Testet Ihr Dienstleister nur die IP-Liste, die Sie ihm geben, oder auch das, was in der Liste fehlt?
Ein externer Penetrationstest prüft, was von Ihrem Unternehmen aus dem Internet erreichbar ist, auch Systeme, die in keiner Inventarliste stehen. Wir erfassen die Angriffsfläche über DNS, Subdomains und Hosting-Partner und verifizieren ausnutzbare Schwachstellen manuell nach OWASP WSTG und PTES. Befunde ordnen wir nach MITRE ATT&CK ein und bewerten sie nach CVSS.
Die von außen erreichbare Angriffsfläche wächst leise. Ein neuer Cloud-Dienst, ein Testsystem, das online blieb, eine Subdomain eines Dienstleisters, ein Fernzugang, den niemand mehr auf dem Schirm hat. Hier setzen Angreifer an, denn der Perimeter ist der erste Kontaktpunkt und braucht keinen Insiderzugang. Besonders im Blick stehen VPN-Gateways, Firewalls und Fernwartungszugänge, deren Schwachstellen Ransomware-Gruppen gezielt ausnutzen.
Der entscheidende Punkt ist selten die eine spektakuläre Schwachstelle, sondern ein Zusammenspiel mehrerer Faktoren: ein exponierter Login neben geleakten Zugangsdaten, eine veraltete Komponente hinter einem vergessenen DNS-Eintrag. Wir prüfen, welche Schwachstellen in Ihrem Kontext tatsächlich den Weg nach innen öffnen.
Wir ermitteln, welche Systeme, Dienste und Subdomains öffentlich erreichbar sind, inklusive Schatten-IT und Systemen bei Hosting-Partnern. So umfasst der Scope auch Systeme, die intern bisher nicht bekannt oder erfasst waren.
Gefundene Schwachstellen werden im Unternehmenskontext bewertet und verifiziert. Sie erhalten keine ungefilterte Scanner-Liste, sondern eine Einordnung, was ausnutzbar ist und welches Risiko dahintersteckt.
Management-Zugänge, unsauber abgesicherte Fernwartung, offene Verwaltungsschnittstellen und veraltete Softwarestände können Angreifern den Einstieg ermöglichen. Sie stehen im Fokus der Prüfung.
Bei mehreren Standorten oder Gesellschaften prüfen wir, wie sich Systeme gegenseitig exponieren und ob eine Schwachstelle an einer Stelle einen Weg zu einer anderen öffnet.
Auf Wunsch verknüpfen wir Perimeterbefunde mit Erkenntnissen zu exponierten Zugangsdaten, um Passwort-Wiederverwendung an erreichbaren Anmeldediensten sichtbar zu machen.
Ein externer Penetrationstest prüft die aus dem Internet erreichbaren Systeme und Dienste Ihres Unternehmens aus Sicht eines Angreifers ohne Insiderwissen. Im Fokus stehen Firewalls, VPN-Zugänge, Webdienste, Verwaltungsschnittstellen und vergessene Subdomains. Die Prüfung richtet sich an Unternehmen mit Fernzugängen, Portalen oder Cloud-Diensten. Sie endet am Perimeter und lässt sich um die Interne Infrastruktur oder um Darknet Exposure ergänzen. Danach bietet sich ein Technischer Workshop an, bei laufend veränderter Angriffsfläche Pentest as a Service.
Wir legen gemeinsam fest, welche Systeme und Adressbereiche geprüft werden, welche außerhalb des Scopes liegen und wie kritische Befunde unmittelbar gemeldet werden.
Wir erfassen die erreichbare Angriffsfläche aus Sicht eines externen Angreifers, bevor wir aktiv prüfen.
Die Prüfung folgt nachvollziehbaren Angriffspfaden. Jeder Befund wird direkt dokumentiert. Kritische Schwachstellen melden wir unverzüglich, unabhängig vom Berichtsrhythmus.
Vor der Übergabe prüft eine zweite Person Plausibilität und Risikobewertung jedes Befunds.
Sie erhalten einen strukturierten Bericht und eine technische Besprechung, in der wir Befunde und Prioritäten mit Ihrem Team durchgehen.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und die Prüfbescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Jeder Befund wird mit Nachweis, CVSS-Bewertung sowie Auswirkung und Relevanz für Ihre Umgebung dokumentiert. Dazu erhalten Sie eine Übersicht der betroffenen Systeme und Geräte. Alle Befunde sind nachvollziehbar dokumentiert und auf Wunsch in einem Retest überprüfbar.
Ein priorisierter Actionplan mit klaren Verantwortlichkeiten, optional geschärft im Technischen Workshop mit Ihrem Team. Er ist die Grundlage für die Behebung und auf Wunsch begleiten wir die Umsetzung bis zum Retest.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Der Musterbericht zeigt, welche Unterlagen zu einem Pentest gehören und was sie abdecken. Zuschnitt und Umfang der Unterlagen legen wir im Scoping fest. Auf Wunsch erläutern wir das für Ihre Testart in einem kurzen Gespräch, kontaktieren Sie uns hierzu gerne direkt.
„ProSec hat uns im Rahmen des Penetration-Tests ein umfassendes Bild, nicht nur der angefragten Landingpage, sondern auch aller mit der Domain in Verbindung stehender URLs aufgezeigt. Sie haben damit unsere Kundenerwartung übertroffen und durch klare Handlungsempfehlungen (Actionplan) direkt konkrete Maßnahmen aufgezeigt, um die Sicherheit unserer Daten auch langfristig zu gewährleisten.“
Philipp Klein, Vorstand, scan.up AG
Die externe Prüfung endet am Perimeter und zeigt den Stand zum Zeitpunkt des Tests. Je nach Fragestellung lässt sie sich um weitere Prüfungen oder ein laufendes Monitoring ergänzen.
Wenn Sie wissen wollen, wie weit ein Angreifer nach einem erfolgreichen Einstieg am Perimeter kommt, setzt der interne Test an diesem Punkt an.
Zur LeistungWenn die Prüfung mehr unbekannte Systeme zutage fördert als erwartet, hält die laufende Erfassung von Schatten-IT den Bestand danach aktuell.
Zur LeistungWenn der Test erreichbare Anmeldedienste zeigt, klärt der Darknet Scan, ob geleakte Zugangsdaten Ihres Unternehmens dort noch funktionieren.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Für eine belastbare Aussage meist nicht. Ein Scan zeigt bekannte Schwachstellen, aber nicht, welche davon in Ihrem Kontext wirklich einen Weg öffnen, und er erkennt weder Fehlkonfigurationen im Zusammenspiel noch Schatten-IT zuverlässig. Wir prüfen manuell, verifizieren verwertbare Funde und ordnen sie in Angriffsketten ein.
Eine Schwachstellenanalyse findet bekannte Schwachstellen automatisiert und bestätigt die Funde manuell, damit keine Fehlalarme im Bericht landen. Ein Pentest geht weiter: Er nutzt Schwachstellen kontrolliert aus und zeigt, welche Wege tatsächlich in Ihr Netz führen. Die Analyse eignet sich für die regelmäßige Überwachung, der Pentest für eine belastbare Aussage zur Angreifbarkeit.
Externe Tests sind in der Regel unkritisch für den laufenden Betrieb. Wo ein Test dennoch Wirkung auf ein produktives System haben könnte, kündigen wir ihn mit Vorlauf an und stimmen das Zeitfenster ab.
Als Richtwert jährlich, zusätzlich nach größeren Änderungen an der erreichbaren Infrastruktur. Wenn sich Ihre Angriffsfläche häufig ändert, ist ein laufendes Testen im Takt der Veränderung sinnvoller als eine einzelne Prüfung im Jahr.
Ein externer Pentest prüft die Angriffsfläche zu einem Zeitpunkt in der Tiefe, Attack Surface Management beobachtet sie laufend. Der Pentest verifiziert Schwachstellen manuell und bewertet sie im Zusammenhang. Ändert sich Ihre Infrastruktur häufig, ergänzen sich laufende Erfassung und punktuelle Tiefe.
Mindestens Ihre bekannten Domains, IP-Bereiche und die Gesellschaften, die zum Umfang gehören. Den Rest ermitteln wir selbst und gleichen ihn mit Ihnen ab, bevor wir testen. Systeme bei Hosting-Partnern oder Cloud-Anbietern prüfen wir nur, wenn die Freigabe dafür vorliegt.
Kritische Befunde melden wir sofort an Ihren benannten Ansprechpartner und warten damit nicht auf den Bericht. Das gilt besonders für leicht ausnutzbare Schwachstellen an erreichbaren Systemen und für Hinweise auf eine bereits laufende Kompromittierung. Das weitere Vorgehen stimmen wir dann gemeinsam ab.
Aus dem Internet erreichbare Cloud-Ressourcen, die Sie selbst betreiben, gehören zur externen Angriffsfläche und damit in den Umfang. Für SaaS-Dienste Dritter gelten die Testregeln des jeweiligen Anbieters, meist beschränkt auf Ihre eigene Konfiguration. Identitäten und Konfiguration in Entra ID und Microsoft 365 prüfen wir gesondert unter Cloud & Microsoft 365.
Die Durchführung dauert je nach Umfang wenige Tage bis mehrere Wochen. Den Umfang bestimmen vor allem die Zahl erreichbarer Systeme und Dienste, die Zahl der Gesellschaften und Standorte, mitgeprüfte Webanwendungen und besondere Testfenster.
Weitere Hintergründe zur externen Prüfung und zur Schwachstellenanalyse.
Beide Verfahren prüfen die Widerstandsfähigkeit Ihrer IT. Sie unterscheiden sich in Tiefe und Aussagekraft.
| Merkmal | IT-Schwachstellenanalyse | Penetrationstest |
|---|---|---|
| Vorgehen | Automatisierter Scan, Funde manuell bestätigt | Manuelle Prüfung entlang realer Angriffswege |
| Ausnutzung | Nein | Ja, kontrolliert und abgestimmt |
| Tiefe | Breit, eher an der Oberfläche | Tief, auch über mehrere Schwachstellen hinweg |
| Ergebnis | Liste bestätigter Schwachstellen | Angriffswege mit Nachweis und Bewertung nach CVSS |
| Geeignet für | Regelmäßige Überwachung | Belastbare Aussage zur Angreifbarkeit, Nachweis für Dritte |
Ergebnisse einer Schwachstellenanalyse dienen oft als Ausgangspunkt für einen Pentest. Laufend überwachen lässt sich die externe Angriffsfläche mit Attack Surface Management.
Nahezu jedes Unternehmen hat Schnittstellen zum Internet: eine Website, einen Webshop, einen VPN-Zugang für Mitarbeitende oder E-Mail-Dienste. An jeder dieser Stellen können Schwachstellen liegen. Das gilt für Konzerne ebenso wie für den Mittelstand.
