Für Händler, Ticketanbieter und Medienhäuser: Wir finden Schwachstellen in Shop, Kasse, Ticketing und Redaktion und testen die Behebung nach, bevor Black Friday oder Vorverkauf beginnen. Wo Sie Kartenzahlungen verarbeiten, testen wir nach PCI DSS, dem Sicherheitsstandard der Kartenindustrie.
Handel, Medien und Freizeitwirtschaft verbindet eines: Das Geschäft findet öffentlich und in Spitzen statt. Black Friday, Vorverkaufsstart, Wahlabend oder Saisoneröffnung sind die Momente, in denen Umsatz und Reichweite entstehen, und die Momente, in denen jede Störung sofort sichtbar wird.
Die Angriffsfläche ist breit verteilt: Shopsysteme mit vielen eingebundenen Skripten, Zahlungsdienstleister, Filialnetze mit Kassen und Warenwirtschaft, Redaktionssysteme mit zahlreichen Konten, temporäre Netze für Veranstaltungen. Vieles davon betreiben Dienstleister. In unseren Tests sehen wir für Angreifer attraktive Schwachstellen dort, wo diese Teile ineinandergreifen: im Admin-Zugang der Shop-Agentur, im Filial-VPN, im Postfach einer Redakteurin.
Fällt Shop oder Checkout am Black Friday oder zum Vorverkaufsstart aus, ist der Umsatz dieses Tages verloren und die Kundschaft kann zur Konkurrenz abwandern. Wir prüfen Shop, Checkout und Zahlungsintegration vor der Saison und testen die Behebung nach.
Manipulierte Preise, missbrauchte Gutscheine und übernommene Kundenkonten verursachen direkten Schaden und Aufwand im Kundenservice. Wir prüfen Geschäftslogik und Kontoübernahme manuell nach OWASP, dort, wo Scanner wenig finden.
Werden Kartendaten abgegriffen, etwa über ein manipuliertes Skript auf der Bezahlseite, folgen forensische Untersuchungen, Forderungen und Vertrauensverlust. Wir testen die Karteninfrastruktur nach PCI DSS, Anforderung 11.4 einschließlich Segmentierung und prüfen die Skripte Dritter im Checkout.
Ein schwach gesicherter Filialrouter oder ein überall gleiches lokales Administratorkennwort kann aus einer Filiale den Zugang zu Warenwirtschaft und Kassen aller Standorte machen. Wir prüfen Filial-VPN, Rechte und Segmentierung vom Kassenarbeitsplatz aus.
Ein kompromittiertes Postfach kann Falschmeldungen unter Ihrem Namen verbreiten, vertrauliche Quellen offenlegen und Glaubwürdigkeit kosten. Wir prüfen, ob E-Mail-Gateway, Sandbox und EDR präparierte Anhänge erkennen und ob Meldewege greifen.
Wer Kartenzahlungen verarbeitet oder in seine Umgebung einbindet, arbeitet nach PCI DSS v4.0.1. Das heißt: Penetrationstests mindestens jährlich und nach wesentlichen Änderungen, dazu vierteljährliche Schwachstellenscans. Für Kunden- und Abonnentendaten gilt Art. 32 DSGVO. Betreiber von Online-Marktplätzen ab mittlerer Größe fallen zudem als digitale Dienste unter NIS2.
Wir testen die Karteninfrastruktur intern und extern nach dokumentierter Methodik und prüfen die Segmentierung, die Ihren PCI-Scope begrenzt. Der Bericht belegt Scope, Vorgehen und Nachtests für das Assessment.
Die vierteljährlichen Scans, extern durch einen Approved Scanning Vendor, nutzen wir als Ausgangspunkt. Im Pentest prüfen wir, ob sich die gemeldeten Schwachstellen zu einem Zugriff auf Kartendaten verketten lassen.
Kundenkonten, Bestell- und Abonnentendaten stehen im Scope der Web- und Infrastrukturtests. Die Dokumentation dient als Beleg für die regelmäßige Überprüfung der Wirksamkeit Ihrer technischen Maßnahmen.
Für Betreiber von Online-Marktplätzen richten wir den Scope am regulierten Dienst und seinen Schnittstellen aus. Der Test kann zugunsten einer realen Bewertung Teil Ihres Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen sein.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Händler, Ticketanbieter und Veranstalter, die vor Black Friday, Vorverkauf oder Saisonstart ihre Schwachstellen kennen wollen.
Pentest von außen und Test der Webanwendungen und APIs für Shop, Checkout oder Ticketing, einschließlich Geschäftslogik und Zahlungsintegration. Vor dem Start folgen Nachtests als Behebungsnachweis.
Ein priorisierter Maßnahmenplan und nachgetestete Befunde in Shop, Checkout und Ticketing, bevor der Andrang beginnt.
Unternehmen mit Filialnetz, Karteninfrastruktur oder Redaktionen, die wissen wollen, wie weit ein einzelner Zugang reicht.
Pentest im Filial- und Unternehmensnetz mit Active Directory und Segmentierung, dazu Phishing und präparierte Anhänge gegen exponierte Rollen. Im Technischen Workshop stellt Ihre IT die Befunde nach.
Sie wissen, ob eine Filiale oder ein Postfach der Schlüssel zum ganzen Unternehmen wäre und ob die Kartenumgebung getrennt ist.
Händler und Plattformen mit häufigen Releases, wechselnden Kampagnen und den jährlichen Testpflichten nach PCI DSS.
Ein fester Testrahmen über das Jahr, Tests neuer Releases von Shop und App vor dem Go-live und laufende Beobachtung neuer Systeme wie Kampagnenseiten und temporärer Netze für Events.
Tests, die im Takt von Releases, Saison und PCI-Zyklus laufen, und ein aktueller Überblick über neue Systeme im Netz.
Wir prüfen Ihre Kanäle so, wie Kunden, Betrüger und Angreifer sie nutzen, und legen die Tests vor Ihre Spitzenzeiten.
Shop, Checkout, Kundenkonto und Ticketing prüfen wir nach OWASP WSTG auf Geschäftslogik, Kontoübernahme und die Manipulation von Preisen und Gutscheinen.
Die Prüfung umfasst Filial-VPNs, Kassenanbindungen und Admin-Zugänge der Dienstleister und bildet die externe Seite der Pentests nach PCI DSS, Anforderung 11.4.
Vom Kassenarbeitsplatz zur zentralen Warenwirtschaft: Wir zeigen Angriffspfade im Active Directory und belegen die Abgrenzung der Karteninfrastruktur.
Für Redaktionen und Kundenservice prüfen wir Phishing, Vishing und präparierte Anhänge gegen die Rollen, die täglich mit Unbekannten kommunizieren.
Präparierte Anhänge zeigen, was E-Mail-Gateway, Sandbox und EDR durchlassen. Das zählt überall dort, wo das Öffnen fremder Dateien zum Beruf gehört.
Shops und Apps ändern sich laufend. Release-Tests prüfen Änderungen an Checkout, Login und Zahlungsintegration, bevor die nächste Kampagne startet.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Wir besprechen Ihre Kanäle und Termine und planen die Tests so, dass die Ergebnisse vor dem nächsten Andrang vorliegen.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Nein. Der vierteljährliche externe Scan eines zugelassenen Scan-Dienstleisters (Approved Scanning Vendor, ASV) nach Anforderung 11.3 sucht automatisiert nach bekannten Schwachstellen. Der Penetrationstest nach 11.4 prüft manuell, ob sich Schwachstellen und Fehlkonfigurationen zu einem Zugriff auf Kartendaten verketten lassen. PCI DSS verlangt beides.
Mit so viel Vorlauf, dass Befunde behoben und nachgetestet werden können, bei Plattformen also einige Wochen vor dem Start. Temporäre Veranstaltungsnetze prüfen wir am besten im Probeaufbau. Den Zeitplan legen wir im Scoping gemeinsam fest.
Mit deren Zustimmung, ja. Shop-Agenturen, Zahlungsdienstleister und Kassenanbieter binden wir über abgestimmte Testfenster und Rules of Engagement ein. In unseren Tests sehen wir aufschlussreiche Befunde an den Zugängen, über die Dienstleister Ihre Systeme betreuen.
Penetrationstests nach Anforderung 11.4 sind intern und extern mindestens alle zwölf Monate und nach wesentlichen Änderungen fällig. Hinzu kommen vierteljährliche Schwachstellenscans nach 11.3. Die Segmentierung prüfen Händler mindestens alle zwölf Monate, Dienstleister im Sinne von PCI DSS mindestens alle sechs Monate. Welche Systeme dazugehören, hängt davon ab, wie Sie Zahlungen einbinden. Bei vollständig ausgelagerter Zahlungsabwicklung fällt der Umfang deutlich kleiner aus. Welche Anforderungen gelten, hängt von Ihrem SAQ-Typ ab: SAQ D enthält alle Pentest-Anforderungen aus 11.4, SAQ A-EP externe Pentests und Segmentierungstests, SAQ B-IP und SAQ C nur Segmentierungstests. SAQ A, B, C-VT, P2PE und SPoC enthalten keine.
Ja, als Teil des internen Tests vom Kassenarbeitsplatz oder Filialnetz aus. Wir prüfen, welche Rechte ein Angreifer dort erlangt, ob die Filiale von zentraler Warenwirtschaft und Karteninfrastruktur getrennt ist und ob sich Zugangsdaten über Standorte hinweg wiederverwenden lassen. Bei einheitlich aufgebauten Filialen genügt meist ein repräsentativer Standort.
In der Regel kaum spürbar, denn wir testen außerhalb von Kampagnen und Spitzen und führen Last- oder Denial-of-Service-Tests nur nach ausdrücklicher Vereinbarung durch. Bestellungen und Zahlungen lösen wir nur mit Testkonten und Testkarten aus, soweit Ihr Zahlungsdienstleister das unterstützt. Testfenster und Ansprechpartner legen wir im Scoping fest.
Mit Schutz, der nach dem Klick greift: E-Mail-Gateway, Sandbox, EDR und abgesicherte Konten müssen einen präparierten Anhang auffangen, auch wenn er geöffnet wird. Mit Payload Delivery & Filtering prüfen wir, welche Dateitypen und Techniken durchkommen, mit Social Engineering, ob die Meldewege funktionieren. Das Ergebnis zeigt, wo die Technik nachgeschärft werden muss, ohne die Arbeitsweise der Redaktion einzuschränken.
Vor allem von der Größe Ihrer Kartenumgebung (Cardholder Data Environment, CDE) und davon, wie gut sie segmentiert ist. Je mehr Systeme Kartendaten verarbeiten oder die Umgebung beeinflussen können, desto größer ist der Scope. Dazu kommen Zahl der Shops, Apps und Filialtypen sowie die Nachtests, die PCI DSS für ausnutzbare Befunde verlangt. Eine saubere Segmentierung verkleinert den Scope, muss dann aber selbst getestet werden.
Der Test selbst dauert je nach Zahl der Shops, Apps und Schnittstellen wenige Tage bis einige Wochen. Mit Behebung und Nachtest sollten Sie vor einer Kampagne einige Wochen Vorlauf einplanen. Der Engpass ist meist die Behebung. Deshalb legen wir den Test möglichst früh vor den Spitzenzeitraum.
