Finden Sie Ihre Schwachstellen vor den Angreifern
Sicherheitsaudits, Penetrationstests, Red Team und Vorbereitung auf internationale Zertifizierungen. Manuell geprägte Tests, Berichte auf Basis anerkannter Standards und ein schriftlich vereinbarter Scope, bevor die Arbeit beginnt.
- WSTG, ASVS, API Top 10
- OWASPWSTG, ASVS, API Top 10
- Bewertung des Schweregrads
- CVSS 3.1Bewertung des Schweregrads
- Strukturierter Projektablauf
- PTESStrukturierter Projektablauf
- Scope vor jedem Test
- SchriftlichScope vor jedem Test
Der gesamte Lebenszyklus der Informationssicherheit
Von der einmaligen Prüfung bis zur laufenden Begleitung: Wir sichern Ihre Infrastruktur, Anwendungen und Prozesse ab.
Sicherheits- und Dokumentationsaudit
Durchgängige Bewertung von Infrastruktur, Konfigurationen, Prozessen und Dokumentation mit einem priorisierten Bericht.
- Prüfung von Netzwerken, Servern und Cloud
- Audit von Richtlinien, Verfahren und Prozessen
- Bericht mit Maßnahmenplan
Penetrationstests
Ein kontrollierter Angriff im Black-Box-, Grey-Box- oder White-Box-Modus. Wir suchen, was ein echter Angreifer ausnutzen würde.
- Web, Mobile, API und externer Perimeter
- Interner Pentest und Segmentierung
- Re-Test nach der Behebung
Red Team
Ein simulierter Angriff mit festem Ziel nach abgestimmtem Szenario. Er prüft Menschen, Prozesse und Abwehrmaßnahmen im Zusammenspiel.
- OSINT und Social Engineering
- Phishing und physischer Zugang
- Bewertung der Blue-Team-Reaktion
Incident Response
Hilfe im Ernstfall: Untersuchung, Eindämmung und Wiederherstellung, mit einer im Retainer-Vertrag garantierten Reaktionszeit.
- Triage und forensische Untersuchung von Vorfällen
- Unterstützung bei Eindämmung und Wiederherstellung
- Ursachenanalyse und Lessons Learned
Zertifizierungsvorbereitung
Wir bauen die Prozesse und Dokumentation für internationale Standards auf und begleiten Sie durch die Zertifizierung.
- ISO 27001, SOC 2, PCI DSS, GDPR
- Richtlinien, Verfahren und ein Risikoregister
- Begleitung durch das Zertifizierungsaudit
Schulung & Awareness
Wir stärken die Widerstandsfähigkeit Ihres Teams gegen Angriffe: Schulungen, Phishing-Simulationen und Wissensüberprüfungen.
- Phishing-Simulationen
- Sicherheitsschulungen für Mitarbeitende
- Sichere Entwicklung
Ein transparenter Prozess von der Anfrage bis zum Ergebnis
Scoping
Wir definieren die Grenzen des Assessments, die Ziele und das Bedrohungsmodell. Zeitplan und Rules of Engagement werden abgestimmt.
Assessment
Audit und Penetrationstest: Wir suchen Schwachstellen und die Wege, die ein Angreifer nehmen würde.
Bericht
Ein priorisierter Bericht: was wir gefunden haben, warum es relevant ist und wie es zu beheben ist.
Begleitung
Wir unterstützen bei der Behebung und führen einen Re-Test durch, um die Schließung der Risiken zu bestätigen.
Praktiker, keine Theoretiker
Neben dem Testen entwickeln wir selbst Produkte und Infrastruktur. Deshalb verstehen wir Risiken von beiden Seiten.
Praktiker testen von Hand, so wie ein echter Angreifer vorgehen würde. Tools helfen, ersetzen aber nicht das Urteilsvermögen.
Vexaro entwickelt selbst Software und Infrastruktur. Wir wissen, wo es erfahrungsgemäß hakt.
Prioritäten, Geschäftsrisiken und konkrete nächste Schritte statt eines rohen Scanner-Exports.
Wir begleiten die Behebung und testen die Korrekturen ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.
Bereit für internationale Standards und Zertifizierung
Formate und realistische Zeitrahmen
Richtwerte für die Dauer. Der endgültige Umfang hängt vom Volumen und vom abgestimmten Bedrohungsmodell ab.
Penetrationstests
Web, Mobile, API oder externer Perimeter.
Sicherheits- und Dokumentationsaudit
Infrastruktur, Konfigurationen und Prozesse.
Red Team
Gezielte Angriffssimulation nach abgestimmtem Szenario.
ISO-27001-Vorbereitung
ISMS-Rollout, Dokumentation und internes Audit.
SOC 2 Type II
Controls-Rollout plus Beobachtungszeitraum.
PCI DSS
Bereitschaft für das QSA-Assessment.
Welche Probleme wir prüfen
Illustrative Szenarien aus typischen Befundarten. Es handelt sich nicht um Kundenfallstudien.
Penetrationstest der Zahlungs-API
Illustrativ: Eine Race Condition zwischen Requests umgeht Überweisungslimits und manipuliert den Betrag. Genau solche Logikfehler soll ein manueller API-Test vor dem Release finden.
Audit des Filialnetzes
Illustrativ: Kassen-Admin-Panels, die offen im Internet stehen, und ein flaches Netz zwischen Standorten. Gefunden durch externe und interne Tests, geschlossen durch Segmentierung und Perimeter-Härtung.
ISO-27001-Vorbereitung
Illustrativ: Aufbau des ISMS (Prozesse, Richtlinien, Verfahren und Mitarbeiterschulung), bereit für die Stage-1- und Stage-2-Audits einer akkreditierten Stelle.
Was wir finden, bleibt unter uns
Jedes Projekt beginnt mit einer Vertraulichkeitsvereinbarung. Details zu Ihrer Infrastruktur, unsere Befunde und die Berichte sehen nur die Personen, die an Ihrem Projekt arbeiten. Dazu gehören auch etwaige Subunternehmer, die an gleichwertige Vertraulichkeitspflichten gebunden sind. Niemand sonst erhält sie, es sei denn, das Gesetz verlangt es.
Wir unterzeichnen eine Vertraulichkeitsvereinbarung, bevor wir Zugang erhalten.
Zugänge, Artefakte und Berichte werden verschlüsselt gespeichert.
Der Zugriff auf Daten ist auf Projektmitglieder beschränkt, streng nach dem Need-to-know-Prinzip.
Arbeitsdaten werden nach der vereinbarten Aufbewahrungsfrist gelöscht oder zurückgegeben, temporäre Zugänge werden entfernt.
Häufige Fragen
Ein Audit bewertet die Sicherheit von Konfigurationen, Prozessen und Architektur. Ein Pentest ist ein kontrollierter Angriff, der prüft, wie ein Einbruch tatsächlich möglich wäre. Oft werden beide zusammen durchgeführt.
Darauf ist unsere Arbeit ausgelegt. Zuerst stimmen wir Bedrohungsmodell, Grenzen und Regeln ab; lastintensive oder potenziell störende Prüfungen laufen nur in einem vereinbarten Zeitfenster. Aktive Tests an Live-Systemen bergen immer ein gewisses Störungsrisiko, deshalb planen wir rund um Ihre Backups und kritischen Zeiträume.
Einen Bericht mit priorisierten Befunden, einer Bewertung des Geschäftsrisikos und konkreten Schritten zur Behebung. Dazu Begleitung bei der Behebung und einen kostenlosen Re-Test der behobenen Befunde innerhalb des im Statement of Work festgelegten Zeitfensters.
Ja. Wir beraten Ihr Team bei der Behebung und führen einen Re-Test durch, um zu bestätigen, dass die Risiken geschlossen sind.
ISO 27001, SOC 2, PCI DSS, GDPR, OWASP ASVS, NIST CSF und weitere. Wir bauen Prozesse und Dokumentation für den Standard auf und begleiten bis zum Zertifikat.
Realistische Zeiträume sind: Pentest (1-3 Wochen), Sicherheitsaudit (2-4 Wochen), ISO-27001-Vorbereitung (6-9 Monate) und PCI DSS (3-6 Monate). Bei SOC 2 Type II kommen zu 3 Monaten Umsetzung noch 3-12 Monate Beobachtungszeitraum hinzu.
Vor Beginn unterzeichnen wir ein NDA. Befunde und Nachweise werden verschlüsselt auf zugriffsgeschützten Systemen gespeichert, der Zugriff folgt dem Least-Privilege-Prinzip, Berichte werden über sichere Kanäle übergeben und Arbeitsdaten nach der vereinbarten Aufbewahrungsfrist gelöscht oder zurückgegeben.