Audit oder Zertifizierung mit Termin
Sie brauchen einen aktuellen Testnachweis; wir planen vom Termin rückwärts.
Security Assessments & Penetrationstests
Lassen Sie belegen, wie gut Ihre IT einem Angriff standhält.
Sie erfahren, wie weit ein Angreifer in Ihrer Umgebung käme, mit einem Bericht für Geschäftsführung, IT und Prüfer. Wir testen Entra ID, Microsoft 365, Azure und Active Directory und ordnen jeden Befund NIS2, ISO 27001 und BSI IT-Grundschutz zu.
Beispiel eines Befunds mit Priorität hoch: ein Angriffspfad von einer Phishing-Mail über die Identität und das Gerät bis zu vertraulichen Daten. Der Nachweis ist reproduzierbar dokumentiert und NIS2, ISO 27001 und BSI IT-Grundschutz zugeordnet. Nach der Behebung endet der Pfad bei der Identität, der Re-Test bestätigt es.
- Für wen
- Unternehmen ab 50 Mitarbeitenden auf Microsoft 365
- Umfang
- Microsoft 365 und Entra ID, optional Azure und Active Directory
- Vorgehen
- Nur mit schriftlicher Freigabe, Kritisches melden wir sofort
- Ergebnis
- Bericht mit Management-Summary und Control-Mapping, optional Re-Test
- Preis
- ab 5.900 € netto, Festpreis nach Scoping
Kennen Sie das?
Ein Kunde verlangt einen Testbericht
Lieferantenbewertungen fragen nach einem aktuellen Pentest mit Umfang und Methode.
Zweifel am „alles im grünen Bereich“
Ihre IT meldet, alles sei in Ordnung, kann es aber nicht belegen.
Angriffspfad, Beispiel
Wie weit käme ein Angreifer?
Ein Pentest sucht Wege, nicht einzelne Lücken. Jede Stufe auf dem Weg wird ein Befund mit Priorität. Schalten Sie um und sehen Sie, wo der Pfad nach der Behebung endet.
-
1 Phishing-Mail
Gefälschter Absender landet im Postfach DMARC und Schutzrichtlinien greifen
Priorität mittel Behoben
-
2 Identität
Passwort und SMS-Code genügen zur Anmeldung Phishingresistente MFA ist Pflicht
Priorität kritisch Pfad endet hier
-
3 Gerät
Anmeldung auch von fremden Geräten Zugriff nur von konformen Geräten
Priorität hoch Nicht erreichbar
-
4 Adminrechte
Dauerhafte Adminrolle am Konto Adminrollen nur auf Zeit über PIM
Priorität hoch Nicht erreichbar
-
Vertrauliche Daten
Lesbar mit den erlangten Rechten Kein Zugriff über diesen Pfad
Erreicht Nicht erreichbar
Im Bericht
Der Pfad mit Nachweis, jede Stufe als Befund mit Priorität, zugeordnet zu NIS2, ISO 27001 und BSI IT-Grundschutz. Kritisches melden wir sofort. Der Re-Test bestätigt, dass der Pfad bei der Identität endet. Der Bericht belegt es gegenüber Prüfern, Kunden und Versicherern.
White-Box oder Grey-Box, je nach Ziel. Tests in der Microsoft Cloud folgen den Microsoft Cloud Rules of Engagement.
Aus unserem Webinar
MFA umgangen: 3 Angriffe auf Microsoft 365 mit Evilginx
Die Aufzeichnung zeigt an einem Testtenant drei Angriffe, die eine Anmeldung trotz Multi-Faktor-Authentifizierung übernehmen, und was sie stoppt: phishing-resistente Anmeldung, Postfach-Auditing und kontrollierte App-Zustimmungen. Gezeigt wird die Wirkung, keine Anleitung.
Umstieg auf Passkeys mit Conditional AccessWas wir prüfen
Entra ID
MFA-Stärke, Conditional Access, PIM, App-Consent und Wege vom Benutzer zum Admin.
E-Mail und Freigaben
Defender for Office 365, SPF, DKIM, DMARC, Freigaben und Postfach-Auditing.
Azure
RBAC, aus dem Internet erreichbare Dienste, Segmentierung und Protokolle.
Active Directory
Tiering, Dienstkonten, Delegierungen, Zertifikatsdienste und Entra Connect.
Phishing-Resilienz
Optional, schriftlich abgegrenzt, ausgewertet nach Schutzmaßnahmen statt Personen.
Wie läuft ein Penetrationstest ab?
-
Schriftlich
Scope und Freigabe
Ohne Ihre schriftliche Autorisierung beginnt kein Test.
-
Testfenster
Zeitraum, Ansprechpersonen und Abbruchkriterien stehen vorher fest.
-
Sofortmeldung
Kritische Befunde melden wir sofort an die vereinbarte Ansprechperson.
-
Bericht
Risikobewertung, Reproduktionsnachweis und Mapping je Befund.
-
Workshop und Re-Test
Behebung mit Ihrer IT festlegen, optional per Re-Test bestätigen.
Steht ein Audit oder eine Kundenanfrage an?
Wir klären Anlass, Umfang und ob ein Gap Assessment oder Pentest passt.
Was Sie nach dem Test erhalten
Management-Summary
Das Gesamtbild für die Geschäftsführung, ohne Fachjargon.
Priorisierte Befunde
Mit Risikobewertung, Nachweis und Behebungsrichtung.
Control-Mapping
NIS2, ISO 27001 und BSI IT-Grundschutz für Ihre Nachweisführung.
Testbericht für Dritte
Für Prüfer, Kunden und Versicherer; Testkonten werden entfernt.
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Security Assessment und einem Penetrationstest?
Ein Security Assessment wie unser Gap Assessment vergleicht Ihre Konfiguration mit Baselines. Ein Penetrationstest prüft aktiv, ob ein Angreifer Schwächen ausnutzen und verbinden kann.
Wie lange dauert ein Penetrationstest für Microsoft 365 und Entra ID?
Das hängt vom Umfang ab, etwa ob Azure und Active Directory dazugehören. Nach dem Erstgespräch nennen wir einen verbindlichen Zeitplan.
Stört ein Pentest den laufenden Betrieb?
Ein abgestimmter Pentest ist so geplant, dass der Betrieb weiterläuft. Prüfungen, die die Verfügbarkeit beeinträchtigen könnten, gibt es nur nach ausdrücklicher Freigabe.
Brauche ich einen Pentest für NIS2 oder ISO 27001?
Beide schreiben ihn nicht wörtlich vor, verlangen aber, die Wirksamkeit der Maßnahmen zu prüfen. Ein dokumentierter Pentest ist einer der direktesten Belege, üblich ist ein jährlicher Zyklus.