Pentest as a Service · SecTepe SnapScan · selbst gehostet

Pentest as a Service mit SecTepe SnapScan

Wir greifen Ihre Systeme laufend kontrolliert an und betreuen das für Sie. Dafür nutzen wirSecTepe SnapScan, unsere eigene Pentest-Plattform. Wir betreiben sie selbst in Deutschland. Sie starten Tests, wann Sie wollen. Echte Angriffsschritte laufen nur nach Ihrer Freigabe, in Stufen. Jeder Schritt wird lückenlos protokolliert. Der Dienst ergänzt den klassischen Pentest, er ersetzt ihn nicht.

PTaaS-Demo anfragen Ablauf ansehen

SnapScan Run #42

last 24h · hybrid scope

Completed

Hosts enumerated3.428

Attack paths discovered17

Critical paths3

High-risk paths6

Proof of exploitability12

Behebungs-Hinweisegeneriert

Was ist Pentest as a Service?

PTaaS schließt die Lücke zwischen zwei jährlichen Pentests. Statt einer einmaligen Momentaufnahme laufen die Angriffe ständig und selbstständig, gegen Ihre echten Systeme. SecTepe steuert die Tests und bewertet die Ergebnisse.

Laufend statt einmal im Jahr

Regelmäßige Läufe zeigen sofort, wenn sich Einstellungen verschieben, neue Systeme offen stehen oder alte Fehler zurückkehren. Nicht erst beim nächsten Jahres-Pentest.

Ganze Angriffswege

SnapScan verbindet Lücken, falsche Einstellungen und schwache Passwörter zu echten Angriffswegen. Statt einer Liste einzelner Lücken.

Produktionssicher & DSGVO-konform

Sicheres Ausnutzen, ohne dass Systeme ausfallen. Ein Programm auf Ihren Servern ist nur optional. Dann geben Sie jeden einzelnen Befehl frei. Die Daten bleiben in der EU, und jede Aktion wird protokolliert.

Unsere eigene Plattform

SecTepe SnapScan

Wir nutzen für PTaaS keine eingekaufte US-Plattform. Wir haben unsere eigene gebaut und betreiben sie selbst. Davon hängt ab, wo Ihre Befunde liegen und wer sie sehen kann. Und wie schnell wir etwas ändern können, wenn Ihre Umgebung es verlangt.

Souverän und selbst gehostet

Die Plattform läuft in deutschen Rechenzentren. Oder, wenn Sie möchten, ganz bei Ihnen. Es fließen keine Nutzungsdaten an andere Anbieter. Und Sie zahlen keine fremde Lizenz mit.

Betrieb durch uns oder selbst bei Ihnen
Als Container oder abgesichertes Gerät, mit digitaler Signatur
Für mehrere Firmen getrennt nutzbar, mit Rollen, Rechten und Protokoll

Wir entwickeln sie selbst weiter

Was unseren Analyst:innen im Einsatz fehlt, bauen wir ein. Sie sprechen nicht mit einem Händler. Sie sprechen mit dem Team, das die Plattform schreibt und betreibt.

Befunde gehen als Nachweise in Ihr Managementsystem für Informationssicherheit (ISMS)
Wird eine neue schwere Lücke bekannt, prüfen wir alle Systeme erneut
Offener Export der Funde für Ihre eigenen automatischen Abläufe

Was SnapScan kann

Acht Fähigkeiten, die PTaaS klar von einem normalen Scan nach Lücken unterscheiden.

Pentest mit KI

Eine KI arbeitet keine Checkliste ab. Sie verfolgt Spuren, verbindet Funde und hakt nach. Jeden Schritt hält sie nachvollziehbar fest.

Ausnutzbarkeit statt Rohliste

Drei Prüfstufen zeigen, was sich wirklich ausnutzen lässt. Sie bekommen einen Beleg statt „möglicherweise verwundbar“.

Angriffswege & Schadensumfang

Zeigt die wenigen Kombinationen, die wirklich Schaden anrichten. Jedes Ziel bekommt eine Note von A bis F.

Interner Pentest per Prüfrechner

Ein Prüfrechner in Ihrem Netz, nur für diesen Auftrag und mit unterschriebenem Umfang. Er prüft Active Directory, Passwörter und Wege zu mehr Rechten. Nur nach Ihrer ausdrücklichen Freigabe.

Cloud und Kubernetes prüfen

Ihre Einstellungen in AWS, Azure und GCP, geprüft gegen die CIS-Vorgaben. Dazu eine Prüfung von Kubernetes-Clustern, die nur liest.

Angriffsflächen im Blick

Subdomains, Dienste und Zertifikate werden laufend erfasst. Sie sehen, was sich seit dem letzten Lauf geändert hat.

Läufe nach Plan oder auf Klick

Vor einer neuen Version, nach einem Umzug oder wenn eine neue schwere Lücke bekannt wird.

Nachtest pro Fund

Ein Klick prüft genau einen Fund erneut. Das Ergebnis wird festgehalten: behoben, noch offen oder unklar.

Unser Managed-PTaaS-Prozess

Fünf klare Schritte. So ist PTaaS kein bloßes Werkzeug, sondern ein laufender Sicherheitsdienst.

Start & Umfang

Wir legen gemeinsam fest: Ihre wichtigsten Werte, die Systeme, wie oft getestet wird und die Spielregeln.

SnapScan-Setup

Wir richten Ihren Bereich ein, stellen den Prüfrechner auf und binden Cloud-Konten und Benutzerverzeichnis an.

Laufende Tests

Automatische Läufe nach Plan oder bei Anlass. Von außen, von innen, in der Cloud oder gemischt.

Triage durch SecTepe

Unsere Analyst:innen bewerten jeden Fund, sortieren Fehlalarme aus und legen fest, was zuerst kommt.

Behebung & Nachtest

Wir beraten bei der Behebung und testen danach erneut. Berichte zeigen den Verlauf, auch für Audits.

Klassischer Pentest vs. PTaaS

Beide Verfahren ergänzen sich, keines ersetzt das andere. Die Übersicht zeigt, was jedes gut kann.

Kriterium	Klassischer Pentest	PTaaS mit SnapScan
Methodik	von Hand, durch Analyst:innen	selbstständig, durch die Plattform
Frequenz	punktuell (jährlich / Release)	laufend / auf Abruf
Fehler in Abläufen	✓ stark	begrenzt
Wie viel geprüft wird	auf den Umfang begrenzt	✓ sehr hoch
Reaktion auf Änderungen	nach Projekt-Takt	Minuten bis Stunden
Nutzen für Prüfungen	ISO 27001, NIS2, TISAX, DORA (formaler Nachweis)	zusätzlicher Nachweis, dass Schutz laufend wirkt
Typischer Nutzen	gründliche Prüfung, Denkfehler	Änderungen erkennen, neue Versionen freigeben

Unser Rat: einmal im Jahr ein Pentest von Hand für die Tiefe. Dazu laufend PTaaS, damit nichts veraltet.

Für wen PTaaS besonders stark ist

In diesen vier Fällen bringt laufendes, selbstständiges Testen am meisten.

Mittelstand mit NIS2-Pflicht

Regelmäßige Nachweise zwischen zwei Audits. Ohne dass Sie ein eigenes Angriffsteam aufbauen.

KRITIS-Betreiber

Laufende Überwachung aller Angriffspunkte für regulierte Branchen wie Energie, Gesundheit und Finanzen.

MSSP- und SOC-Kunden

Prüft, ob Ihre Überwachung wirklich anschlägt. Reagiert Ihr SOC auf echte Angriffe?

Teams mit häufigen neuen Versionen

Keine neue Version geht live, bevor ein PTaaS-Lauf die Änderungen ohne Befund geprüft hat.

Was Sie aus jedem Run erhalten

Jeder Lauf liefert Ergebnisse, mit denen Sie sofort arbeiten können. Für die Geschäftsführung, die Technik und das Audit.

Executive Summary
Eine Kurzfassung für die Geschäftsführung. Mit Angriffswegen, Risikowert und dem Fortschritt über die Zeit.
Belege mit ganzem Angriffsweg
Zu jedem Fund die Schritte zum Nachstellen und fälschungssichere Belege. Bewiesene Angriffswege sind als solche markiert.
Priorisierte Behebungs-Hinweise
Nach Schaden sortiert. Dazu kommt, ob eine Lücke schon aktiv ausgenutzt wird (CISA KEV) und wie wahrscheinlich das ist (EPSS). So weiß Ihr Team, was zuerst dran ist.
Verlauf über die Zeit
Sie sehen laufend: Gibt es weniger Angriffspunkte? Bleiben Risiken lange offen?
Zuordnung zu Normen
Eine erste Zuordnung zu ISO 27001 Anhang A und BSI IT-Grundschutz als Grundlage für Nachweise. Das ist keine Aussage über eine Zertifizierung.
Bewertung & Hilfe bei der Behebung
Unsere Analyst:innen ordnen die Funde ein und sortieren Fehlalarme aus. Sie begleiten die Behebung bis zum Nachtest.

PTaaS Trend — Q1/2026

12 Runs · hybrid scope

Angriffspfade zu Start42

Angriffspfade aktuell9

Critical offen1

High offen3

Fix-Time Median9 Tage

NIS2-MappingArt. 21 zugeordnet

Häufig gestellte Fragen zu PTaaS

Antworten auf die häufigsten Fragen rund um Pentest as a Service mit SnapScan.

Ersetzt Pentest as a Service einen klassischen Penetrationstest?

Nein. PTaaS ergänzt den klassischen Pentest, ersetzt ihn aber nicht. Fehler in Abläufen, unbekannte Lücken (Zero-Days) und ungewöhnliche Angriffswege findet weiter nur ein Mensch. SnapScan prüft in der Zeit dazwischen. Die Läufe wiederholen sich und zeigen sofort, wenn sich bei Ihnen etwas ändert. Für NIS2, ISO 27001 und DORA empfehlen wir: einmal im Jahr ein Pentest von Hand, dazu laufend PTaaS.

Wo läuft SnapScan und wie ist die Datenhaltung (DSGVO)?

SnapScan ist unsere eigene Plattform. Wir betreiben sie selbst, in deutschen Rechenzentren. Ihre Befunde gehen an keinen US-Anbieter. Für interne Tests stellen wir einen kleinen Prüfrechner in Ihr Netz. Er gilt nur für diesen einen Auftrag. Auf Wunsch betreiben Sie die ganze Plattform selbst, als Container oder als abgesichertes Gerät. Für die DSGVO sorgen ein Vertrag zur Auftragsverarbeitung (AVV), ein dokumentierter Prüfumfang und so wenig Daten wie möglich.

Ist das produktionssicher?

Ja. Im Normalfall nutzen die Scans keine Lücke aktiv aus. Mehr geht nur mit Ihrer ausdrücklichen Freigabe, und zwar in Stufen. Stufe eins belegt eine Lücke über einen Rückruf von außen, ganz ohne Befehl auf Ihrem System. Stufe zwei führt einen Befehl aus, der nur liest. Für Stufe drei, eine echte Sitzung auf dem System, brauchen wir eine zweite, eigene Freigabe. Der Prüfrechner lehnt alle Ziele ab, die nicht im unterschriebenen Umfang stehen. Ein Not-Aus stoppt sofort alles. Jeder Versuch wird protokolliert. Zeitfenster, Umfang und Notfallkontakte klären wir vor jedem Lauf mit Ihnen.

Wie oft sollte PTaaS laufen?

Für alles, was aus dem Internet erreichbar ist, sind Läufe pro Monat bis pro Woche üblich. Interne Systeme prüfen wir bei Anlass. Etwa nach einer großen neuen Version, einem Umzug in die Cloud oder einer Firmenübernahme. Am meisten bringt PTaaS, wenn es fest zu Ihren Abläufen für neue Versionen und Änderungen gehört.

Wie erfolgt die Abrechnung?

PTaaS gibt es als Jahresabo. Darin ist festgelegt, wie viele Systeme und Läufe es umfasst. Im Preis enthalten sind Einrichtung und Nutzung der Plattform. Dazu kommen die Bewertung der Funde durch unsere Analyst:innen, Beratung zur Behebung und ein Nachtest. Die Plattform gehört uns. Sie zahlen also keine Lizenz eines anderen Anbieters mit. Preise nennen wir auf Anfrage.

Welche Umgebungen deckt SnapScan ab?

Alles, was aus dem Internet erreichbar ist, auch Subdomains. Web-Anwendungen und Schnittstellen, auch hinter dem Login. Die Einstellungen in AWS, Azure und GCP. Kubernetes-Cluster. Und interne Netze mit Active Directory, über einen Prüfrechner in Ihrem Netz. Auf Wunsch prüfen wir auch Adressen im Darknet (.onion).

Bereit für kontinuierliches Pentesting?

Starten Sie mit einer unverbindlichen SnapScan-Demo oder einem Gespräch zum Umfang. Wir zeigen Ihnen einen echten Lauf gegen eine Testumgebung. Und wir skizzieren, wie PTaaS zu Ihrem Sicherheitsbetrieb passt.

SnapScan-Demo anfragen Kostenloses Scoping-Gespräch

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.