Schnittstellen prüfen, bevor sie jemand nutzt: Unser Pentest in der Logistik zeigt, über welches Portal, welche EDI-Anbindung oder welchen Scanner Angreifer Ihren Betrieb erreichen können.
Logistik ist Integration. Lagerverwaltung, Hof- und Torsteuerung, Transportmanagement, Telematik und Scanner greifen ineinander, während Verlader, Frachtführer und Empfänger über EDI und APIs direkt angebunden sind. Diese Vernetzung ist die Stärke der Branche und bestimmt zugleich ihre Angriffsfläche.
Angreifer nutzen diese Durchlässigkeit. Ein Partnerzugang, eine API mit zu weiten Rechten oder ein Handscanner mit gespeicherten Zugangsdaten kann genügen, um in Systeme zu gelangen, von denen die Disposition abhängt. Die entscheidende Frage ist, wie weit ein Angreifer von einer Schnittstelle aus kommt und wie schnell der Betrieb danach wieder läuft.
Fehler in Authentifizierung und Mandantentrennung von Portalen und APIs können Sendungsdaten anderer Kunden preisgeben oder Aufträge manipulierbar machen, mit Folgen für Kundenbeziehungen und Haftung. Wir prüfen Rechte, Mandantentrennung und Logik dieser Schnittstellen.
EDI-Gateways, Fernzugänge und Partner-VPNs wachsen mit jedem neuen Kunden. Ein kompromittierter Partner kann sie als Weg zu Ihren Systemen nutzen. Wir prüfen Ihre Seite der Anbindung und zeigen, was ein Angreifer darüber erreichen kann.
Handscanner, Fahrer-Apps und Telematikeinheiten sind außerhalb geschützter Gebäude unterwegs und tragen Zugangsdaten und Verbindungen ins Backend. Wir prüfen, welche Zugänge und Daten ein Finder oder Angreifer daraus gewinnen kann.
Fallen WMS, Fördertechnik oder Torsteuerung aus, steht der Warenfluss. Wie schnell er wieder anläuft, wird selten gemessen. Die Ransomware-Simulation zeigt, wie weit ein Angreifer bis zu WMS und Disposition kommt und ob Ihr Wiederanlauf wie vorgesehen funktioniert.
Regulierte Kunden müssen nach NIS2 ihre Dienstleister bewerten. Wer keine aktuellen Testergebnisse vorlegen kann, riskiert Nachforderungen oder Nachteile bei der Vergabe. Die Prüfbescheinigung belegt Umfang, Zeitraum und Methodik, ohne Befunddetails offenzulegen.
Verkehr gehört zu Anhang I der NIS2-Richtlinie, Post- und Kurierdienste zu Anhang II. In Deutschland ist sie seit dem 6. Dezember 2025 im BSIG umgesetzt. Oft wirken die Anforderungen Ihrer Kunden stärker. Deshalb bereiten wir Ergebnisse auch für deren Lieferantenbewertung auf.
Für Unternehmen, die unter das BSIG fallen, kann der Test zugunsten einer realen Bewertung Teil ihres Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen sein. Partneranbindungen nehmen wir als Teil der Lieferkettensicherheit in den Scope.
Für Betreiber kritischer Verkehrsanlagen ergänzen wir den IT-Test auf Wunsch um physische Zutrittstests an Standorten und Umschlagpunkten. Die Ergebnisse fließen in Risikoanalyse und Resilienzmaßnahmen ein.
Wir stellen die Ergebnisse so dar, dass Sie Anfragen regulierter Kunden nach Art. 21 NIS2 beantworten können, ohne Befunddetails offenzulegen. Die Prüfbescheinigung dokumentiert dafür Umfang, Zeitraum und Methodik.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Logistikdienstleister, die Kundenanfragen zur Sicherheit belegen oder ihren Stand nach NIS2 kennen wollen.
Pentest von außen mit EDI- und Partnerzugängen, dazu ein Test von Anwendung und APIs Ihres wichtigsten Kundenportals. Im Technischen Workshop übergeben wir die Ergebnisse an Ihre IT.
Eine priorisierte Maßnahmenliste für Außenfläche und Kundenportal und ein Beleg, den Sie Kunden vorlegen können.
Unternehmen mit mehreren Standorten, eigener Lager- und Telematiklandschaft und hohem Verfügbarkeitsanspruch.
Ransomware-Simulation mit Startpunkt am Standort oder beim Partner, ergänzt um einen Test der Fahrer- und Scanner-Apps und einen Zutrittstest an einem Umschlagpunkt oder im Lager.
Eine gemessene Aussage zu Angriffspfad, Erkennung und Wiederanlauf, übertragbar auf Ihre weiteren Standorte und Lager.
Logistiknetzwerke mit vielen Standorten und Gesellschaften, die laufend neue Kunden und Partner anbinden.
Laufende Beobachtung neuer Anbindungen und Tests neuer Releases von Kundenportalen und Apps vor dem Go-live. Bei mehreren Gesellschaften als Programm für die ganze Gruppe.
Eine Angriffsfläche, die mit jedem neuen Kunden und Standort kontrolliert wächst, und aktuelle Belege für Ihre Kunden.
Für Transport und Logistik stehen die Schnittstellen im Zentrum, ergänzt um die Frage, wie widerstandsfähig der Betrieb unter Angriff ist.
Kundenportale, Tracking-Anwendungen und APIs für Auftragsdaten testen wir mit Konten mehrerer Mandanten. So zeigt sich, ob ein Kunde fremde Daten sieht.
Jeder neue Kunde kann ein Gateway, einen Fernzugang oder ein VPN mitbringen. Wir prüfen von außen, was davon erreichbar ist, auch vergessene Systeme.
Wir testen Fahrer- und Scanner-Apps nach OWASP MASVS: welche Zugangsdaten auf dem Gerät liegen und was sich damit im Backend erreichen lässt.
Wir spielen den Weg eines Erpressers bis zu WMS und Disposition kontrolliert durch und zeigen, ob Erkennung, Backup und Wiederanlauf greifen.
Lagerhallen, Umschlagpunkte und Höfe sind für Fremdpersonal offen. Wir prüfen, ob sich das Netz vor Ort unbefugt erreichen lässt und ob das auffällt.
Die Prüfbescheinigung beantwortet Lieferantenfragebögen regulierter Kunden mit einem Beleg, den Sie jedem anfragenden Kunden vorlegen können.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Im Scoping klären wir gemeinsam, welche Anbindungen, Standorte und Anwendungen zuerst in den Test gehören.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Ja. Wir stimmen Zeitfenster mit Ihrer Disposition ab, kündigen kritische Schritte vorab an und testen Systeme mit direktem Einfluss auf den Warenfluss in Randzeiten oder an Testinstanzen.
Wir prüfen Ihre Seite der Anbindung: Gateways, Konten, Rechte und Datenflüsse. Systeme eines Partners testen wir nur mit dessen Zustimmung. So sehen Sie, was ein kompromittierter Partner in Ihrer Umgebung erreichen kann.
Für viele Lieferantenanfragen ja. Sie belegt Umfang, Zeitraum und Methodik des Tests, ohne Befunddetails offenzulegen, und eignet sich damit auch für Audits. Sie ist kein Zertifikat einer akkreditierten Stelle. Manche Kunden verlangen ergänzend eine ISO-27001-Zertifizierung.
Das hängt von Tätigkeit und Unternehmensgröße ab: Verkehr gehört zu Anhang I der Richtlinie, Post- und Kurierdienste zu Anhang II. Eine erste Einschätzung liefert die NIS2-Betroffenheitsprüfung des BSI. Bei der Einordnung unterstützt unsere Schwestermarke ProSec Governance. Auch ohne eigene Pflichten können entsprechende Anforderungen über regulierte Kunden an Sie herangetragen werden.
Ein Pentest sucht in einem festgelegten Umfang möglichst viele Schwachstellen. Eine Ransomware-Simulation folgt dem Weg eines Erpressers bis zu den Systemen, von denen Ihr Betrieb abhängt. Die Simulation zeigt zusätzlich, ob Erkennung, Backup und Wiederanlauf greifen. Wie weit sie geht, legen wir im Scoping fest.
Wir prüfen App, Gerätekonfiguration und die Verbindung ins Backend mit Geräten und Testkonten, die Sie uns bereitstellen. Im Fokus steht, welche Zugangsdaten auf dem Gerät liegen und was ein Finder oder Angreifer damit im Backend erreicht. Geräte im laufenden Einsatz bleiben unberührt.
Für Portale und APIs ja: Wir brauchen Testkonten für mindestens zwei Mandanten und die relevanten Rollen. Nur so lässt sich prüfen, ob ein Kunde Daten eines anderen sieht oder ändern kann. Für die Außensicht auf Gateways und Fernzugänge brauchen wir keine Zugangsdaten.
Die Prüfung selbst dauert je nach Umfang wenige Tage bis einige Wochen. Den Umfang bestimmen vor allem die Zahl der Portale, APIs und Partnerzugänge, die Zahl der Mandanten und Rollen und ob Apps, Standorte oder eine Ransomware-Simulation dazugehören. Ein Lagebild Ihrer Anbindungen ist deutlich kleiner als ein Test des Betriebs unter Angriff.
