Was Sie prüfen können, bevor Sie uns vertrauen

Offensive Sicherheit kauft man auf Vertrauen, und Vertrauen sollte auf dem beruhen, was sich prüfen lässt. Diese Seite legt dar, wie wir mit Genehmigungen, mit Ihren Daten und mit unserer eigenen Sicherheit umgehen, und sagt klar, was wir nicht behaupten.

01Genehmigung

Nichts wird ohne den Inhaber getestet

  • Prüfung der Berechtigung

    Wir prüfen, ob die Person, die die Genehmigung unterzeichnet, dazu berechtigt ist: Handelsregister, Inhaberschaft der Domains, Bestätigung über einen offiziellen Kanal.

  • Systeme Dritter

    Systeme von Hosting-, Cloud- und SaaS-Anbietern werden nur im Rahmen ihrer veröffentlichten Regeln für Sicherheitstests oder mit ihrer Zustimmung getestet.

  • Anfragen, die wir ablehnen

    Tests von Systemen, die dem Anfragenden nicht gehören, die Wiederherstellung fremder Konten, Überwachung und Vergeltung. Solche Anfragen lehnen wir ab.

02Ihre Daten

Wie wir mit Projektdaten umgehen

  • Minimale Erhebung

    Wir halten fest, was einen Befund belegt, und nichts darüber hinaus. Personenbezogene Daten in Nachweisen werden unkenntlich gemacht, wo immer der Nachweis dadurch erhalten bleibt.

  • Verschlüsselung

    Projektdaten werden verschlüsselt gespeichert. Berichte und Zugangsdaten werden über einen im Voraus vereinbarten sicheren Kanal ausgetauscht.

  • Zugriff

    Nur die Spezialisten, die einem Projekt zugewiesen sind, haben Zugriff auf seine Daten.

  • Aufbewahrung

    Arbeitsdaten werden 30 Tage nach Abschluss des Projekts vernichtet. Der Bericht wird so lange aufbewahrt, wie der Vertrag es vorsieht.

  • Vertraulichkeit

    Ohne schriftliche Zustimmung nennen wir keine Kunden und veröffentlichen keine Berichte.

  • Formulare dieser Website

    Anfragen und Anträge, die über ein Formular dieser Website gesendet werden, werden 365 Tage gespeichert und danach automatisch gelöscht.

03Diese Website

Die Sicherheit der Website, die Sie gerade lesen

  • Keine Tracker

    Keine Werbe- oder Analyse-Cookies und keine Skripte Dritter, außer der Missbrauchsprüfung der Formulare.

  • Strenge Inhaltsrichtlinie

    Eine Content Security Policy ohne Inline-Code, HSTS und Isolations-Header bei jeder Antwort.

  • Missbrauchsprüfung

    Die Formulare sind durch Cloudflare Turnstile geschützt. Die Prüfung startet, wenn Sie beginnen, ein Formular auszufüllen, oder es senden, nicht vorher.

  • Keine Adressen im Klartext

    Die IP-Adresse der Person, die ein Formular sendet, wird nur als schlüsselabhängiger Hashwert gespeichert und nur zur Begrenzung der Anfragerate verwendet.

  • security.txt

    Schwachstellen dieser Website melden Sie so, wie es in security.txt und in unserer Richtlinie zur Offenlegung beschrieben ist.

  • Funktioniert ohne Skripte

    Jede Seite lässt sich mit deaktiviertem JavaScript lesen und bedienen. Nur die Formulare brauchen es.

04KI-Richtlinie

Wie wir KI einsetzen und wie nicht

  • Von Menschen geprüft

    Die Ergebnisse von Werkzeugen und Modellen prüft ein Spezialist, bevor sie gemeldet werden.

  • Keine Kundendaten in öffentlichen Diensten

    Code, Daten und Befunde von Kunden werden nie an öffentliche KI-Dienste übermittelt.

  • Kein Training mit Kundendaten

    Nichts aus einem Projekt wird zum Training von Modellen verwendet.

  • Transparenz

    Wenn Werkzeuge mit KI-Unterstützung Teil eines Projekts sind, steht das im Angebot.

05Offizielle Kanäle

Wie Sie sicher sein können, dass wir es sind

Sicherheitsunternehmen werden nachgeahmt. Mit diesen Regeln erkennen Sie den Unterschied.

  • Wir beantworten Anfragen nur über die Kanäle, die auf dieser Seite aufgeführt sind.
  • In der ersten Antwort bitten wir nie um Zahlung, Passwörter oder Fernzugriff.
  • Wir wenden uns nie unaufgefordert wegen einer Schwachstelle an ein Unternehmen und verlangen Geld. Wer das in unserem Namen tut, gehört nicht zu uns.
  • Jede Anfrage hat eine Referenznummer im Format REQ-XXXX-XXXX. Nennen Sie diese Nummer, und bitten Sie uns, sie zu nennen.

06Was wir nicht behaupten

Kein Versprechen, das sich nicht halten lässt

  • Wir versprechen nicht, jede Schwachstelle zu finden. Ein Test ist zeitlich und im Umfang begrenzt, und der Bericht nennt, was abgedeckt wurde.
  • Wir versprechen nicht, dass niemand in ein getestetes System eindringen kann.
  • Wir behaupten keine Empfehlung durch OWASP, MITRE, NIST, FIRST oder eine Plattform. Wir folgen ihren öffentlichen Standards.
  • Wir zeigen keine Logos von Kunden, Zertifizierungen oder Partnern, die sich nicht prüfen lassen.

07Anfrage

Sagen Sie uns, was getestet werden soll

  • Website-Check kostenlos
  • Antwort innerhalb von 1 Arbeitstag
  • NDA vor jedem technischen Detail
  • Festpreis für kostenpflichtige Projekte
  • Unverbindlich

Prüfung anfragen

Beschreiben Sie die Systeme und das Ziel. Ein Kundenbetreuer antwortet innerhalb von 1 Arbeitstag mit Rückfragen und dem nächsten Schritt.

Wem wir antworten

Wir antworten an diese Adresse, sofern Sie keinen anderen Kanal wählen.

Einzelunternehmer geben ihren eigenen Namen an.

Bevorzugter Kanal
Was wir prüfen sollen
Gewünschte Leistungen

Mehrfachauswahl möglich.

Kostenloser Check

Wir prüfen Ihre Website kostenlos

Finden wir keine Probleme, erhalten Sie auch den Bericht kostenlos. Sie zahlen für den Bericht nur, wenn wir Probleme finden, und sein Preis hängt von ihrer Anzahl und ihrem Schweregrad ab.

Bedingungen des kostenlosen Website-Sicherheitschecks

Anwendungssicherheit

Infrastruktur und Cloud

Angriffssimulation

KI, Web3 und Kryptografie

Programme und Absicherung

Anwendungssicherheit

Kostenloser Website-Sicherheitscheck

Wir betrachten Ihre Website von außen, so wie ein Angreifer sie sieht, und prüfen, ob jemand in sie eindringen kann: schwache Einstellungen, veraltete Software, offen zugängliche Dateien, unsichere Formulare. Der Check ist kostenlos.

Anwendungssicherheit

Penetrationstest für Webanwendungen

Wir versuchen, in Ihre Webanwendung einzudringen, so wie es ein echter Angreifer täte: uns in fremde Konten einloggen, die Daten anderer Kunden lesen, Preise oder Bestellungen ändern. Sie erfahren, was möglich ist, bevor Kriminelle es erfahren.

Anwendungssicherheit

API-Sicherheitstest

Eine API ist der Kanal, über den Ihre App, Ihre Website und Ihre Partner Daten mit Ihren Servern austauschen. Wir prüfen, ob jemand darüber Daten lesen oder ändern kann, die ihm nicht gehören.

Anwendungssicherheit

Penetrationstest für mobile Apps

Wir prüfen Ihre iOS- oder Android-App und die Server dahinter: was die App auf dem Telefon speichert, was sich aus ihr auslesen lässt und ob sich ihre Anfragen manipulieren lassen.

Anwendungssicherheit

Quellcode-Review

Unsere Spezialisten lesen den Quellcode Ihres Produkts und finden die Fehler, die zu einem Einbruch führen, auch solche, die von außen nicht zu sehen sind.

Infrastruktur und Cloud

Sicherheitsprüfung für Cloud und Kubernetes

Wir prüfen, wie Ihre Cloud eingerichtet ist (AWS, Azure, Google Cloud, Kubernetes): wer worauf Zugriff hat, welche Daten aus dem Internet offen zugänglich sind und wie weit ein Angreifer nach dem ersten Fehler kommt.

Infrastruktur und Cloud

Penetrationstest der Infrastruktur

Wir testen Ihre Server und Ihr Büronetzwerk von außen und von innen: Kommt ein Angreifer hinein, und erreicht er dann das Buchhaltungssystem, die E-Mails oder die Backups?

Infrastruktur und Cloud

Prüfung der externen Angriffsfläche

Wir finden alles, was von Ihrem Unternehmen im Internet sichtbar ist, auch das Vergessene: alte Websites, Testserver, geleakte Passwörter. Dann zeigen wir, was davon angreifbar ist.

Infrastruktur und Cloud

Sicherheit von CI/CD und Lieferkette

Wir prüfen den Weg, den Ihr Code vom Entwickler zum Kunden nimmt: Build-Server, Bibliotheken von Dritten, Zugriffsschlüssel. Wer diesen Weg kontrolliert, kontrolliert Ihr Produkt.

Angriffssimulation

Red-Team-Operationen

Eine Übung in vollem Umfang. Unser Team spielt einen echten Angreifer mit einem Ziel, zum Beispiel an Kundendaten zu gelangen, und Sie sehen, ob Ihre Verteidigung ihn bemerkt und stoppt.

Angriffssimulation

Purple-Team-Übungen

Unsere Angreifer und Ihre Verteidiger arbeiten Seite an Seite: Wir zeigen eine Angriffstechnik, Ihr Team prüft, ob es sie sieht, und die Lücken in der Überwachung werden sofort geschlossen.

Angriffssimulation

Social-Engineering-Prüfung

Wir testen Menschen, nicht Maschinen: mit den Phishing-E-Mails, Anrufen und Nachrichten, mit denen Angreifer an Passwörter gelangen. Sie erfahren, wie viele Beschäftigte sich täuschen lassen würden und wo Schulungen ansetzen sollten.

KI, Web3 und Kryptografie

KI- und LLM-Sicherheitstest

Wenn Ihr Produkt einen Chatbot oder ein anderes KI-Modell enthält, prüfen wir, ob es sich dazu überreden lässt, vertrauliche Daten preiszugeben, seine eigenen Regeln zu brechen oder im Namen einer anderen Person zu handeln.

KI, Web3 und Kryptografie

Smart-Contract-Audit

Bevor ein Smart Contract Geld verwahrt, suchen wir in seinem Code nach Fehlern, über die jemand die Gelder abziehen oder einfrieren könnte. Nach der Bereitstellung auf der Blockchain lassen sich solche Fehler nicht mehr korrigieren.

KI, Web3 und Kryptografie

Kryptografie-Review

Wir prüfen, wie Ihr Produkt Daten verschlüsselt und Schlüssel schützt: ob die richtigen Algorithmen gewählt sind und ob sie richtig angewendet werden. Ein Fehler an dieser Stelle macht die Verschlüsselung wertlos.

Programme und Absicherung

Management von Bug-Bounty-Programmen

In einem Bug-Bounty-Programm suchen unabhängige Sicherheitsforscher nach Schwachstellen in Ihrem Produkt und erhalten für jede gefundene Schwachstelle eine Prämie. Wir starten und betreiben ein solches Programm für Sie.

Programme und Absicherung

Programm zur Offenlegung von Schwachstellen (VDP)

Eine öffentliche Seite und ein Verfahren, die Sicherheitsforschern sagen, wie sie Ihnen eine Schwachstelle gefahrlos melden. Ohne sie gehen Meldungen verloren oder kommen als Drohungen an. Wir richten den Prozess ein und bearbeiten eingehende Meldungen.

Programme und Absicherung

Kontinuierliche Penetrationstests

Statt eines Tests im Jahr testen wir jede wesentliche Änderung Ihres Produkts über das ganze Jahr hinweg, damit eine neue Schwachstelle nicht monatelang darauf wartet, gefunden zu werden.

Programme und Absicherung

Penetrationstest für Compliance

Ein Penetrationstest, der so angelegt ist, dass ein Auditor, eine Aufsichtsbehörde oder ein Großkunde seinen Bericht akzeptiert: PCI DSS, DORA, NIS2, ISO/IEC 27001, SOC 2.

Gewünschte Leistungen

Noch nicht sicher

Wählen Sie diese Option, wenn Sie nicht wissen, welche Leistung Sie brauchen. Beschreiben Sie die Aufgabe in eigenen Worten, und ein Spezialist schlägt in der Antwort eine Leistung vor.

Domain oder URL der Website oder des Hauptsystems, das getestet werden soll, zum Beispiel app.example.com.

Was getestet werden soll, warum jetzt und welche Fristen oder Compliance-Anforderungen es gibt. Keine Passwörter, Schlüssel oder Details zu Schwachstellen.

Bestätigungen

Senden Sie über dieses Formular keine Zugangsdaten, Schlüssel oder Details zu einer Schwachstelle. Ein sicherer Kanal wird nach der ersten Antwort vereinbart.

Automatische Missbrauchsprüfung