Question 1

Was ist ein Penetrationstest?

Accepted Answer

Ein Penetrationstest (kurz: Pentest) ist ein autorisierter, kontrollierter Sicherheitstest, bei dem zertifizierte IT-Sicherheitsexperten die Vorgehensweise realer Angreifer simulieren. Ziel ist es, Schwachstellen in IT-Systemen, Netzwerken und Applikationen zu identifizieren und zu verifizieren - bevor Cyberkriminelle sie ausnutzen können. Anders als automatisierte Vulnerability Scans liefern manuelle Pentests validierte Ergebnisse ohne False Positives, reale Angriffspfade und eine priorisierte Handlungsempfehlung.

Question 2

Was ist die AWARE7 Pentest Box?

Accepted Answer

Die AWARE7 Pentest Box ist ein physisches Gerät, das wir einmalig bei Ihnen vor Ort ins Netzwerk einbinden. Danach führen unsere Experten den internen Penetrationstest vollständig remote durch. Das Gerät verbindet sich ausschließlich über verschlüsselten Mobilfunk zurück zu uns - ohne VPN-Zugang oder Firewall-Anpassungen Ihrerseits. Das Ergebnis ist eine gleichwertige interne Analyse wie bei einem klassischen Vor-Ort-Einsatz, jedoch ohne Reise- und Übernachtungskosten.

Question 3

Wie unterscheidet sich ein Pentest von einem Vulnerability Scan?

Accepted Answer

Ein Vulnerability Scan ist ein automatisiertes Tool, das bekannte Schwachstellen auflistet - oft mit einer hohen Rate an False Positives. Unsere eigene Forschung an 5,6 Mio. Websites zeigt: 95% aller Websites nutzen Software mit bekannten Schwachstellen - Scanner erkennen nur die Spitze des Eisbergs (Demir et al., PAM 2021). Ein Penetration Test geht deutlich weiter: Unsere Experten verifizieren jede Schwachstelle manuell, verketten sie zu Angriffspfaden, testen Business-Logic-Fehler und finden Schwachstellen, die kein Scanner erkennt. Sie erhalten verifizierte, reproduzierbare Findings mit konkreten Handlungsempfehlungen.

Question 4

Wie lange dauert ein Penetration Test?

Accepted Answer

Die Dauer richtet sich nach Scope und Komplexität. Ein Web-Applikationstest dauert typischerweise 5-10 Werktage, ein umfassender Infrastrukturtest 10-20 Werktage. Im kostenlosen Erstgespräch klären wir den genauen Zeitrahmen und Sie erhalten innerhalb von 24 Stunden (werktags) ein Festpreisangebot.

Question 5

Können unsere Systeme dabei beschädigt werden?

Accepted Answer

Nein. Wir arbeiten nach anerkannten Standards (OWASP, PTES, OSSTMM) und stimmen alle Tests vorab ab. Destruktive Tests wie DoS führen wir nur in isolierten Testumgebungen durch. Vor Tests in der operativen Umgebung wird ein aktuelles Back-Up erstellt. Unsere Tester sind ISO 27001 Lead Auditoren und halten sich an vertraglich fixierte Rules of Engagement.

Question 6

Welche Arten von Pentests bieten Sie an?

Accepted Answer

Wir decken alle Bereiche ab: Web-Applikationen (OWASP Top 10, API Security), Netzwerk-Infrastruktur (intern/extern, Active Directory), Mobile Apps (iOS/Android), Cloud-Umgebungen (AWS, Azure, GCP) und IoT/OT-Systeme. Sowohl Black-Box (ohne Vorwissen), Grey-Box (mit Zugangsdaten) als auch White-Box (mit Quellcode) Tests.

Question 7

Ist ein Pentest für die NIS-2-Compliance erforderlich?

Accepted Answer

Ja. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zur Bewertung der Wirksamkeit ihrer Sicherheitsmaßnahmen (Abs. 2 Nr. 6) - Penetrationstests gelten als anerkannter Stand der Technik. Auch die DORA-Verordnung fordert seit dem 17. Januar 2025 „bedrohungsorientierte Penetrationstests" für Finanzunternehmen (Art. 26, 27 DORA). Unsere Berichte sind als Compliance-Nachweis für Auditoren und Behörden konzipiert.

Question 8

Was kostet ein Penetration Test?

Accepted Answer

Die Kosten richten sich nach Umfang und Komplexität. Ein Web-App-Penetrationstest beginnt ab 6.750 EUR, ein externer Netzwerk-Penetrationstest ab 5.400 EUR und ein interner Netzwerk-Penetrationstest ab 8.100 EUR. Sie erhalten innerhalb von 24 Stunden (werktags) ein verbindliches Festpreisangebot - keine Stundensätze, keine Nachforderungen, keine Überraschungen.

Question 9

Wie oft sollte ein Pentest durchgeführt werden?

Accepted Answer

Mindestens jährlich, bei kritischen Systemen oder nach größeren Änderungen (neue Releases, Infrastruktur-Umbau, M&A) häufiger. NIS-2-betroffene Unternehmen sollten vierteljährlich testen. Viele unserer Kunden nutzen unser Retainer-Modell für regelmäßige, planbare Tests zu reduzierten Konditionen.

Question 10

Wie sieht der Pentest-Bericht aus?

Accepted Answer

Unser Bericht enthält: Management Summary für die Geschäftsführung (1-2 Seiten), detaillierte technische Findings mit CVSS-Score, Screenshots, reproduzierbaren Proof-of-Concepts und konkreten Handlungsempfehlungen, eine Risiko-Matrix und eine priorisierte Roadmap. Auf Anfrage erhalten Sie vorab einen Muster-Bericht.

Question 11

Ist ein Penetrationstest legal?

Accepted Answer

Ja - wenn er professionell durchgeführt wird. Penetration Tests sind als technische und organisatorische Maßnahmen (TOMs) nach Art. 32 Abs. 1 DSGVO, § 165 TKG und § 31 BSIG rechtlich legitimiert. Das BSI empfiehlt sie als „bewährtes Mittel" zur Absicherung. Entscheidend ist die vertragliche Absicherung: Wir fixieren vor Testbeginn Einwilligungen, Bestimmungserklärungen und den Prüfumfang schriftlich. So stellen wir sicher, dass keine Straftatbestände (§§ 202a-c, 303a StGB) verwirklicht werden und unsere Tester befugt handeln.

Question 12

Arbeiten Sie mit Freelancern oder Subunternehmern?

Accepted Answer

Nein, grundsätzlich nicht. Alle Pentester sind festangestellt bei AWARE7 und unterliegen strengen Vertraulichkeitsvereinbarungen. Kein Freelancer, kein Subunternehmer hat Zugriff auf Ihre Systeme oder Ergebnisse. Der Einsatz einheitlicher Teams in der Durchführungs- und Auswertungsphase reduziert zudem strafrechtliche Risiken, wie auch in der juristischen Fachliteratur empfohlen. Alle Daten werden in Deutschland verarbeitet - auf unserer eigenen Infrastruktur, nicht in der Cloud.

Question 13

Was ist der Unterschied zwischen Black-Box, Grey-Box und White-Box Pentest?

Accepted Answer

Beim Black-Box-Pentest simulieren wir einen externen Angreifer ohne Vorwissen - wir erhalten nur den Scope (z. B. eine Domain oder IP-Range). Beim Grey-Box-Test arbeiten wir mit eingeschränktem Vorwissen, etwa Zugangsdaten oder Architektur-Dokumentation. Der White-Box-Pentest (auch Code Review) ist die umfassendste Variante: wir erhalten vollständigen Quellcode-Zugang und Architektur-Details. Die Wahl hängt vom Schutzbedarf ab - für maximale Abdeckung empfehlen wir Grey-Box als Standard.

Question 14

Was ist der Unterschied zwischen Penetrationstest und Schwachstellenanalyse?

Accepted Answer

Eine Schwachstellenanalyse (Vulnerability Assessment) nutzt automatisierte Scanner, um bekannte Schwachstellen aufzulisten - oft mit einer hohen Rate an False Positives. Unsere Forschung zeigt: 95% aller Websites nutzen Software mit bekannten Schwachstellen, doch Scanner erkennen nur einen Bruchteil der tatsächlichen Angriffsvektoren (Demir et al., PAM 2021). Ein Penetrationstest geht deutlich weiter: Unsere OSCP-zertifizierten Experten verifizieren jede Schwachstelle manuell, verketten sie zu realistischen Angriffspfaden und bewerten das tatsächliche Geschäftsrisiko. Das Ergebnis: keine False Positives, reproduzierbare Proof-of-Concepts und konkrete Handlungsempfehlungen mit CVSS-Bewertung.

Question 15

Was unterscheidet einen Penetrationstest von Red Teaming?

Accepted Answer

Ein Penetrationstest hat einen definierten Scope (z. B. eine Web-App oder ein Netzwerksegment) und das Ziel, möglichst alle Schwachstellen zu finden. Red Teaming simuliert dagegen einen realen Angreifer über alle Vektoren hinweg - Technik, Phishing, Social Engineering, physischer Zugang - mit dem Ziel, ein konkretes Angriffsziel zu erreichen (z. B. Domain Admin oder Zugriff auf Kundendaten). Red Teaming testet primär Ihre Erkennung und Reaktion (Blue Team), während ein Pentest Ihre technische Angriffsfläche abdeckt.

Question 16

Welche Standards und Methoden nutzt AWARE7 beim Penetrationstest?

Accepted Answer

Wir orientieren uns am BSI-Praxis-Leitfaden für IS-Penetrationstests, dem OWASP Testing Guide (für Web-Applikationen und APIs), dem PTES (Penetration Testing Execution Standard) und dem MITRE ATT&CK Framework (für Red Teaming). Unser Vorgehen folgt einem 5-Phasen-Modell: Vorbereitung, Informationsbeschaffung, Analyse & Bewertung, Aktive Eindringversuche und Abschlussanalyse mit Berichterstellung. Alle Tests werden nach anerkannten IT-Sicherheitsstandards dokumentiert und sind als Compliance-Nachweis nutzbar.

Ihr Pentest-Anbieter.
500+ Tests.
Jedes Finding verifiziert.

Warum Ihr Unternehmen verwundbarer ist, als Sie denken

Penetrationstest Ablauf: 5 Phasen nach BSI-Leitfaden

Referenzen aus der Praxis

Pentest-Leistungen: Von der Web-App bis zur Cloud

Web-Applikationen

Netzwerk & Infrastruktur

Mobile Apps

Cloud Security

IoT & OT Security

Red Teaming & Social Engineering

Pentest-Methoden: Black Box, Grey Box & White Box

Black-Box-Pentest

Grey-Box-Pentest

White-Box-Pentest

Was uns von anderen Anbietern unterscheidet

Forschung und Lehre als Fundament

Digitale Souveränität - keine Kompromisse

Festpreis in 24h - planbare Projektzeiträume

Ihr fester Ansprechpartner - jederzeit erreichbar

OWASP Top 10 for Large Language Models

Management von Cyber-Risiken

Interner Penetrationstest. Remote statt vor Ort.

Keine Reise- & Übernachtungskosten

Verschlüsselter Mobilfunk

Gleichwertige Analyse

Unsere Forschung. Ihre Sicherheit.

Penetrationstest Kosten: Transparent & planbar

Penetrationstest rechtssicher durchführen

Rechtlich legitimiert

Vertraglich fixiert

NIS-2 & DORA-konform

Zertifizierter Pentest-Anbieter aus Deutschland

Pentest-Bericht

Muster-Bericht anfordern

Häufige Fragen zu Penetrationstest, Kosten & Ablauf

OWASP Top 10 2025: Die kritischsten Web-Schwachstellen und ihre Behebung

10 kritische Schwachstellen in Unternehmen - und wie Sie diese schließen

Spezialisierte Penetrationstests: Mobile, OT/ICS, API, LLM & 5G

Jede Woche ohne Pentest ist eine Woche,
in der Angreifer den Vorteil haben.