Penetrationstestsfür Unternehmen
Finden und schließen Sie Sicherheitslücken, bevor Angreifer sie finden. Bei einem Penetrationstest greifen wir Ihre Systeme kontrolliert an, so wie ein echter Täter. Wir arbeiten nach bewährten Methoden (OWASP WSTG, PTES, OSSTMM). Sie erhalten belastbare Nachweise für NIS2, ISO 27001, TISAX und Ihre Cyber-Versicherung. Dazu gehören ein Bericht mit Risikobewertung, ein kostenfreier Nachtest und ein Abschluss-Workshop.
$ sectepe-pentest --target webapp.example.de
[SCOPE] Web, API, Cloud, Active Directory
[RECON] Webserver und Software-Versionen erkannt
[SCAN] Port-Scan: 22/SSH, 80/HTTP, 443/HTTPS, 3306/Datenbank
[VULN] SQL-Injection gefunden: /api/users?id=
[VULN] XSS-Schwachstelle: /search?q=
[CRITICAL] Ungesicherte Admin-Schnittstelle: /admin
[REPORT] 3 Schwachstellen dokumentiert
[REPORT] Handlungsempfehlungen erstellt
Bewährte Methoden · anerkannt für Prüfungen
- OWASP WSTG
- PTES
- OSSTMM
- BSI IT-Grundschutz
- ISO 27001
- NIS2
- TISAX
- DORA
Warum ein Penetrationstest?
Pentests sind heute mehr als eine gute Idee. Gesetze und Normen verlangen sie. Versicherer setzen sie voraus. Und Ihre Kunden sehen daran, dass Sie Sicherheit ernst nehmen.
Gesetzliche Pflicht
NIS2, DORA, KRITIS, TISAX und ISO 27001 (Control A.8.8) verlangen regelmäßige technische Prüfungen. Ein Pentest liefert den Nachweis.
Cyber-Versicherung
Versicherer und Prüfer fragen immer öfter nach einem aktuellen Pentest. Davon hängen Vertrag, Beitrag und Deckungssumme ab.
Echte Risiken senken
Finden Sie Lücken, bevor ein Angreifer sie findet. Auch Denkfehler in Abläufen, die kein automatischer Scan erkennt.
Kundenvertrauen
Sie erhalten eine Bestätigung über den Test und eine Kurzfassung für die Geschäftsführung. Beides können Sie Kunden, Partnern und bei Ausschreibungen vorlegen.
Unser Drei-Phasen-Ansatz
Erst suchen wir breit nach Lücken, am Ende greifen wir gezielt an. Die Phasen bauen aufeinander auf. Sie buchen sie einzeln, passend zu Ihren Systemen.
Lücken finden
Automatische Scans finden Lücken in Systemen, Netzwerken und Anwendungen. Wir prüfen jeden Fund von Hand. Dann ordnen wir alles nach Schwere, mit dem Standard CVSS.
Gezielter Penetrationstest
Wir greifen die wichtigsten Teile Ihrer IT von Hand an, nach OWASP WSTG und PTES. Wir prüfen Abläufe und Anmeldung. Und wir testen, ob ein Angreifer sich mehr Rechte verschaffen kann.
Red Teaming
Ein gezielter Angriff über Wochen, nach dem Modell MITRE ATT&CK. Wir täuschen auch Mitarbeiter, setzen uns im Netz fest und bewegen uns darin weiter. So sehen Sie, ob Ihr Team den Angriff bemerkt und richtig reagiert.
In jeder Phase enthalten
Egal welchen Umfang Sie wählen: Sie bekommen immer dieselbe Nachbetreuung. Wir erklären die Ergebnisse und helfen Ihnen, dauerhaft besser zu werden.
Detaillierter Bericht
Eine Kurzfassung für die Geschäftsführung und ein technischer Bericht. Jeder Fund ist bewertet und belegt. Die Empfehlungen sind nach Dringlichkeit geordnet.
Wissenstransfer
Ein Workshop mit Ihren Entwicklern und Ihrem IT-Betrieb. Wir zeigen jede Lücke Schritt für Schritt. Die Tipps zur Behebung geben wir direkt an die zuständigen Personen.
Kostenfreier Nachtest
Haben Sie die Lücken geschlossen, prüfen wir sie erneut. Das ist im Festpreis enthalten. Sie erhalten eine schriftliche Bestätigung für Audits und Versicherer.
Arten von Penetrationstests
Unsere Analyst:innen testen alles, was Angreifer heute ins Visier nehmen. Sie buchen einzelne Tests oder mehrere zusammen.
Web-Anwendungen
Die häufigsten Lücken (OWASP Top 10), Abläufe, Anmeldung und Sitzungen.
APIs
Schnittstellen aller gängigen Arten. Wir prüfen, ob jemand fremde Daten abrufen oder die Anmeldung umgehen kann.
Netzwerk & Infrastruktur
Von außen und von innen: Firewalls, VPN, Trennung der Netze und Stand der Updates.
Active Directory & Intern
Kann ein Angreifer Passwörter abgreifen, sich im Netz ausbreiten und am Ende Administrator werden?
Cloud (AWS · Azure · M365)
Falsch gesetzte Rechte, offen erreichbare Speicher, Entra ID und Regeln für den Zugriff.
Mobile (iOS & Android)
Nach dem Standard OWASP MASVS: Wir zerlegen die App und prüfen, wie sie Daten speichert und überträgt.
Social Engineering & Phishing
Gezielte Kampagnen zeigen, wie wachsam Ihre Leute sind, ob Abläufe greifen und wie schnell Sie reagieren.
Red-Team-Engagement
Ein echter Angriff auf allen Ebenen, nach dem Modell MITRE ATT&CK.
Ablauf eines Penetrationstests
Sechs klare Schritte. Sie wissen jederzeit, was wir prüfen, wie wir vorgehen und welche Risiken es gibt. Am Ende steht eine dauerhafte Verbesserung.
Scoping & Kick-off
Wir klären Ziel, Umfang und Spielregeln. Und wie viel wir vorab wissen dürfen.
Informationen sammeln
Wir werten öffentliche Quellen aus, finden Ihre Systeme und zeichnen auf, wo man angreifen kann.
Schwachstellenanalyse
Automatische Scans, dann Prüfung von Hand nach OWASP WSTG und PTES.
Ausnutzen
Wir nutzen Lücken kontrolliert aus. So sehen wir, wie groß das Risiko wirklich ist.
Bericht & Workshop
Bewertete Funde, eine Kurzfassung für die Leitung und ein gemeinsamer Workshop.
Nachtest
Wir prüfen die behobenen Lücken erneut. Sie erhalten eine schriftliche Bestätigung.
Pentest vs. Schwachstellen-Scan
Beide Verfahren ergänzen sich, ersetzen sich aber nicht. Ein Scan prüft vieles, aber nur an der Oberfläche. Ein Pentest geht in die Tiefe und zeigt, wie schwer eine Lücke im Zusammenhang wiegt.
| Kriterium | Schwachstellen-Scan | Penetrationstest |
|---|---|---|
| Tiefe | automatisiert, breit | manuell, tief |
| Findet unbekannte Lücken & Denkfehler | ✗ | ✓ |
| Ordnet nach echter Ausnutzbarkeit | ✗ | ✓ |
| Anteil der Fehlalarme | hoch | sehr gering |
| Aufwand | minimal, automatisiert | projektbasiert |
| Empfohlene Frequenz | wöchentlich / monatlich | jährlich + nach großen Updates |
Unser Rat: Scannen Sie laufend für die Breite. Und lassen Sie regelmäßig einen Pentest für die Tiefe machen.
Was Sie am Ende erhalten
Jeder Test endet mit einem Paket, das auch vor Prüfern besteht. Es passt für die Geschäftsführung, für Ihre Fachteams und für Partner außerhalb.
Management-Summary
Eine Kurzfassung für die Geschäftsführung. Eine Grafik zeigt die Risiken auf einen Blick, dazu kommen Empfehlungen.
Technischer Bericht mit Bewertung
Jeder Fund mit Bewertung nach CVSS v3.1, den betroffenen Systemen und allen Schritten zum Nachstellen.
Belege für jeden Fund
Screenshots und die genauen Anfragen. So können Ihre Entwickler jede Lücke nachstellen und schließen.
Priorisierte Maßnahmenliste
Empfehlungen nach Aufwand und Nutzen sortiert. Mit schnellen Erfolgen und mit Schritten für den langen Atem.
Nachtest & Abschluss-Workshop
Wir prüfen behobene Lücken erneut. Dazu kommt ein Workshop mit Ihren Entwicklern und Ihrem IT-Betrieb. Beides ist im Festpreis enthalten.
Schriftliche Bestätigung
Ein Nachweis, der vor Prüfern besteht. Für ISO 27001, NIS2, TISAX, Versicherer und Ausschreibungen.
Pentest Report — Q2/2026
Confidential · 48 Seiten
Pentest as a Service mit SecTepe SnapScan
Zwischen zwei Pentests ändert sich Ihre IT jeden Tag. Neue Lücken können entstehen. Unsere eigene Plattform SecTepe SnapScan spielt deshalb laufend und selbstständig echte Angriffe durch. Sie starten sie, wann Sie wollen. Echte Angriffsschritte laufen nur nach Ihrer Freigabe, in Stufen. Jeder Schritt ist belegt. Wir betreiben die Plattform selbst, ohne Umweg über einen US-Anbieter. Sie ergänzt den jährlichen Pentest ideal.
On-Demand
Einen Testlauf in Minuten starten. Etwa vor jeder neuen Version oder nach einem Umbau.
Autonom
Echte Angriffswege nach MITRE ATT&CK. Auch Passwortdiebstahl und das Weiterwandern im Netz.
Produktionssicher
Sicheres Ausnutzen, ohne dass Systeme ausfallen. Läuft im laufenden Betrieb und DSGVO-konform.
Häufig gestellte Fragen
Antworten auf die häufigsten Fragen rund um Penetrationstests bei SecTepe.
Wie lange dauert ein Penetrationstest?
Entstehen Ausfallzeiten oder Datenverluste?
Black-Box, Grey-Box oder White-Box — was ist sinnvoll?
Wer führt den Penetrationstest durch?
Woran erkenne ich einen guten Pentest-Anbieter?
Was kostet ein Penetrationstest?
Wie oft sollten wir testen lassen?
Was ist der Unterschied zwischen klassischem Pentest und Pentest as a Service?
Kennen Sie Ihre Schwachstellen?
Lassen Sie uns Ihre Systeme testen, bevor es ein Angreifer tut. Starten Sie mit einem kostenfreien Gespräch zum Umfang. Es ist unverbindlich und vertraulich.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.