Vexaro SecurityLeistungen

Sicherheitsdienstleistungen, durchgängig

Sechs offensive Testleistungen: Web-, API-, Mobile- und Netzwerk-Pentests, ein Cloud-Konfigurationsreview und Red Team. Wählen Sie eine davon oder kombinieren Sie mehrere. Jedes Projekt ist überwiegend manuell und endet mit priorisierten Befunden, ihrem Geschäftsrisiko und einem umsetzbaren Maßnahmenplan.

Penetrationstest für Webanwendungen

Überwiegend manuelle Tests nach OWASP WSTG, verifiziert gegen ASVS. Im Fokus stehen Fehler in Geschäftslogik und Zugriffskontrolle, die Scanner nicht finden.

Typischer Umfang

OWASP-WSTG-abgebildete Abdeckung
Authentifizierung, Autorisierung, Geschäftslogik
Black-, Grey- oder White-Box

Was Sie erhalten

CVSS 3.1 mit Proof of Concept
CWE- / WSTG- / ASVS-Verweise
Kostenloser Re-Test im SoW-Zeitfenster

Diese Leistung entdecken

API-Penetrationstest

Authentifizierte Tests über mehrere Rollen auf BOLA, BFLA und Object Property Level Authorization, für REST und GraphQL nach OWASP API Top 10 (2023).

Typischer Umfang

OWASP API Top 10 (2023)
BOLA, BFLA, Object-Property-Authz
REST und GraphQL, über mehrere Rollen

Was Sie erhalten

Request/Response-Proof-of-Concept
CVSS-3.1- und CWE-Verweise
Kostenloser Re-Test im SoW-Zeitfenster

Diese Leistung entdecken

Penetrationstest für mobile Anwendungen

iOS und Android, statisch und dynamisch, nach OWASP MASVS v2.1.0 und MASTG, dazu die Backend-API hinter der App.

Typischer Umfang

OWASP MASVS v2.1.0 / MASTG
iOS und Android, statisch + dynamisch
Die App und ihre Backend-API

Was Sie erhalten

CVSS 3.1 mit Nachweis
MASVS- / MASTG- / CWE-Verweise
Kostenloser Re-Test im SoW-Zeitfenster

Diese Leistung entdecken

Netzwerk-Penetrationstest

Externe, interne und Segmentierungstests auf Basis von PTES und NIST SP 800-115. Die Isolation wird aktiv geprüft, was PCI DSS Req 11.4 unterstützt.

Typischer Umfang

Extern, intern und Segmentierung
PTES und NIST SP 800-115
Validiert die Isolation aktiv

Was Sie erhalten

Ergebnisse des Segmentierungstests
CVSS 3.1, CVE- / CWE-Verweise
Kostenloser Re-Test im SoW-Zeitfenster

Diese Leistung entdecken

Cloud-Security-Assessment

Cloud-Konfigurationsprüfung (AWS, Azure, GCP) gegen die CIS Benchmarks als Teil unseres Sicherheitsaudits: Identität, Speicher, Netzwerk und Logging.

Typischer Umfang

AWS- / Azure- / GCP-Konfigurationsprüfung
Gegen die CIS Benchmarks
Identität, Speicher, Netzwerk, Logging

Was Sie erhalten

Befunde abgebildet auf CIS-Controls
IAM- und Privilege-Escalation-Pfade
Kostenloser Re-Test im SoW-Zeitfenster

Diese Leistung entdecken

Red Team

Zielgerichtete Angriffssimulation über Menschen, Prozesse und Technologie, abgebildet auf MITRE ATT&CK. Sie prüft Detection and Response und endet mit einem Purple-Team-Debriefing.

Typischer Umfang

Menschen, Prozesse und Technologie
Abgebildet auf MITRE ATT&CK
Assumed-Breach-Szenarien

Was Sie erhalten

Angriffs-Narrativ und Kill Chain
Detection- und Response-Lücken
Purple-Team-Debrief

Diese Leistung entdecken

Sehen Sie einen Beispielbericht

Sie möchten wissen, was Sie tatsächlich erhalten? Lesen Sie einen geschwärzten, illustrativen Prüfbericht mit derselben Struktur, Tiefe und Tonalität wie ein echter Bericht.

Compliance-Readiness & Incident Response

Über offensive Tests hinaus: Vorbereitung durch Fachleute auf die Zertifizierungen, nach denen Ihre Kunden fragen, ein Incident-Response-Retainer mit garantierter Reaktionszeit und Tests der menschlichen Angriffsfläche. Wir bereiten vor und begleiten; die Attestierung stellt immer eine unabhängige Stelle aus.

SOC 2 Readiness & Audit-Begleitung

SOC-2-Gap-Assessment durch Fachleute, Remediation und Audit-Begleitung nach den Trust Services Criteria, dazu die Pentest-Nachweise. Vorbereitung, nicht die Attestierung.

Diese Leistung entdecken

ISO 27001 Readiness & ISMS-Beratung

ISMS-Aufbau nach ISO/IEC 27001:2022 durch Fachleute, Risikobehandlung, Annex-A-Controls und internes Audit, dazu Pentest-Nachweise. Vorbereitung, nicht das Zertifikat.

Diese Leistung entdecken

PCI DSS Readiness & Penetrationstests

PCI-DSS-v4.0.1-Vorbereitung: CDE-Scoping, Gap-Assessment sowie Penetrations- und Segmentierungstests nach Req 11.4. Vorbereitung und Tests, keine QSA-Attestierung.

Diese Leistung entdecken

Incident-Response-Retainer & DFIR

Ein IR-Retainer mit garantierter Reaktionszeit und DFIR-Untersuchung, ausgerichtet an NIST SP 800-61 Rev. 3. Die Beauftragung ist auch über Ihren Rechtsbeistand möglich.

Diese Leistung entdecken

Social Engineering & Phishing-Simulation

Autorisiertes Phishing, Spear-Phishing, Vishing und Smishing, um die menschliche Angriffsfläche und Ihre Reaktion zu messen, abgebildet auf MITRE ATT&CK. Eine Lernübung, keine Schuldzuweisung.

Diese Leistung entdecken

Wichtig: Wir liefern Vorbereitung, Gap-Assessment, Remediation und die begleitenden Penetrationstests. Wir sind keine CPA-Firma, keine akkreditierte Zertifizierungsstelle und kein QSA und stellen keine SOC-2-Berichte, ISO-27001-Zertifikate oder PCI Reports on Compliance aus. Diese kommen vom unabhängigen Prüfer.

Lernen Sie die Grundlagen

Neu bei Penetrationstests? Beginnen Sie mit den Grundlagen oder sehen Sie, was ein Projekt kostet.

Security-Glossar

Verständliche Erklärungen: was Penetrationstests sind, CVSS, die OWASP Top 10, SOC 2 vs. ISO 27001 und mehr.

Im Glossar stöbern

Was kostet ein Pentest?

Ein Leitfaden dazu, was den Preis eines Projekts bestimmt und was ein echtes Angebot umfasst.

Den Kostenleitfaden lesen

Security für Ihre Branche

Wie wir Sicherheitstests und Compliance für Fintech- und SaaS-Unternehmen angehen.

Branchen ansehen

Formate und realistische Zeitrahmen

Richtwerte für die Dauer. Der endgültige Umfang hängt vom Volumen und vom abgestimmten Bedrohungsmodell ab.

1-3 Wochen

Penetrationstests

Web, Mobile, API oder externer Perimeter.

2-4 Wochen

Sicherheits- und Dokumentationsaudit

Infrastruktur, Konfigurationen und Prozesse.

3-6 Wochen

Red Team

Gezielte Angriffssimulation nach abgestimmtem Szenario.

6-9 Monate

ISO-27001-Vorbereitung

ISMS-Rollout, Dokumentation und internes Audit.

3 + 3-12 Mon.

SOC 2 Type II

Controls-Rollout plus Beobachtungszeitraum.

3-6 Monate

PCI DSS

Bereitschaft für das QSA-Assessment.

Unsicher, welches Projekt passt?

Erzählen Sie uns von Ihrem System und Ihren Zielen. Wir empfehlen das passende Format und den Umfang. Die Erstberatung ist kostenlos.