Unser Pentest für die Rüstungsindustrie prüft Ihre VS-NfD-Umgebung, Zulieferzugänge und Schlüsselpersonen aus Sicht staatlicher Akteure. Die Ergebnisse belegen Ihren Stand gegenüber Auftraggebern.
Die Verteidigungsindustrie wächst in einem Tempo, das es seit Jahrzehnten nicht gab: neue Standorte, neue Fertigungslinien, neue Partner, neue Mitarbeitende. Mit jeder Erweiterung kommen Konten, Netzsegmente, Fernzugänge und Dienstleister hinzu, die vor zwei Jahren noch nicht existierten.
Staatlich gesteuerte Gruppen interessieren sich für Konstruktionsdaten, Programmstände, Lieferbeziehungen und Personen mit Zugang zu sensiblen Systemen und Informationen. Der Weg dorthin kann über den Zulieferer mit VPN-Zugang führen, über das Engineering-Notebook auf Dienstreise oder über die fingierte Stellenanzeige im Karrierenetzwerk. In unseren Tests sehen wir, dass diese Nebenwege weniger im Blick sind als der Perimeter der Zentrale.
Hält die Trennung zwischen VS-NfD-Umgebung, Office-IT und Fertigung nicht, können Geheimschutzauflagen und damit auch laufende Aufträge betroffen sein. Wir prüfen, ob ein Angreifer mit Domänenrechten über gemeinsame Konten und Datenaustausch in sensible Bereiche gelangen kann.
Ein kompromittierter Unterauftragnehmer mit Zugriff auf Projektdaten und Portale kann den Vorfall in Ihr Programm tragen, mit Folgen für Termine und das Vertrauen Ihres Auftraggebers. Wir prüfen Partnerzugänge, Austauschplattformen und Identitätsföderationen auf Ihrer Seite.
Über fingierte Stellenangebote, Messekontakte und Karrierenetzwerke können Angreifer an Personen gelangen, die Zugang zu Konstruktionsdaten und Programmständen haben. Mit abgestimmten Spear-Phishing- und Vishing-Szenarien testen wir, wie diese Rollen reagieren.
Ein Engineering-Notebook, das auf Messe oder Erprobung abhandenkommt, kann den Weg in VPN, Cloud und Projektdaten öffnen. Wir prüfen, was ein Finder oder Angreifer aus einem solchen Gerät herausholt.
Wer den Stand seiner Informationssicherheit vor der Auftragsvergabe nicht belegen kann, riskiert Nachteile im Vergabeverfahren. Wir liefern Ergebnisse und eine Prüfbescheinigung für Lieferantenaudits und Ausschreibungsunterlagen.
Den Rahmen setzen vor allem Ihre Auftraggeber mit Geheimschutzauflagen und Vertragsklauseln zur Informationssicherheit. Wir richten den Test deshalb auf die Umgebung aus, in der Ihre sensiblen Daten liegen, und ordnen die Ergebnisse diesen Regelwerken zu.
Systeme, die VS-NfD verarbeiten, grenzen wir im Scoping klar ab und prüfen Trennung und Härtung, ohne Verschlusssachen zu öffnen. Befunde zu Übergängen und administrativen Konten stellen wir so dar, dass Ihr Sicherheitsbevollmächtigter sie einordnen kann.
Für Unternehmen, die unter das BSIG fallen, kann der Test zugunsten einer realen Bewertung Teil ihres Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen sein. Der Bericht stellt den Bezug zu den betroffenen Maßnahmen her.
Umfang und Methodik beschreiben wir so, dass die Ergebnisse im ISMS als Nachweis der technischen Wirksamkeit dienen. Befunde lassen sich den Controls aus Anhang A zuordnen, etwa dem Umgang mit technischen Schwachstellen.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Unternehmen, die in Verteidigungsaufträge hineinwachsen oder vor einer Ausschreibung ihren Stand kennen wollen.
Pentest von außen und im Unternehmensnetz mit Active Directory, mit Fokus auf die Übergänge zu sensiblen Netzbereichen. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Geschäftsführung.
Ein belastbares Bild Ihrer Angriffsfläche und eine priorisierte Maßnahmenliste, die Sie gegenüber Auftraggebern vertreten können.
Organisationen mit etabliertem ISMS, die wissen wollen, ob ihre Schutzmaßnahmen einem gezielten Angreifer standhalten.
APT-Simulation mit abgestimmten Zielen, ergänzt um Spear Phishing, einen Zutrittstest oder ein präpariertes Notebook. Die Techniken wählen wir nach MITRE ATT&CK aus dem Repertoire staatlicher Akteure.
Nachvollziehbare Angriffsketten bis zum Zielobjekt, mit Erkennungszeitpunkten und Ansätzen für Härtung und Angriffserkennung.
Unternehmen mit neuen Standorten, Zukäufen und einer Lieferkette, die mit jedem neuen Auftrag weiter wächst.
Laufende Beobachtung neuer Systeme mit Nachtests, Überwachung geleakter Zugangsdaten und Begleitung, bis alle Befunde geschlossen sind. Bei mehreren Gesellschaften als Programm für die ganze Gruppe.
Eine Angriffsfläche, die Sie auch im Wachstum überblicken, und laufende Belege für Ihre Auftraggeber.
Diese sechs Leistungen folgen den Wegen, die staatlich gesteuerte Akteure gegen Rüstungsunternehmen und Zulieferer nutzen können, vom Active Directory bis zum verlorenen Notebook.
Eine Simulation mit Zielen wie Konstruktionsdaten zeigt, ob ein gezielter Angreifer unbemerkt an Ihre sensibelsten Daten kommt und wie lange er braucht.
Die Trennung von VS-NfD-Umgebung, Office-IT und Fertigung hängt wesentlich vom Active Directory ab. Wir prüfen Pfade über Domänengrenzen und administrative Konten.
Spear Phishing und Vishing auf Rollen mit Zugang, abgestimmt mit Betriebsrat und Datenschutz, zeigen, wie belastbar die menschliche Schicht ist.
Engineering-Notebooks reisen zu Messen, Erprobungen und Kunden. Wir prüfen, was ein Finder oder Angreifer daraus herausholt, bis in VPN und Cloud.
Werkschutz und Zutrittskontrolle sind Teil des Geheimschutzes. Wir prüfen, ob sich Gebäude und Netz unbefugt erreichen lassen und ob das auffällt.
Für Hersteller und Integratoren unbemannter Systeme prüfen wir Datenlinks, Bodenkontrollstationen und Firmware aus Angreifersicht.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Im ersten Gespräch geht es um Scope, Grenzen und Rahmenbedingungen. Sensible Details müssen Sie dafür nicht offenlegen.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Verschlusssachen sind kein Testziel. Wir legen im Scoping fest, welche Systeme VS-NfD verarbeiten, wo der Test endet und wie wir einen erreichten Zugriff belegen, ohne Inhalte zu öffnen, etwa über Berechtigungsnachweise oder eine abgestimmte Markierungsdatei. Rohdaten löschen wir nach der vereinbarten Frist.
Systeme eines Zulieferers testen wir nur mit dessen Zustimmung und bei vertraglich geklärten Zuständigkeiten. Häufiger und schneller umsetzbar ist die Prüfung der Anbindung auf Ihrer Seite: VPN-Zugänge, Austauschplattformen, Gastkonten und Föderationen. Damit sehen Sie, was ein kompromittierter Partner in Ihrem Netz erreichen könnte.
Ja, als Beleg für Lieferantenaudits und Ausschreibungen. Dazu erhalten Sie eine Prüfbescheinigung mit Umfang, Zeitraum und Methodik, ohne Befunddetails offenzulegen. Sie ist kein Zertifikat einer akkreditierten Stelle.
Ein Pentest prüft einen festgelegten Umfang möglichst vollständig auf Schwachstellen. Eine APT-Simulation verfolgt ein abgestimmtes Ziel wie Konstruktionsdaten über jeden verfügbaren Weg. Der Pentest zeigt, wo Schwachstellen sind. Die Simulation zeigt, ob ein gezielter Angreifer sie zu einer Angriffskette verbindet und ob Ihre Organisation ihn bemerkt. Für Unternehmen, die in Verteidigungsaufträge hineinwachsen, ist meist der Pentest der erste Schritt.
Sie benennen die Systeme, die VS-NfD verarbeiten, und beziehen Ihren Sicherheitsbevollmächtigten von Anfang an ein. Im Scoping legen wir gemeinsam Rules of Engagement, Testgrenzen, Ansprechpartner und den Umgang mit Rohdaten fest. Berühren Vertragsklauseln Ihrer Auftraggeber den Test, klären wir das ebenfalls vor dem Start.
Befunde und Rohdaten erhalten nur das vereinbarte Projektteam und die von Ihnen benannten Ansprechpartner. Übermittlungswege, Aufbewahrung und Löschfristen legen wir im Scoping fest. Für Nachweise gegenüber Dritten gibt es die Prüfbescheinigung ohne Befunddetails.
Nach jeder größeren Veränderung, etwa neuen Standorten, Zukäufen oder Partneranbindungen. Bei schnellem Wachstum reicht ein jährlicher Test oft nicht aus. Zwischen den Tests hält Attack Surface Management mit Nachtests neue Systeme im Blick. Den Rhythmus legen wir gemeinsam anhand Ihrer Auftragslage fest.
Der Aufwand hängt vor allem von Umfang und Tiefe ab: Zahl der Standorte und Netzsegmente, Übergänge zur VS-NfD-Umgebung, Partnerzugänge und ob Social Engineering dazugehört. Ein Lagebild für Ihre Aufträge ist deutlich kleiner als eine APT-Simulation mit mehreren Angriffswegen. Ein Pentest dauert je nach Umfang wenige Tage bis einige Wochen, eine APT-Simulation deutlich länger. Hinzu kommt Vorlauf für Freigaben mit Ihrem Sicherheitsbevollmächtigten. Nach dem Scoping erhalten Sie ein Angebot mit festgelegtem Umfang.
