Sicherheitstests · Nur mit Genehmigung des Inhabers
Kann jemand in Ihre Website eindringen? Wir prüfen sie kostenlos.
Finden wir keine Probleme, erhalten Sie auch den Bericht kostenlos. Sie zahlen für den Bericht nur, wenn wir Probleme finden, und sein Preis hängt davon ab, wie viele es sind und wie schwerwiegend sie sind. Wir testen Websites, Anwendungen, Infrastruktur, KI-Systeme und Smart Contracts so, wie ein echter Angreifer vorgehen würde.
Der Check Ihrer Website kostet nichts. Finden wir keine Schwachstellen, ist auch der Bericht kostenlos. Bezahlt wird der Bericht nur, wenn wir Schwachstellen finden, und sein Preis hängt von ihrer Anzahl und ihrem Schweregrad ab.
01
Sie senden die Adresse
Und bestätigen, dass die Website Ihnen gehört. Vor dem Check unterzeichnet der Inhaber eine Genehmigung mit der Adresse und den Terminen.
02
Wir prüfen die Website
Von außen, so wie ein Angreifer sie sieht, in 1 bis 5 Arbeitstagen nach Unterzeichnung der Genehmigung. Ohne zerstörerische Aktionen und ohne den Server zu belasten.
03
Sie erhalten das Ergebnis
Keine Probleme: ein kostenloser Bericht. Probleme gefunden: ihre Anzahl, ihr Schweregrad und der Preis des Berichts. Den Bericht erhalten Sie sofort nach Zahlung; der Nachtest nach der Behebung ist kostenlos.
Offensive Sicherheit ist nur dann eine Leistung, wenn sie genehmigt ist. Diese Regeln gelten für jedes Projekt und für jede Bug-Bounty-Meldung, ohne Ausnahme.
01
Zuerst die schriftliche Genehmigung
Die Tests beginnen, nachdem der Inhaber der Systeme die Genehmigung und den Prüfumfang unterzeichnet hat. Wir prüfen, ob der Unterzeichner zeichnungsberechtigt ist.
02
Der Prüfumfang ist eine Grenze
Wir greifen nur auf das zu, was aufgeführt ist, und auf nichts anderes. Systeme Dritter testen wir nur mit Zustimmung ihres Betreibers.
03
Nur offizielle Programme
Bei Bug Bounty arbeiten wir ausschließlich in offiziellen Programmen auf etablierten Plattformen und halten die Richtlinie jedes Programms bis ins Detail ein.
04
Nachweise statt Meinungen
Ein Befund wird gemeldet, sobald er reproduziert ist. Er enthält einen Nachweis, die Auswirkung, einen Vektor nach CVSS 4.0 und die Schritte zur Behebung.
05
Möglichst geringer Eingriff
Wir weisen die Auswirkung mit dem geringstmöglichen Eingriff nach, halten uns von Produktionsdaten fern und brechen ab, sobald ein Abbruchkriterium erfüllt ist.
06
Grundsätzlich vertraulich
Befunde gehören dem Kunden. Ohne schriftliche Zustimmung wird nichts offengelegt oder veröffentlicht.
03Leistungen
Was wir testen
Von einer einzelnen Webanwendung bis zur vollständigen Angriffssimulation. Jede Leistung hat eine festgelegte Methode, ein festgelegtes Ergebnis und einen Preis, der vor Beginn der Arbeit feststeht.
Tests von iOS- und Android-Apps zusammen mit ihrem Backend: Speicherung, Übertragung, Zusammenspiel mit der Plattform und Widerstand gegen Manipulation.
Prüfung von Umgebungen in AWS, Azure, Google Cloud und Kubernetes: Identitäten, Erreichbarkeit aus dem Netz, Datenspeicher und Pfade vom ersten Zugriff bis zur vollen Kontrolle.
Externe und interne Penetrationstests von Netzwerken und Active Directory: von einem exponierten Dienst oder einem einzelnen Arbeitsplatzrechner bis zur Kontrolle über die Domäne.
Kontrollierte Kampagnen per Phishing, Telefon und Messenger, die messen, wie Menschen und Prozesse reagieren, mit Ergebnissen nach Gruppen und nie nach Namen.
Tests von LLM-Anwendungen, Agenten und MCP-Integrationen aus Sicht eines Angreifers: Prompt Injection, Abfluss von Daten, Missbrauch von Tools und Ausbruch aus der vorgesehenen Aufgabe.
Ein öffentlicher Kanal und ein funktionierender Prozess für Meldungen über Schwachstellen von außen: Richtlinie, security.txt, Eingang, Triage und koordinierte Offenlegung.
Penetrationstests, deren Prüfumfang und Dokumentation als Nachweis für PCI DSS, SOC 2, ISO/IEC 27001, DORA und NIS2 dienen.
Programme und Absicherung
04Projektablauf
Von der Anfrage bis zur bestätigten Behebung
So läuft ein kostenpflichtiges Projekt ab. Jeder Schritt endet mit einem Dokument, das Sie behalten.
01
Anfrage
Sie beschreiben die Systeme und das Ziel. Ein Kundenbetreuer antwortet innerhalb von 1 Arbeitstag.
Referenznummer der Anfrage
02
Abstimmung des Prüfumfangs
Wir vereinbaren Systeme, Ausschlüsse, Testzeitfenster, Testkonten und Ansprechpersonen. Sie erhalten ein Angebot mit der Methodik und einem Festpreis.
Angebot
03
Genehmigung
Vertraulichkeitsvereinbarung (NDA), Vertrag und Genehmigungsschreiben werden unterzeichnet. Wir prüfen die Regeln Ihrer Hosting- und Cloud-Anbieter für Sicherheitstests.
Genehmigungsschreiben, Testregeln
04
Tests
Manuelle Tests mit Unterstützung durch Werkzeuge. Befunde mit Schweregrad kritisch oder hoch werden innerhalb von 24 Stunden nach Bestätigung gemeldet und nicht bis zum Abschlussbericht zurückgehalten.
Mitteilungen zu dringenden Befunden
05
Bericht und Abschlussgespräch
Eine Management-Zusammenfassung für die Geschäftsleitung, technische Details für die Entwickler und ein Gespräch mit beiden, in dem wir den Bericht durchgehen.
Bericht
06
Nachtest
Sobald die Korrekturen eingespielt sind, testen wir jeden Befund innerhalb von 60 Tagen nach Übergabe des Berichts nach und stellen ein Bestätigungsschreiben aus.
Der Bericht ist das Produkt. Ein zweiter Spezialist prüft ihn, bevor er Sie erreicht.
Management-Zusammenfassung
Das Risiko in der Sprache des Geschäfts, der Zustand des Systems und die Prioritäten, auf zwei Seiten.
Prüfumfang und Methode
Was getestet wurde, wann, von wo aus, mit welchen Konten und was außerhalb des Prüfumfangs blieb.
Befunde
Ein Eintrag pro Problem: Beschreibung, Nachweis, Reproduktion, Auswirkung, Vektor nach CVSS 4.0, CWE, Behebung.
Angriffspfade
Wie sich einzelne Schwächen Schritt für Schritt zu einer Kompromittierung verketten.
Plan zur Behebung
Korrekturen, geordnet nach dem Risiko, das sie beseitigen, und nach dem Aufwand, den sie erfordern.
Ergebnisse des Nachtests
Der Status jedes Befunds nach der Behebung und das Bestätigungsschreiben.
06Formen der Zusammenarbeit
So können Sie mit uns arbeiten
Die Form der Zusammenarbeit richtet sich nach der Reife des Systems und dem Tempo seiner Releases.
Kostenloser Website-Check
Ein externer Check einer einzelnen Website. Sie erfahren, ob sie für verbreitete Angriffe offen ist, bevor Sie etwas ausgeben.
Geeignet für
Einen ersten Blick auf die Sicherheit einer öffentlichen Website.
Preis
Kostenlos. Bezahlt wird der Bericht nur, wenn Schwachstellen gefunden werden; sein Preis hängt von ihrer Anzahl und ihrem Schweregrad ab.
Prüfung mit festem Umfang
Eine festgelegte Gruppe von Systemen wird einmal getestet, mit Bericht und Nachtest.
Geeignet für
Releases, Audits, Due Diligence, Compliance-Fristen.
Preis
Festpreis für den vereinbarten Prüfumfang.
Kontinuierliche Tests
Ein festes Team testet jede wesentliche Änderung und prüft den Perimeter nach Zeitplan erneut.
Geeignet für
Produkte, die jede Woche ausgeliefert werden.
Preis
Monatliche Pauschale für ein vereinbartes Testvolumen.
Bezahlung nach Ergebnis
Eine private, zeitlich begrenzte Suche nach Schwachstellen durch unser Team. Sie zahlen für bestätigte Schwachstellen nach einer im Voraus vereinbarten Prämientabelle.
Geeignet für
Ausgereifte Systeme, die bereits getestet wurden.
Preis
Prämie pro bestätigtem Befund, mit einer Obergrenze für das Budget.
Management von Programmen
Wir konzipieren, starten und betreiben Ihr Bug-Bounty-Programm oder Ihr Programm zur Offenlegung von Schwachstellen: Richtlinie, Prüfumfang, Triage und Kommunikation mit Sicherheitsforschern.
Geeignet für
Unternehmen, die sich für externe Sicherheitsforscher öffnen.
Preis
Einrichtungsgebühr und monatliche Gebühr für das Management.
07Bug Bounty
Eine Plattform, auf der Schwachstellen offiziell bezahlt werden
Inhaber veröffentlichen Programme und nennen die Prämie. Sicherheitsforscher melden Schwachstellen über uns und werden von uns bezahlt. Wir verifizieren den Inhaber, prüfen jede Meldung und stehen für das Geld ein.
Ein Programm wird erst veröffentlicht, wenn sein Inhaber mit Dokumenten belegt hat, dass das System ihm gehört.
Der Inhaber legt die Prämien fest. Der Sicherheitsforscher erhält die volle Prämie.
Unsere Provision beträgt 20 % jeder Prämie und wird vom Inhaber gezahlt.
Jede Meldung wird geprüft, reproduziert und auf der CVSS-4.0-Skala bewertet.
Eine Meldung bleibt zwischen dem Sicherheitsforscher, dem Inhaber und uns.
08Standards
Methoden, die Sie nachschlagen können
Wir arbeiten nach öffentlichen Standards, nennen die Version und ordnen ihnen die Befunde zu. Einem Standard zu folgen ist nicht dasselbe, wie danach zertifiziert zu sein: Eine Zertifizierung nennt diese Website nur zusammen mit einem Link, über den sie sich prüfen lässt.
Ja. Der Check selbst kostet nichts, und auch der Bericht ist kostenlos, wenn keine Schwachstellen gefunden werden. Finden wir Schwachstellen, erfahren Sie kostenlos ihre Anzahl und ihren Schweregrad und entscheiden, ob Sie den Bericht kaufen; sein Preis hängt von der Anzahl und dem Schweregrad der Befunde ab.
Sind Penetrationstests legal?
Ja, wenn der Inhaber des Systems sie schriftlich genehmigt hat. Ohne Genehmigung sind dieselben Handlungen in den meisten Rechtsordnungen eine Straftat. Deshalb beginnt jedes Projekt mit einem Genehmigungsschreiben und einem Prüfumfang, und deshalb prüfen wir, ob der Unterzeichner zeichnungsberechtigt ist.
Was unterscheidet einen Penetrationstest von Bug Bounty?
Ein Penetrationstest ist eine zeitlich begrenzte Prüfung durch ein beauftragtes Team in einem vereinbarten Prüfumfang, mit einem Bericht über alles, was getestet wurde. Ein Bug-Bounty-Programm ist ein unbefristetes Programm, in dem unabhängige Sicherheitsforscher für gültige Befunde eine Prämie erhalten. Der Test gibt Gewissheit über den Stand zu einem Zeitpunkt, das Programm sorgt für fortlaufende Entdeckungen. Reife Organisationen nutzen beides.
Stören die Tests den Produktivbetrieb?
Die Testregeln legen fest, was erlaubt ist: Testzeitfenster, Anfrageraten, ausgeschlossene Techniken und Abbruchkriterien. Denial-of-Service-Tests führen wir nie durch, es sei denn, Sie verlangen sie schriftlich. Bemerken wir Instabilität, brechen wir ab und rufen Ihre Ansprechperson an.
Wie wird der Preis bestimmt?
Nach Größe und Komplexität des Prüfumfangs, nach der Testtiefe und nach dem gewährten Zugang. Nach der Abstimmung des Prüfumfangs erhalten Sie einen Festpreis; er ändert sich nur, wenn sich der Prüfumfang ändert.
Was geschieht mit unseren Daten?
Wir erheben nur die Nachweise, die nötig sind, um einen Befund zu belegen. Arbeitsdaten werden verschlüsselt gespeichert und 30 Tage nach Abschluss des Projekts vernichtet. Berichte werden über einen im Voraus vereinbarten sicheren Kanal übergeben.
Unterzeichnen Sie eine Vertraulichkeitsvereinbarung?
Ja. Die Vertraulichkeitsvereinbarung (NDA) wird unterzeichnet, bevor Sie Details zu Ihren Systemen weitergeben.