Fragen und Antworten

Ja, wenn der Inhaber des Systems sie schriftlich genehmigt hat. Ohne Genehmigung sind dieselben Handlungen in den meisten Rechtsordnungen eine Straftat. Deshalb beginnt jedes Projekt mit einem Genehmigungsschreiben und einem Prüfumfang, und deshalb prüfen wir, ob der Unterzeichner zeichnungsberechtigt ist.

Der Inhaber des Systems oder eine Person, die der Inhaber dazu ermächtigt hat: in der Regel ein Geschäftsführer oder ein Leiter der Sicherheit oder der Technik, der mit einer vom Unternehmen erteilten Vollmacht handelt. Wir bitten um eine Bestätigung über einen offiziellen Kanal des Unternehmens.

Ihre eigene für das, was Sie betreiben, und für die Plattform darunter die Richtlinie des Anbieters. Die großen Anbieter veröffentlichen Richtlinien für Sicherheitstests, die das Testen eigener Ressourcen ohne vorherige Freigabe erlauben und aufführen, was verboten ist. Wir prüfen die aktuelle Richtlinie vor jedem Projekt.

Nur mit schriftlicher Zustimmung des Zulieferers. Ihr Vertrag mit einem Zulieferer gibt Ihnen nicht das Recht, einen Angriff auf dessen Systeme zu genehmigen, es sei denn, der Vertrag sieht das vor.

Das hängt vom Prüfumfang ab. Das Angebot nennt die Anzahl der Testtage und die Kalendertermine; beides wird vor Unterzeichnung des Vertrags vereinbart.

Die Testregeln legen fest, was erlaubt ist: Testzeitfenster, Anfrageraten, ausgeschlossene Techniken und Abbruchkriterien. Denial-of-Service-Tests führen wir nie durch, es sei denn, Sie verlangen sie schriftlich. Bemerken wir Instabilität, brechen wir ab und rufen Ihre Ansprechperson an.

Eine Ansprechperson, Testkonten, eine Beschreibung des Systems und idealerweise eine Umgebung, die der Produktivumgebung entspricht. Auf der Seite jeder Leistung steht, was diese Leistung braucht.

Sie werden innerhalb von 24 Stunden nach Bestätigung über den zu Beginn vereinbarten sicheren Kanal informiert, mit genug Details, um handeln zu können. Wir warten nicht auf den Abschlussbericht.

Eine Management-Zusammenfassung, den Prüfumfang und die Methode, jeden Befund mit Nachweisen, Schritten zur Reproduktion, einem Vektor nach CVSS 4.0, einer CWE-Klasse und einer Empfehlung zur Behebung, die Angriffspfade und einen nach Priorität geordneten Plan zur Behebung.

Ja. Ein Nachtest jedes Befunds innerhalb von 60 Tagen nach Übergabe des Berichts ist enthalten. Danach erhalten Sie einen aktualisierten Bericht und ein Bestätigungsschreiben.

Dafür ist das Bestätigungsschreiben gedacht: Es nennt, was getestet wurde, wann, mit welcher Methode und mit welchem Ergebnis, ohne technische Details. Den vollständigen Bericht können Sie weitergeben, wie Sie es für richtig halten.

Nein. Ein Test zeigt den Zustand der Systeme im Prüfumfang während des Testzeitfensters, in der vereinbarten Tiefe. Er senkt das Risiko und belegt, was geprüft wurde; er kann nicht beweisen, dass keine Schwachstelle existiert. Systeme ändern sich mit jedem Release, und deshalb gibt es den Nachtest und kontinuierliche Tests.

Zu jedem Befund gehört eine konkrete Empfehlung zur Behebung, und das Abschlussgespräch ist für die Fragen Ihrer Entwickler da. Wir ändern Ihre Systeme nicht selbst: Wer testet, sollte nicht derjenige sein, der behebt.

Ja. Der Check kostet nichts, und auch der Bericht ist kostenlos, wenn keine Schwachstellen gefunden werden. Finden wir Schwachstellen, erfahren Sie kostenlos ihre Anzahl und ihren Schweregrad und entscheiden, ob Sie den Bericht kaufen. Sein Preis hängt von der Anzahl und vom Schweregrad der Befunde ab und wird genannt, bevor Sie sich entscheiden.

Nichts. Sie schulden nichts, und was wir gefunden haben, bleibt vertraulich: Wir geben es an niemanden weiter und veröffentlichen nichts. Anzeichen dafür, dass bereits jemand in die Website eingedrungen ist, teilen wir Ihnen sofort und kostenlos mit.

Nach Größe und Komplexität des Prüfumfangs, nach der Testtiefe und nach dem gewährten Zugang. Nach der Abstimmung des Prüfumfangs erhalten Sie einen Festpreis; er ändert sich nur, wenn sich der Prüfumfang ändert.

Ja. Die Vertraulichkeitsvereinbarung (NDA) wird unterzeichnet, bevor Sie Details zu Ihren Systemen weitergeben.

Wir korrespondieren und schreiben Berichte auf Englisch und auf Russisch. Eine Anfrage kann in jeder Sprache dieser Website geschrieben werden; die Antwort kommt auf Englisch oder auf Russisch. Eine Management-Zusammenfassung des Berichts in der zweiten Sprache erhalten Sie auf Wunsch.

Arbeitsdaten werden 30 Tage nach Abschluss des Projekts vernichtet. Der Bericht wird so lange aufbewahrt, wie der Vertrag es vorsieht, und dann gelöscht.

Inhaber veröffentlichen Programme und nennen die Prämien, nachdem sie mit Dokumenten belegt haben, dass das System ihnen gehört. Sicherheitsforscher melden Schwachstellen über die Plattform. Wir prüfen jede Meldung und zahlen die Prämie aus. Unsere Provision beträgt 20 % jeder Prämie und wird vom Inhaber gezahlt.

Ein Penetrationstest ist eine zeitlich begrenzte Prüfung durch ein beauftragtes Team in einem vereinbarten Prüfumfang, mit einem Bericht über alles, was getestet wurde. Ein Bug-Bounty-Programm ist ein unbefristetes Programm, in dem unabhängige Sicherheitsforscher für gültige Befunde eine Prämie erhalten. Der Test gibt Gewissheit über den Stand zu einem Zeitpunkt, das Programm sorgt für fortlaufende Entdeckungen.

Wenn Sie noch keinen Penetrationstest hatten, nein. Beginnen Sie mit einem Test und einem privaten Programm. Ein öffentlicher Start mit einem ungetesteten Prüfumfang zahlt hohe Prämien für Befunde, die eine Prüfung zum Festpreis geliefert hätte.

Zahlen Sie nicht unter Druck und drohen Sie nicht. Bestätigen Sie den Eingang, fragen Sie nach den technischen Details und prüfen Sie die Angaben. Wir können die Meldung prüfen, ihren Schweregrad bewerten und Ihnen bei der Antwort helfen: Senden Sie eine Anfrage über das Formular und erwähnen Sie, dass eine Meldung auf Antwort wartet.