Pentest für Behörden und Kommunen, abgestimmt auf den BSI-IT-Grundschutz: Wir prüfen Onlinedienste, Fachverfahren und Verwaltungsnetz. Das Angebot bereiten wir vergabefähig auf.
Die öffentliche Verwaltung arbeitet unter Bedingungen, die in der Wirtschaft kaum jemand kennt: gewachsene Fachverfahren, geteilte Zuständigkeiten zwischen Behörde, kommunalem IT-Dienstleister, Land und Bund, Haushaltszyklen und eine Personaldecke, die selten zu den Aufgaben passt. Gleichzeitig wollen Aufsicht, Rechnungsprüfung und Gremien Belege, dass die Absicherung wirkt. Ransomware-Fälle in Kommunen haben gezeigt, was ein Ausfall für Bürgerservices bedeutet.
Aus Angreifersicht bieten vor allem die Übergänge Ansatzpunkte: zwischen Verwaltungsnetz und Fachverfahren, zwischen Onlinedienst und Backend sowie zu Schul- und Eigenbetriebsnetzen. Hinzu kommen die Fernzugänge der Hersteller.
Fallen Fachverfahren und Onlinedienste nach einem Angriff aus, können Bürger und Unternehmen Leistungen der Verwaltung nicht mehr nutzen. Wir prüfen, wie weit ein Angreifer nach einem erfolgreichen Phishing im Verwaltungsnetz kommt.
Rechte- und Mandantenfehler in Fachverfahren und OZG-Diensten können personenbezogene Daten offenlegen, mit Folgen für Datenschutz und das Vertrauen in die Verwaltung. Wir prüfen Rollen und Logik dieser Anwendungen auf Fehler, die automatisierte Scanner in der Regel nicht erkennen.
Hersteller und Dienstleister warten Fachverfahren oft aus der Ferne. Jeder dieser Zugänge kann zum Einstieg ins Verwaltungsnetz werden. Wir klären Freigaben vor dem Test und prüfen, was ein Angreifer über einen solchen Zugang erreichen kann.
Sind Schul- und Eigenbetriebsnetze nicht sauber getrennt, kann sich ein Vorfall von dort in die Kernverwaltung ausbreiten. Wir prüfen diese Übergänge aus Sicht eines kompromittierten Arbeitsplatzes.
Liegt ein Teil der Infrastruktur beim kommunalen IT-Dienstleister, bleiben Schwachstellen ohne klare Zuordnung leicht offen. Wir dokumentieren Befunde getrennt nach Verantwortungsbereich, damit Sie sie gezielt adressieren können.
Für Einrichtungen der Bundesverwaltung gilt seit dem 6. Dezember 2025 das BSIG in der Fassung des NIS2-Umsetzungsgesetzes. Länder und Kommunen orientieren sich häufig am BSI IT-Grundschutz. Wir legen den Test so an, dass er die Wirksamkeit umgesetzter Anforderungen belegt.
Prüfziele leiten wir aus den Bausteinen ab, die für Ihren Informationsverbund relevant sind. Jeder Befund verweist auf die betroffenen Bausteine des Kompendiums und fließt so direkt in Ihren IT-Grundschutz-Check ein.
Für Kommunen im Einstieg richten wir den Test an den Themen der WiBA-Prüfkataloge aus. Der Bericht zeigt, welche als umgesetzt markierten Punkte auch technisch wirksam sind und was vor dem Schritt zur Basis-Absicherung noch offen ist.
Für Einrichtungen der Bundesverwaltung kann der Test Teil ihrer Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen nach § 30 BSIG sein. Umfang, Zeitraum und Methodik belegt die Prüfbescheinigung.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Verwaltungen, die ihren Stand belegen und eine belastbare Grundlage für Haushaltsanträge und Gremienbeschlüsse schaffen wollen.
Die Basis bildet ein Pentest von außen, ergänzt um einen Anwendungstest für ein zentrales Fachverfahren oder einen Onlinedienst. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Behördenleitung und Ihren Gremien.
Eine priorisierte Maßnahmenliste mit Bezug zu den Bausteinen des IT-Grundschutzes und eine Vorlage für Ihre Gremien.
Verwaltungen mit umgesetzter Basis-Absicherung, die prüfen wollen, ob die Maßnahmen auch im Inneren des Netzes wirken.
Wir testen das Verwaltungsnetz mit Active Directory ab einem kompromittierten Arbeitsplatz und messen datenschutzkonform die Awareness. Im Technischen Workshop erhalten IT-Team oder Dienstleister die Befunde.
Belegte Angriffspfade im Verwaltungsnetz und eine messbare Ausgangslage, an der Sie die Sensibilisierung ausrichten.
Behörden, Landeseinrichtungen und kommunale IT-Dienstleister mit wiederkehrender Prüfpflicht und neuen Fachverfahren.
Dazu gehören Tests neuer Fachverfahren und Releases, Nachtests als Behebungsnachweis und eine jährliche Prüfbescheinigung. Die Reihenfolge der Maßnahmen planen wir abgestimmt auf Haushaltsplanung und Grundschutz-Profile.
Prüfungen werden Routine, mit einem Audit-Trail vom Befund bis zur Schließung, den die Rechnungsprüfung nachvollziehen kann.
Für Behörden, Kommunen und kommunale IT-Dienstleister empfehlen wir Leistungen, die sich klar beschreiben, abgrenzen und vergleichbar beschaffen lassen.
Onlinedienste, Portale, E-Mail-Systeme und Fernzugänge sind der erste Kontaktpunkt eines Angreifers. Die Außensicht zeigt auch vergessene Systeme aus Projekten.
Fachverfahren und OZG-Dienste verarbeiten Bürgerdaten über Rollen und Mandanten. Wir prüfen, ob eine Rolle Daten sieht oder ändert, die ihr nicht zustehen.
Vom Standardkonto aus zeigen wir die Pfade durch das Active Directory und prüfen, ob die Trennung zu Schul- und Eigenbetriebsnetzen hält.
Wir prüfen, ob Beschäftigte Phishing oder unbefugten Zutritt erkennen und über die vorgesehenen Wege melden. Die Auswertung erfolgt pseudonymisiert.
Die Prüfbescheinigung belegt Umfang, Zeitraum und Methodik gegenüber Rechnungsprüfung, Aufsicht und Gremien, ohne Befunddetails offenzulegen.
Die Management-Präsentation übersetzt die Befunde in eine Vorlage für Verwaltungsspitze, Ausschuss oder Rat, mit priorisierten Maßnahmen.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Wir klären Umfang, Abgrenzung und Rahmenbedingungen mit Ihnen und erstellen daraus ein Angebot, das in Ihr Vergabeverfahren passt.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Ja. Wir beschreiben Leistungsumfang, Methodik, Abgrenzung und Ergebnisdokumente so, dass die Angaben in Ihre Vergabeunterlagen passen und mit anderen Angeboten vergleichbar sind. Umfang und Zuschnitt legen wir vorher im Scoping gemeinsam fest.
Wir klären vor dem Test, welche Systeme Sie freigeben dürfen und wo Hersteller oder Dienstleister zustimmen müssen. Befunde in deren Verantwortungsbereich dokumentieren wir getrennt, damit Sie sie gezielt adressieren können.
Tests an produktiven Systemen stimmen wir mit Ihnen und Ihrem Dienstleister ab. Kritische Prüfschritte kündigen wir vorab an und legen sie bei Bedarf außerhalb der Servicezeiten. Kritische Befunde melden wir unverzüglich an die benannten Ansprechpartner.
Eine bundesweite Pentest-Pflicht für Kommunen gibt es nicht. Die Informationssicherheit der Kommunalverwaltung regeln die Länder, kommunale Eigenbetriebe können aber unter das BSIG fallen. Wer sich am BSI IT-Grundschutz orientiert, braucht einen Weg, die Wirksamkeit umgesetzter Maßnahmen zu belegen. Dafür ist der Pentest ein passendes Instrument. Welche Vorgaben in Ihrem Land gelten, klären Sie mit Ihrer Aufsicht. Welcher Testumfang dazu passt, ordnen wir gemeinsam ein.
Der IT-Grundschutz-Check prüft, ob Anforderungen umgesetzt sind. Der Pentest prüft, ob die Umsetzung einem Angreifer standhält. Der Check stützt sich meist auf Dokumentation und Interviews, der Pentest auf eine technische Prüfung aus Angreifersicht. Wir ordnen die Befunde den Bausteinen des Kompendiums zu, damit beide Ergebnisse zusammenpassen.
Für die Außensicht nicht, für die Innensicht in der Regel ja: ein Standardkonto und einen Arbeitsplatz, wie ihn Beschäftigte nutzen. So bilden wir den Zustand nach einem erfolgreichen Phishing ab, ohne Zeit auf den Einstieg zu verwenden. Fachverfahren und Onlinedienste testen wir mit Testkonten je Rolle.
Awareness- und Social-Engineering-Tests stimmen wir vor dem Start mit Personalrat und behördlichem Datenschutzbeauftragten ab. Dazu gehören Szenarien, Auswertung und Pseudonymisierung. Ergebnisse werten wir zusammengefasst und nicht personenbezogen aus.
Umfang, Methodik, Abgrenzung und Ergebnisdokumente. Dazu gehören die Zielsysteme wie Onlinedienste, Fachverfahren oder Verwaltungsnetz, die Testart (Außen- oder Innensicht, mit oder ohne Zugangsdaten), Zeitfenster, Berichtsform und ein Retest. Je genauer diese Punkte beschrieben sind, desto vergleichbarer werden die Angebote. Welches Vergabeverfahren passt, hängt vom Auftragswert ab: Oberhalb der EU-Schwellenwerte gilt das Vergaberecht nach GWB und VgV, darunter die UVgO oder das jeweilige Landesvergaberecht.
Vor allem von Zahl und Art der Zielsysteme: externe Adressen, Fachverfahren und Onlinedienste, Rollen je Anwendung und die Größe des Verwaltungsnetzes. Aufwand entsteht auch durch Abstimmungen mit Herstellern, IT-Dienstleistern und dem Personalrat. Die Prüfung selbst dauert je nach Umfang wenige Tage bis einige Wochen. Umfang und Abgrenzung fixieren wir vor Angebotsabgabe, damit Sie Angebote vergleichen können.
