Sechs Überzeugungen, die unsere Arbeit prägen. Mit dem, was sie konkret bedeuten, und dem, was wir dafür bewusst in Kauf nehmen.
Wir wollen wissen, wie Systeme wirklich funktionieren und wo sie wirklich brechen.
Manuelle Prüfung, verkettete Befunde und eine Bewertung im Kontext Ihrer Umgebung statt Scannerlisten.
Ein guter Test braucht mehr Zeit als ein Scan. Das sagen wir Ihnen vor dem Auftrag.
Ein Problem früh sichtbar zu machen ist verantwortungsvoller, als es zu verstecken.
Kritische Befunde und Spuren echter Angreifer melden wir sofort. Passt ein Test nicht zu Ihrer Frage, sagen wir das im Scoping.
Manchmal wird der Auftrag dadurch kleiner. Das ist uns lieber als ein Ergebnis, das Ihnen nicht hilft.
Ein Bericht allein macht niemanden sicherer.
Technischer Workshop, Umsetzungsbegleitung und Retest als Nachweis.
Wir messen unseren Erfolg an Ihrer Eigenständigkeit, nicht an einer möglichst langen Laufzeit.
Sie geben uns Zugang zu Ihren sensibelsten Systemen. Das verpflichtet.
Verschlüsselter Austausch, Entfernung aller Werkzeuge nach Testende, Löschung der Ergebnisdokumente nach Projektabschluss.
Alte Berichte können wir Ihnen nicht erneut schicken. Das ist Absicht.
Niemand prüft die eigene Arbeit gut genug.
Jeder Bericht wird vor der Übergabe von einer zweiten Fachperson geprüft: Plausibilität, Nachvollziehbarkeit und Risikobewertung.
Die Übergabe dauert dadurch etwas länger. Dafür ist der Bericht belastbar.
Unsere Empfehlung folgt dem Befund, nicht einem Produkt.
Wir verkaufen weder Hard- noch Software. Folgeleistungen der ProSec-Gruppe empfehlen wir nur, wenn sie zum Befund passen, und nennen Alternativen.
Manchmal empfehlen wir die einfachere und günstigere Lösung.
Wir testen ganzheitlich: technisch, physisch, über Social Engineering und organisatorisch, mit Prüftiefe bis zu APT-Szenarien. Dazu kommen Workshops, in denen Ergebnisse nutzbar werden, agiles Consulting bei der Behebung und Kommunikation auf Technik- wie auf Managementebene.
Erfahrung aus vielen Branchen, von der Apotheke bis zu KRITIS. Unabhängig: Wir verkaufen weder Hardware noch Software.
Infrastruktur, Anwendungen, Cloud, OT und Hardware.
Zutritt, Zugang und verlorene Geräte.
Phishing, Vishing, Social Engineering vor Ort.
Prozesse, Meldewege, Reaktion auf den Vorfall.
Wir wählen die Methodik passend zum Testobjekt und legen sie im Bericht offen. So können Auditoren und Ihr Team jeden Befund einordnen und reproduzieren.
Praxis-Leitfaden für IS-Penetrationstests als Rahmen für Vorgehen und Dokumentation
für Webanwendungen und Schnittstellen
für mobile Anwendungen
als Rahmen für den Ablauf
für Angriffssimulation, Purple Teaming und Detection
für die Bewertung des Schweregrads jeder Schwachstelle, ergänzt um die Ausnutzbarkeit in Ihrem Kontext
Umfang, Zeitfenster, Quell-IP-Adressen und Grenzen stehen vor dem ersten Test fest. Physische Tester tragen ein Autorisierungsschreiben.
Tests an produktiven Systemen, OT oder Live-Schnittstellen kündigen wir mindestens zwei Stunden vorher an.
Beide Seiten benennen einen Notfallkontakt. Der Projektlead ist während der gesamten Testphase erreichbar.
Sie können einen Test jederzeit anhalten lassen, ohne Begründung.
Für Datenschutz, Qualität und Integrität gibt es bei uns feste Zuständigkeiten.
Begleitet Projekte mit personenbezogenen Daten und Social Engineering, gemeinsam mit Ihrem Datenschutz und Betriebsrat.
Eigene Beauftragte für Qualitätsmanagement und integrierte Managementsysteme nach ISO 9001 und ISO/IEC 27001.
Ein interner Ombudsmann nimmt Hinweise nach dem Hinweisgeberschutzgesetz vertraulich entgegen.
Unser Informationssicherheits- und Qualitätsmanagement ist zertifiziert. Zertifikate und Musterbericht erhalten Sie für Ihre Lieferantenbewertung vor der Beauftragung.
Unser Informationssicherheits-Managementsystem ist zertifiziert.
Unser Qualitätsmanagement ist zertifiziert.
Von der BSFZ bescheinigte Forschungs- und Entwicklungsvorhaben in der IT-Sicherheit.
Die Zertifizierungen unseres Teams belegen Methodik; den Unterschied macht die Erfahrung aus über 1.300 Assessments.
Grundlage und Fortgeschrittenenstufe für Infrastruktur- und Active-Directory-Tests.
Webanwendungen, Schnittstellen und deren Quellcode.
Angriffssimulation mit Command-and-Control und Umgehung von Erkennung.
Ausbildung zum Junior und Professional Penetration Tester, auch für das eigene Team.
Motive ohne Kundendaten: Methode, Werkzeug, Besprechung.
Nennen Sie uns Anlass, Publikum und Termin. Wir schlagen passende Speaker und Themen vor.
Sie müssen nichts vorbereiten. Wir stimmen Inhalt und Länge des Vortrags mit Ihnen ab.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
