This page is also available in English.
Wie sicher sind deine IT-Systeme wirklich? Ein Penetrationstest zeigt, wo Angreifer ansetzen würden – bevor es zu spät ist
Ein Penetrationstest (kurz „Pentest“) ist eine Sicherheitsanalyse eines oder mehrerer IT-Systeme. Dabei versucht ein IT-Sicherheitsexperte („Pentester“) in der zur Verfügung stehenden Zeit möglichst viele Schwachstellen aufzudecken. Dabei werden die gleichen Tools und Vorgehensweisen benutzt, wie sie auch echte Angreifer einsetzen. Das Ergebnis eines Penetrationstests ist ein ausführlicher Bericht mit gefundenen Schwachstellen, geordnet nach Schweregrad, und empfohlenen Maßnahmen, um sie zu beheben.
Ein Cyberangriff ist teuer! Jetzt vorsorgen und nachts besser schlafen!
Typischer Preis: ab 6.000,00 €
Jedes IT-System ist anders. Ein Penetrationstest der internen IT-Infrastruktur erfordert beispielsweise eine komplett andere Vorgehensweise und Tools als ein Penetrationstest einer Webapplikation.
Ransomware-Angriffe nehmen zu, und diejenigen mit der höchsten Auswirkung übernehmen das gesamte Active Directory. Wir müssen dieses Systeme sichern, um das Risiko, dass unsere Daten verschlüsselt und im Internet zum Verkauf angeboten werden, zu minimieren!
Was, wenn eine deiner Mitarbeiterinnen oder Mitarbeiter auf den falschen E-Mail-Anhang klickt? Wirst du in der Lage sein, den Angriff zu stoppen, oder werden die Angreifer von dort aus weiter im Netzwerk bewegen und alle deine Systeme übernehmen können? Deshalb solltest du einen Penetrationstest der internen Infrastruktur durchführen. Das interne System ist nur einen falschen Klick davon entfernt, „öffentlich“ zu sein.
Cloud-Services bieten enorme Flexibilität – aber diese Flexibilität bringt auch Risiken mit sich. Falsch konfigurierte Storage Buckets, zu weitreichende IAM-Rollen und exponierte Management-Schnittstellen zählen zu den häufigsten Ursachen für Cloud-Sicherheitsvorfälle. Ein Cloud Infrastruktur Audit prüft deine Cloud-Umgebung mit einem Nur-Lese-Account, um genau diese Schwachstellen zu finden – bevor Angreifer es tun.
Unterstützte Plattformen: Azure, AWS und GCP.
EntraID (Microsoft Entra ID) ist die zentrale Lösung von Microsoft für Identitäten und Zugriff – vor allem in Microsoft-365-Umgebungen. Sie ermöglicht Single Sign-On (SSO) und die Zugriffsverwaltung. Fehlkonfigurationen können zu unberechtigten Zugriffen oder erleichterten Social-Engineering-Angriffen führen. Deshalb ist ein gründliches Testen dieser Komponente wichtig.
Wenn dein System dem Internet aus dem Internet erreichbar ist, könnte es potenziell von jedem gehackt werden. Okay, ich übertreibe ein bisschen, aber ich denke, du verstehen, was ich meine. Schwachstellen in deiner externen Infrastruktur können zu sehr schlechter Presse führen und die persönlichen Informationen deiner Kunden gefährden. Deshalb ist es besser, auf Nummer sicher zu gehen.
Schwachstellen in Webanwendungen können sehr problematisch werden. Im schlimmsten Fall wird der komplette Webserver übernommen oder vertrauliche Kundendaten gestohlen. Daher ist es besonders wichtig, diese Anwendungen ausführlich zu testen.
Projekte werden immer auf deine spezifische Situation zugeschnitten, aber das sind häufige Ausgangspunkte:
Interne Sicherheitsüberprüfung Ein interner IT-Infrastruktur-Penetrationstest (enthält Active-Directory-Testing aus Angreifersicht) ist der Kern. Für eine tiefere, White-Box-Analyse der AD-Konfiguration wird ein Active Directory Audit ergänzt.
Identitätsfokussiert (Microsoft-Stack) Ein Entra ID Audit kombiniert mit einem Microsoft 365 Audit deckt die gesamte Microsoft-Identitäts- und Produktivitätsumgebung ab, die häufigste Kombination für Organisationen, die auf Microsoft 365 setzen.
Externe Angriffsfläche prüfen Ein externer IT-Infrastruktur-Penetrationstest bewertet, was aus dem Internet sichtbar ist. Häufig mit einem internen Pentest kombiniert für ein vollständiges Bild der Angriffsfläche.
Anwendungssicherheit Ein Web Application Penetrationstest fokussiert sich auf eine spezifische Webanwendung oder API. Das ist eigenständig, ein separates Engagement vom Infrastruktur-Testing.
Erkennung und Reaktion validieren Eine Simulation von Cyberangriffen testet, ob dein Team und deine Tools einen Angreifer tatsächlich erkennen. Typischerweise nach dem Aufbau einer Sicherheitsbasis durch Pentests und Audits durchgeführt.
Siehst du nicht genau, was du brauchst? Alle Projekte werden sowieso individuell scopiert, nimm einfach Kontakt auf.
Neu beim Thema Penetrationstest oder unsicher beim Scoping? Der Penetrationstest-Käuferguide erklärt, was ein Pentest wirklich ist, wie du die richtige Methodik wählst und welche Fehler am häufigsten gemacht werden.
martin@vidrasec.com | +43 670 3081275 | +43 670 3081275 | Termin auswählen |