Experten für Penetrationstesting & Red Teaming Services

Wir sind ein Team zertifizierter offensiver Sicherheitsspezialisten mit über 200 durchgeführten Penetrationstests in verschiedenen Branchen. Von Web- und Mobilanwendungen über KI-gestützte Systeme bis hin zu komplexer Infrastruktur – wir identifizieren reale Risiken, bevor Angreifer es tun, und folgen dabei den strengsten Branchenstandards.

Kontaktieren Sie uns

Penetrationstest für Webanwendungen

Wir bewerten die Sicherheit Ihrer Webanwendungen, indem wir manuell Schwachstellen wie Injection-Fehler, Authentifizierungsschwächen, fehlerhafte Zugriffskontrollen und Geschäftslogikfehler identifizieren. Unser Ansatz kombiniert automatisierte Erkennung mit tiefgehender manueller Prüfung, um Probleme aufzudecken, die Scanner übersehen.

Testmodelle: Black-box, Grey-box, White-box
Methodik: OWASP ASVS

Penetrationstest für mobile Anwendungen (Android & iOS)

Wir testen Android- und iOS-Anwendungen auf allen Ebenen – clientseitiger Code, Datenspeicherung, Netzwerkkommunikation und Backend-APIs. Wir bewerten den Schutz vor Reverse Engineering, Certificate Pinning und unsichere Datenverarbeitung, um ein vollständiges Sicherheitsbild Ihres mobilen Produkts zu liefern.

Testmodelle: Black-box, Grey-box, White-box
Methodik: OWASP MASTG

Infrastruktur-Penetrationstest

Wir bewerten interne und externe Netzwerkinfrastruktur, einschließlich Server, Active-Directory-Umgebungen, Cloud-Konfigurationen und Netzwerkgeräte. Unser Ziel ist es, die Auswirkungen realer Angriffspfade zu identifizieren und zu demonstrieren, vom initialen Zugang über laterale Bewegung bis hin zur Rechteeskalation.

Testmodelle: Black-box, Grey-box, White-box
Methodik: PTES

KI / Agentic AI Penetrationstest

Wir testen KI-gestützte Systeme und agentische Anwendungen auf Schwachstellen, die spezifisch für große Sprachmodelle und autonome Agenten sind – einschließlich Prompt Injection, unsicherer Ausgabeverarbeitung, Model Denial of Service, übermäßiger Handlungsfähigkeit und Supply-Chain-Risiken. Dies ist eine aufkommende, aber kritische Disziplin, da KI zunehmend in Produktionssysteme integriert wird.

Testmodelle: Black-box, Grey-box, White-box
Methodik: OWASP LLM Top 10, OWASP Top 10 for Agentic Applications

Red Teaming

TIBER-EU-konforme Methodik – der europäische Standard für nachrichtendienstbasierte Red-Team-Tests
Proprietäre hauseigene Tools, entwickelt zur Nachbildung des Handwerks fortgeschrittener Bedrohungsakteure

Red-Team-Übungen simulieren den gesamten Lebenszyklus eines ausgeklügelten Angriffs auf Ihre Organisation – von der ersten Aufklärung und Phishing über Persistenz, laterale Bewegung bis hin zur Zielerreichung. Im Gegensatz zu isolierten Penetrationstests prüfen Red-Team-Operationen Ihre Mitarbeiter, Prozesse und Technologie ganzheitlich und liefern eine ehrliche Bewertung Ihrer Erkennungs- und Reaktionsfähigkeiten. Wir richten unsere Engagements am TIBER-EU-Framework aus, dem europäischen Standard für nachrichtendienstbasierte Red-Team-Tests von Finanzinstituten und kritischen Organisationen, und gewährleisten rigorose Scoping-, Threat-Intelligence- und Reporting-Prozesse. Wir entwickeln und setzen auch proprietäre, hauseigene Tools ein, um moderne Sicherheitskontrollen zu umgehen und das Handwerk fortgeschrittener Bedrohungsakteure nachzubilden – um Ihnen die realistischste Simulation zu bieten.

Haben Sie Fragen?

Finden Sie nachfolgend Antworten auf die häufigsten Fragen zu unseren Dienstleistungen. Haben Sie noch Fragen? Kontaktieren Sie uns direkt.

Kontaktieren Sie uns

Ein Penetrationstest ist eine zeitlich begrenzte, umfangsdefinierte Bewertung, die darauf abzielt, möglichst viele Schwachstellen in einem bestimmten System oder einer Anwendung zu identifizieren. Eine Red-Team-Übung ist eine umfassendere, zielbasierte Simulation eines realen Bedrohungsakteurs – sie testet die Fähigkeit Ihrer gesamten Organisation, einen ausgeklügelten, mehrstufigen Angriff zu erkennen und darauf zu reagieren. Penetrationstests sind ideal für Compliance und technische Absicherung; Red-Team-Übungen zeigen, ob Ihre Sicherheitsoperationen unter realistischen Bedingungen tatsächlich funktionieren.

Die Dauer hängt vom Umfang und der Komplexität des Ziels ab. Ein fokussierter Webanwendungstest dauert in der Regel zwischen 5 und 10 Arbeitstagen. Infrastrukturbewertungen oder Tests mobiler Anwendungen können je nach Anzahl der im Umfang enthaltenen Assets variieren. Wir geben immer eine klare Zeitschätzung in der Scoping-Phase ab, bevor ein Engagement beginnt.

Sie erhalten einen umfassenden schriftlichen Bericht mit einer Zusammenfassung für das Management und einem detaillierten technischen Abschnitt für Ihre Entwicklungs- oder IT-Teams. Jeder Befund wird mit einer Beschreibung, Nachweisen, einer Risikobewertung und klaren Empfehlungen zur Behebung dokumentiert. Wir bieten auch ein Nachbesprechungsgespräch an, um die Ergebnisse durchzugehen und Fragen zu beantworten.

Wir beginnen jedes Engagement mit einem Scoping-Gespräch, um die Zielsysteme, das gewünschte Testmodell (Black-Box, Grey-Box oder White-Box) und alle Einsatzregeln zu definieren. Für White-Box- oder Grey-Box-Tests können Sie Dokumentation, Zugang zum Quellcode oder Testanmeldedaten bereitstellen – aber wir können auch in einem Black-Box-Szenario mit minimalen Informationen effektiv arbeiten.

Ja. Wir beinhalten einen erneuten Testzyklus als Bestandteil unseres Standard-Engagements, um zu überprüfen, dass identifizierte Schwachstellen korrekt behoben wurden. Nach Überprüfung der von Ihnen implementierten Korrekturen testen wir die betroffenen Bereiche erneut und stellen einen aktualisierten Bericht bereit, der den Behebungsstatus bestätigt.

Black-Box simuliert einen externen Angreifer ohne Insiderwissen – ideal für die Bewertung Ihres externen Perimeters. Grey-Box bietet teilweises Wissen (z. B. Benutzeranmeldedaten oder grundlegende Architekturdokumentation) und ist der häufigste Ausgangspunkt, der Realismus und Effizienz ausbalanciert. White-Box gibt dem Tester vollen Zugang zum Quellcode und zur Architektur und ermöglicht die tiefgehendste und umfassendste Prüfung. Wir beraten Sie gerne über den besten Ansatz für Ihre spezifischen Ziele und Ihr Risikoprofil.

Vertraulichkeit ist grundlegend für jedes Engagement. Wir unterzeichnen vor Beginn jeder Arbeit eine Geheimhaltungsvereinbarung (NDA). Alle während des Tests gesammelten Daten werden sicher behandelt, nur so lange wie nötig gespeichert und niemals an Dritte weitergegeben. Wir besprechen auch gerne spezifische Anforderungen an die Datenverarbeitung, wenn Ihre Organisation besonderen regulatorischen oder vertraglichen Verpflichtungen unterliegt.

Unsere Zertifikate

Die folgenden bekannten Branchenzertifikate, die uns verliehen wurden, bestätigen unsere Kompetenzen im Bereich der Technologie.

INE Security / eLearnSecurity

ePTXv2 (eLearnSecurity Penetration Tester eXtreme)

INE Security / eLearnSecurity

eWPTXv2 (eLearnSecurity Web Application Penetration Tester eXtreme)

INE Security / eLearnSecurity

eCTHPv2 (eLearnSecurity Threat Hunting Professional)

INE Security / eLearnSecurity

eWPT (eLearnSecurity Web Application Penetration Tester)

INE Security / eLearnSecurity

eMAPT (eLearnSecurity Mobile Application Penetration Tester)

INE Security / eLearnSecurity

eCXD (Certified eXploit Developer)

Pentester Academy

CRTE (Certified Red Team Expert)

Pentester Academy

CRTP (Certified Red Team Professional)

CompTIA

Security+

Cisco

CCNA

Cisco

CCNA Security

Bereit, Ihre Sicherheitslage zu stärken?

Maßgeschneidertes Scoping – wir gestalten jedes Engagement nach Ihren Zielen
Klare, umsetzbare Berichte für technische Teams und Management
Erneuter Test inklusive, um die Wirksamkeit Ihrer Korrekturen zu bestätigen

Kontakt aufnehmen

Maßgeschneidertes Scoping – wir gestalten jedes Engagement nach Ihren Zielen
Klare, umsetzbare Berichte für technische Teams und Management
Erneuter Test inklusive, um die Wirksamkeit Ihrer Korrekturen zu bestätigen

Neueste Beiträge in unserem Blog

2026-04-20

Cybersecurity

API Security: The Biggest Risk in Modern Applications

This article examines how APIs replaced browsers as the true security perimeter in modern application architectures. It explains why traditional web security fails, which API vulnerabilities drive real breaches, and how organizations can embed API security into SDLC

Krystian Piwowarczyk

2026-03-23

Red Teaming

DLL Sideloading - beyond classic DLL Hijacking - Red team diaries

This article examines how DLL hijacking has evolved from a crude exploit technique into subtle abuse of legitimate extensibility in trusted Windows applications. It explains why signed software and modern protections shift, rather than eliminate, DLL loading risks and offers practical guidance for detection and mitigation. This is the first in a series of articles on DLL Hijacking.

Krystian Piwowarczyk

2026-03-02

Cybersecurity

Zero Trust security explained: moving beyond the perimeter

This article explains why perimeter-based security models fail in modern environments and how Zero Trust Security addresses those weaknesses. It covers principles, architecture components, implementation phases, and real-world scenarios. The focus is on identity-driven access, continuous verification, and practical adoption strategies.

Krystian Piwowarczyk

2026-01-26

Cybersecurity

Healthcare Cybersecurity as a Patient Safety Imperative

This article explores how modern cyber threats directly impact patient safety in healthcare environments. It examines the healthcare threat landscape, data sensitivity, EHR and medical device security, and the role of regulation in building real cyber resilience.

Krystian Piwowarczyk

2025-03-24

Cybersecurity

What is the cost of a cybersecurity data breach?

Discover the true cost of a cybersecurity data breach—from financial losses to reputational damage. This guide explores real-world incidents, defense strategies, and emerging cybersecurity trends to help businesses safeguard their digital assets.

Krystian Piwowarczyk

2025-03-10

Red Teaming

How to create LSASS memory dump? - Red team diaries

Learn how attackers dump LSASS memory to steal credentials and how to defend against it. This post covers key attack techniques, mitigation strategies like Credential Guard and PPL, and detection methods using Splunk, ELK, and Sysmon. Both Red Team and Blue Team perspective are presented.

Krystian Piwowarczyk

2025-02-16

Cybersecurity Cryptology

General Overview of Cryptographic Algorithms

The article covers several types of cryptographic algorithms, detailing symmetric and asymmetric ciphers, stream and block ciphers, hash functions, and digital signatures. It discusses the characteristics, functionalities, and modern examples of each type, providing a comprehensive overview of these important components of cryptography.

Krystian Piwowarczyk

2025-02-01

Cybersecurity Cryptology

An illustrated description of the AES Standard

This article provides an illustrated description of the AES Standard, examining its history, adoption process, and the inner workings of its Rijndael algorithm. Detailed explanations and technical insights are offered into its encryption rounds, transformations, and key expansion process.

Krystian Piwowarczyk

2025-01-27

Cybersecurity

Exploring Different Types of Security Tests: A Comprehensive Guide

Security testing is crucial for any organization aiming to safeguard their digital assets. This guide provides a comprehensive understanding of the different types of security tests available, empowering organizations with the necessary insights to choose the right security protocols catering to their specific needs.

Krystian Piwowarczyk

Weitere Blogbeiträge

Experten für Penetrationstesting & Red Teaming Services

Penetrationstest für Webanwendungen

Penetrationstest für mobile Anwendungen (Android & iOS)

Infrastruktur-Penetrationstest

KI / Agentic AI Penetrationstest

Red Teaming

Haben Sie Fragen?

Was ist der Unterschied zwischen einem Penetrationstest und einer Red-Team-Übung?

Wie lange dauert ein typischer Penetrationstest?

Welche Ergebnisse erhalten wir nach dem Engagement?

Welche Informationen benötigen Sie von uns, um einen Penetrationstest zu starten?

Bieten Sie nach der Behebung einen erneuten Test an?

Welches Testmodell – Black-Box, Grey-Box oder White-Box – ist das richtige für uns?

Wie stellen Sie die Vertraulichkeit unserer Daten während des Engagements sicher?

Unsere Zertifikate

INE Security / eLearnSecurity

ePTXv2 (eLearnSecurity Penetration Tester eXtreme)

INE Security / eLearnSecurity

eWPTXv2 (eLearnSecurity Web Application Penetration Tester eXtreme)

INE Security / eLearnSecurity

eCTHPv2 (eLearnSecurity Threat Hunting Professional)

INE Security / eLearnSecurity

eWPT (eLearnSecurity Web Application Penetration Tester)

INE Security / eLearnSecurity

eMAPT (eLearnSecurity Mobile Application Penetration Tester)

INE Security / eLearnSecurity

eCXD (Certified eXploit Developer)

Pentester Academy

CRTE (Certified Red Team Expert)

Pentester Academy

CRTP (Certified Red Team Professional)

CompTIA

Security+

Cisco

CCNA

Cisco

CCNA Security

Bereit, Ihre Sicherheitslage zu stärken?

Neueste Beiträge in unserem Blog