffsszenarien und typische Angriffswege nachgestellt, um zu validieren, wie gut dein Unternehmen echte Angriffe erkennen und darauf reagieren kann. Ein Penetrationstest findet Schwachstellen in Systemen. Eine Simulation von Cyberangriffen testet, ob deine Mitarbeitenden, Prozesse und Tools einen Angreifer erkennen, der bereits im Netzwerk ist.

Red Team vs. Purple Team

Zwei Ansätze stehen zur Verfügung:

• Red Team (Blue Team nicht informiert): Das Sicherheits- oder IT-Team weiß nicht, dass eine Simulation läuft. Das gibt das realistischste Bild deiner Erkennungs- und Reaktionsfähigkeiten.
• Purple Team (kooperativ): Das Sicherheitsteam arbeitet mit dem Angreifer zusammen. Das ist lehrreicher – ideal für Schulungen, den Aufbau von Erkennungsregeln und die schnelle Verbesserung der Verteidigung.

Welcher Ansatz zu deiner Situation passt, besprechen wir im Kick-off-Meeting.

Typische Szenarien

Die konkreten Szenarien werden im Kick-off gemeinsam festgelegt. Häufige Beispiele:

• Phishing-Simulation – gezielte oder Massen-Phishing-Kampagne zum Test von Mitarbeitererkennung und Meldeprozessen
• Social Engineering – telefonbasiertes oder persönliches Pretexting
• Malwarebefall – simulierte Malware auf einem Endgerät, Test der EDR-Reaktion und Alert-Verarbeitung
• Ransomware-Angriffssimulation – Nachstellung der frühen Phasen eines Ransomware-Angriffs (Erstzugang, Ausbreitung, Zugriff auf Backups), selbstverständlich ohne echte Verschlüsselung von Daten
• Business Email Compromise (BEC) – Impersonation von Führungskräften oder Lieferanten
• Credential-Diebstahl und -Wiederverwendung – Test, ob gestohlene Zugangsdaten Alarme auslösen
• Living-off-the-land-Techniken – Nutzung von eingebauten System-Tools zur Umgehung von Erkennungsmaßnahmen
• Lateral Movement – Test, ob ein Angreifer von einem kompromittierten System auf andere wechseln kann

Leistungsumfang

Anders als bei einem Standard-Pentest liegt der Fokus einer Simulation von Cyberangriffen auf Prozesserkenntnissen neben technischen Findings:

• Was hat den Angriff ermöglicht (oder was hat ihn gestoppt)?
• Werden Alerts überwacht? Wie schnell hat das Team reagiert?
• Hat jemand die Phishing-Mail gemeldet – oder hat jemand die Malware zu VirusTotal hochgeladen und damit den Angreifer gewarnt?
• Welche Erkennungslücken müssen geschlossen werden?

Jedes Engagement beinhaltet einen schriftlichen Bericht, Management Summary und Live-Debriefing.

Sieh dir Beispielberichte an, um einen Eindruck von einem VidraSec-Bericht zu bekommen.

Typische Dauer

3 Tage (reine Phishing-Simulation) bis 3+ Wochen (vollständige Multi-Vektor-Simulation). Abhängig vom Scope.

Typischer Preis

ab 5.600 € (für eine Phishing-Simulation)

Diese Projektart muss sehr genau auf deine Bedürfnisse zugeschnitten sein – der endgültige Preis hängt vom Umfang und dem erforderlichen Aufwand ab und wird individuell kalkuliert.

Compliance

Relevant für NIS2 Artikel 21 – Organisationen müssen über Fähigkeiten zur Erkennung und Reaktion auf Vorfälle verfügen. Eine Simulation von Cyberangriffen testet direkt, ob diese Fähigkeiten funktionieren.

Häufige Fragen

Weitere Fragen zu Preisen, Vorlaufzeiten, NDAs oder Compliance: zu den allgemeinen FAQ

Verwandte Dienstleistungen

• Penetrationstest der internen IT-Infrastruktur
• Security Awareness Training