Kennenlernen
In dieser Phase besprechen wir Ihre Bedürfnisse und Ziele, um den optimalen Rahmen für den Penetrationstest festzulegen.
Fragen & Antworten
Häufige
Fragen.
Haben Sie noch Fragen zu unseren Pentests?
Wie sicher ist meine IT-Infrastruktur?
Selbst mit aktuellen Sicherheitsmaßnahmen können unentdeckte Schwachstellen bestehen. Unsere Penetrationstests identifizieren diese Lücken, bevor sie von Angreifer:innen ausgenutzt werden, und helfen Ihnen, Ihre Sicherheit zu stärken.
Bin ich gegen aktuelle Gefahren geschützt?
Um das Risiko auf Cyberangriffe zu minimieren, sollten alle Systeme auf dem neuesten Stand sein. Wir empfehlen auch regelmäßige Sicherheitsüberprüfungen, wie z. B. Pentests oder Assessments, durchzuführen, um so Sicherheitslücken oder Schwachstellen festzustellen.
Was kann ich tun, um das Risiko für Angriffe zu minimieren?
Regelmäßige Sicherheitsbewertungen und die Konfiguration der Infrastruktur nach Best Practices sind der effektivste Weg, um das Risiko zu senken. Dabei können Assessments oder Audits helfen. Awareness Training und MFA (Multi-Faktor Authentifizierung) reduzieren das Risiko erheblich.
Brauche ich einen Pentest, wenn ich noch keinen Sicherheitsvorfall hatte?
Ja, proaktive Sicherheit ist entscheidend. Ein Pentest zeigt potenzielle Risiken auf und verhindert so mögliche zukünftige Angriffe. Vorbeugung ist immer besser als Reaktion.
Was kostet ein Pentest?
Die Kosten hängen vom vereinbarten Prüfbereich, der Komplexität und dem Testansatz ab. Für ein konkretes Angebot werden die zu prüfenden Systeme oder Anwendungen und die organisatorischen Voraussetzungen abgestimmt. Im Kostenüberblick erfahren Sie, welche Faktoren den Aufwand bestimmen und worauf Sie beim Angebotsvergleich achten sollten.
Kosten und Aufwand im Detail
Von der Vorbereitung zum Bericht
Ablauf in 5 Schritten
Freigabe zum Test
Nach Freigabe und vertraglicher Vereinbarung erhalten wir von Ihnen die offizielle Erlaubnis, mit den Tests zu beginnen.
Auftaktgespräch
Gemeinsam klären wir alle organisatorischen und technischen Details, um den Testablauf effizient und zielgerichtet zu gestalten.
Pentest
Automatisierte Schwachstellenscans liefern erste Hinweise. Im manuellen Penetrationstest prüfen wir die Sicherheitslücken gezielt und bewerten ihre Auswirkungen.
Berichtsbesprechung
Nach Abschluss des Tests erhalten Sie einen detaillierten Prüfbericht. Diesen besprechen wir gemeinsam und geben Empfehlungen zur Schließung der gefundenen Sicherheitslücken.
Kosten eines Pentests
Kosten & Aufwand
Was kostet ein Pentest?
Die Kosten eines Penetrationstests hängen davon ab, welche Systeme oder Anwendungen geprüft werden, wie komplex sie sind und welcher Testumfang vereinbart wird. Ein externer Infrastruktur-Pentest und der Test einer Webanwendung stellen unterschiedliche Anforderungen. Ein belastbares Angebot braucht deshalb einen klar beschriebenen Prüfbereich.
Ein Pentest untersucht diesen vereinbarten Bereich auf Sicherheitslücken. Entscheidend ist, welche Prüfungen das Angebot umfasst und welche Ergebnisse Sie anschließend erhalten. Eine Preisangabe allein macht zwei Angebote noch nicht vergleichbar.
Welche Faktoren bestimmen den Aufwand?
Prüfumfang: Welche Systeme, Anwendungen und Funktionen gehören zum Auftrag? Ebenso wichtig ist die Abgrenzung: Was wird ausdrücklich nicht geprüft? Ein klarer Umfang hilft, den Aufwand zu planen und Ergebnisse richtig einzuordnen.
Komplexität: Unterschiedliche Funktionen und technische Abhängigkeiten beeinflussen die erforderlichen Prüfungen. Bei einer Webanwendung können beispielsweise Benutzerrollen und geschützte Bereiche für die Planung relevant sein. Ob diese Teil des Tests sind, wird vorab vereinbart.
Testansatz und Informationen: Der Aufwand hängt auch davon ab, welche Informationen und Zugänge dem Prüfteam im vereinbarten Testansatz zur Verfügung stehen. Eine Prüfung ohne interne Informationen hat andere Voraussetzungen als eine Prüfung mit bereitgestellter Dokumentation und abgestimmten Testzugängen.
Vorbereitung und Zeitplanung: Ein abgegrenzter Prüfbereich, eine verantwortliche Kontaktperson und abgestimmte Zeitfenster erleichtern die Durchführung. Besondere betriebliche Einschränkungen sollten vor der Angebotserstellung besprochen werden.
Wodurch unterscheiden sich Web-App-Pentest und externer Pentest?
Bei einem Web-App-Pentest steht die vereinbarte Webanwendung im Mittelpunkt. SEC4YOU kombiniert automatisierte Schwachstellenscans mit manuellen Tests auf OWASP Top 10-Risiken und weitere Sicherheitslücken. Für die Aufwandsschätzung sind unter anderem die zu prüfenden Funktionen und der vereinbarte Zugang zur Anwendung relevant.
Ein Pentest der externen Infrastruktur untersucht den vereinbarten, von außen erreichbaren Prüfbereich. Auch hier werden automatisierte Scans und manuelle Prüfungen kombiniert. Welche Systeme dazugehören, wird im Angebot abgegrenzt.
Für die Auswahl der Testart lesen Sie unseren Vergleich Web-Pentest oder externer Pentest. Die Abgrenzung zur automatisierten Prüfung erklärt der Artikel Schwachstellenscan oder Pentest.
Keine der beiden Testarten ist allein aufgrund ihrer Bezeichnung grundsätzlich günstiger. Umfang und Komplexität entscheiden. Wenn Ihr Vorhaben beide Bereiche betrifft, sollten die Prüfziele und die Abgrenzung gemeinsam besprochen werden.
Was sollte im Angebot ausdrücklich stehen?
Vergleichen Sie Pentest-Angebote anhand desselben Prüfbereichs. Ein niedrigerer Gesamtpreis allein sagt nicht, ob dieselben Systeme, Funktionen und Ergebnisse enthalten sind. Diese fünf Fragen helfen beim Vergleich:
- Was wird geprüft? Sind die Systeme oder Anwendungen und die ausgeschlossenen Bereiche eindeutig beschrieben?
- Mit welchen Voraussetzungen wird getestet? Ist festgehalten, welche Informationen und Testzugänge bereitgestellt werden und welche organisatorischen Einschränkungen gelten?
- Welche Ergebnisse erhalten Sie? Sind Prüfbericht, technische Befunde, Empfehlungen und eine mögliche Berichtsbesprechung im angebotenen Umfang beschrieben?
- Was gehört nicht zum Auftrag? Lassen Sie ausdrücklich abgrenzen, ob die technische Behebung der Befunde oder ein späterer Retest separat vereinbart werden müssen.
- Was passiert bei einer Änderung des Prüfbereichs? Klären Sie vorab, wie zusätzlicher Umfang und die damit verbundenen Kosten abgestimmt werden.
Zu den beschriebenen Pentest-Leistungen von SEC4YOU gehören ein Prüfbericht, Empfehlungen zur Behebung und eine gemeinsame Berichtsbesprechung. Maßgeblich ist das konkrete Angebot. Ein Retest oder die technische Behebung einer Schwachstelle ist dadurch nicht automatisch mitbeauftragt.
Welche Ergebnisse ein Bericht verständlich erklären sollte, zeigt der Ratgeber Pentest-Bericht, Maßnahmen und Retest. Angaben zum gewünschten Prüfbereich können Sie mit der Pentest-Checkliste zum Scope vorbereiten.
Ein Red-Team-Einsatz verfolgt ein anderes Prüfziel und lässt sich nicht pauschal mit einem abgegrenzten Pentest vergleichen. Entsprechende Leistungen benötigen eine eigene Abstimmung.
Welche Informationen helfen bei einer Angebotsanfrage?
Für die erste Abstimmung sind folgende Angaben hilfreich:
- Möchten Sie eine Webanwendung, externe Infrastruktur oder beide Bereiche prüfen lassen?
- Wie lässt sich der gewünschte Prüfbereich grob beschreiben?
- Was ist der Anlass und welches Ziel soll die Prüfung unterstützen?
- Welcher Zeitraum ist vorgesehen und welche betrieblichen Einschränkungen gibt es?
- Wer ist die organisatorische Kontaktperson für die weitere Abstimmung?
Für die erste Anfrage genügt eine allgemeine Beschreibung. Senden Sie keine Passwörter, Zugangsdaten oder vertraulichen Schwachstellenberichte über ein öffentliches Kontaktformular. Den Austausch notwendiger technischer Informationen stimmen Sie im weiteren Verlauf ab.
Projekt und Prüfbereich besprechen
Sie planen einen Pentest? Besprechen Sie Ihr Vorhaben mit SEC4YOU. Gemeinsam lässt sich klären, welche Testart und welcher Prüfbereich zu Ihrer Fragestellung passen und welche Angaben für ein konkretes Angebot benötigt werden.