Penetration Testing

Zeigen Sie auf, was ein Angreifer tatsächlich anrichten könnte

Die Tester von evoila greifen Ihre Web- und Mobilanwendungen, Netzwerke und Active Directory manuell an, um unbekannte Risiken in einen klaren, umsetzbaren Aktionsplan umzuwandeln.

Legen Sie den Umfang Ihres Pentests fest

Von unbekanntem Risiko zu einem umsetzbaren Plan

Scanner und Audits zeigen, wo Sie exponiert sein könnten. Ein Penetrationstest beweist, was ein Angreifer tatsächlich erreichen, ausnutzen und verketten kann.

evoila testet Ihre reale Angriffsfläche über Anwendungen, APIs, Netzwerke, Active Directory und menschliche Angriffspfade mit anerkannten Methodiken wie OWASP und MITRE ATT&CK. Sie erhalten mehr als eine Befundliste: Jedes Ergebnis umfasst Wirkungsnachweis, Geschäftskontext und konkrete Behebung, auf die Ihr Team handeln kann.

Geschäftsvorteile:

  • Manuelle Ausnutzung, nicht nur Scanning
  • Befunde gerankt nach Auswirkung auf den Betrieb
  • Eindeutige Fehlerbehebungen mit Nachprüfung
  • Nachweis für ISO 27001 und NIS2

Die erste echte Bewährungsprobe für eine nicht verifizierte Verteidigung ist ein Angreifer

Ein einziger ungetesteter Pfad durch Ihre Web-Apps, Ihr Netzwerk oder Active Directory kann Jahre an Sicherheitsinvestition in Stunden zunichtemachen.

Die Herausforderung

Ungetestete Abwehrmaßnahmen sind nur Annahmen

Sicherheitskontrollen werden implementiert und als funktionierend angenommen, aber selten unter echten Angriffsbedingungen getestet. Angreifer folgen keinen Architekturdiagrammen. Sie verketten Schwächen: eine falsch konfigurierte Anwendung, ein wiederverwendetes Passwort, ein überprivilegiertes Konto.
Bis jemand diesen Pfad end-to-end testet, bleibt Ihre Sicherheitslage eine Hypothese.

Eine Schwachstelle genügt

Eine einzige ausnutzbare Web- oder Mobile-Schwäche wird zum Einstiegspunkt für einen vollständigen Breach

Die Ausweitung von Berechtigungen beginnt im Kleinen

Active-Directory-Fehlkonfigurationen lassen Angreifer von einer Workstation zum Domain Admin eskalieren

Menschen sind Teil der Angriffsfläche

Phishing-anfälliges Personal umgeht technische Kontrollen vollständig

Auditoren und Versicherer wollen Beweise

ISO 27001, NIS2 und Versicherer verlangen zunehmend Nachweise regelmäßiger, unabhängiger Tests

Die gute Nachricht: Sie können den Zugang finden, bevor es die Angreifer tun

Ermitteln Sie die Wege, die ein Angreifer einschlagen würde, und verschließen diese, bevor es zu Vorfällen kommt.

Unsere Lösung

Manuelle Tests über Ihre gesamte tatsächliche Angriffsfläche hinweg


evoila führt strukturierte, manuelle Penetrationstests durch, die widerspiegeln, wie Angreifer tatsächlich vorgehen. Wir scopen das Engagement auf Ihre Ziele, testen systematisch und liefern verifizierte Befunde mit Nachweis, Auswirkung und Behebung, gefolgt von einem Retest zur Bestätigung der Schließung. Wir testen über Ihre Angriffsfläche hinweg:

Web-Anwendungen & APIs

Getestet anhand der OWASP Top 10 und darüber hinaus, einschließlich Authentifizierung, Zugriffskontrolle und Geschäftslogik.

Mobile Apps (iOS & Android)

Client-seitige, Storage- und API-Sicherheit.

Externe & interne Netzwerke

Exponierte Services, Segmentierungslücken und Pfade lateraler Bewegung.

Active Directory

Rechteausweitung, Fehlkonfigurationen und Wege zur vollständigen Kompromittierung.

Social Engineering & Phishing

Testen, wie Menschen und Prozesse auf reale Angriffsszenarien reagieren.

Tech-Deep-Dive

So funktioniert die Zusammenarbeit

Penetrationstests folgen einem strukturierten, wiederholbaren Ansatz, um konsistente und verteidigungsfähige Ergebnisse zu sichern.

Methodik

Standardbasiertes Testen, ausgerichtet auf OWASP und anerkannte Angreifertechniken.

Prozessablauf

Von gescoptem Testen über Reporting bis zum Retest, entlang einer definierten Sequenz.

Test-Modi

Black-Box, Grey-Box oder White-Box, abhängig von Umfang und Zielen.

Reporting & Sicherheit

Befunde mit Nachweis, Geschäftsauswirkung und priorisierter Behebung, geliefert ohne operative Störung.

Technische Vorteile

Was Sie bei jedem Einsatz erhalten

1.Beweis, nicht Wahrscheinlichkeit

Ausgenutzte Befunde mit vollständigen Reproduktionsschritten.

2. Volle Angriffspfad-Transparenz

Vom initialen Zugangspunkt bis zur nachgewiesenen Auswirkung.

3. Zweizielgruppen-Reporting

Management-Zusammenfassung und technisches Detail für Ingenieurinnen und Ingenieure.

4. Geschlossene Behebungsschleife

Mit Anleitung korrigieren und durch erneute Tests bestätigen, dass die Probleme tatsächlich behoben sind.

Der Partner Ihrer Wahl

Fix-Anleitung plus Retest-Bestätigung, dass Probleme tatsächlich gelöst sind.

Die Testerinnen und Tester von evoila arbeiten mit anerkannten Methodiken wie OWASP und MITRE ATT & CK und halten praktische offensive Zertifizierungen. Der Vorteil ist Kontext: Weil evoila auch Plattformen entwirft und betreibt, spiegeln Befunde und Empfehlungen echte Architekturen wider, keine theoretischen Setups. Testen folgt ISO-27001-zertifizierten Prozessen, und Befunde fließen direkt in unsere Erkennungs- und Vulnerability-Management-Services für eine geschlossene Sicherheitsschleife.

Zertifizierte, praktische Expertise

Unsere Testerinnen und Tester halten praktische offensive Zertifizierungen (CEH, PNPT, PJPT) und arbeiten nach anerkannten Methodiken. So ist jedes Engagement rigoros und wiederholbar, nicht ad hoc.

Kontext, den Scanner nicht replizieren können

Weil evoila Netzwerke, Identitäts- und Cloud-Plattformen baut und betreibt, verstehen unsere Testerinnen und Tester, wie Systeme wirklich aufgebaut sind, nicht nur, wie sie auf dem Papier aussehen.

Praktische Tipps zur Fehlerbehebung im Einsatz

Wir finden nicht nur die Lücken. Wir erklären, wie man sie so schließt, dass es zu Ihrer realen Umgebung passt, kein Lehrbuch-Fix, der etwas anderes kaputt macht.

ISO 27001 zertifiziert von Tag eins

Jedes Engagement folgt zertifizierten Prozessen. Das gibt Ihnen Dokumentation, die Auditoren, Versicherern und Compliance-Anforderungen standhält, ohne zusätzlichen Aufwand für Sie.


Services & Einstiegsangebote

Beginnen Sie mit einem klar definierten Projektumfang

1 | Scoping-Gespräch (kostenlos)

Ziele, Testtyp und Tiefe definieren. Sie erhalten ein Festpreisangebot und einen Zeitplan.

2 | Standard-Pentest-Pakete

Vordefinierte Bewertungen für Web-Apps, Netzwerke oder Active Directory, einschließlich Reporting und Retest.

Gehen Sie nicht davon aus, dass Ihre Abwehr hält. Beweisen Sie es.

Ein gescopter Penetrationstest verwandelt unbekanntes Risiko in einen klaren, behebbaren Plan.

Legen Sie den Umfang Ihres Pentests fest

Definieren wir Ihre Angriffsfläche. Melden Sie sich!

Erzählen Sie uns, was Sie testen möchten. Wir definieren den Umfang, empfehlen die richtige Methodik und liefern ein Festpreisangebot.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

FAQs

Häufig gestellte Fragen zu Penetrationstests

Das hängt vom Umfang ab. Eine einzelne Web-App unterscheidet sich von einem vollständigen internen Netzwerk- und Active-Directory-Test. Nach einem kurzen Scoping-Gespräch liefern wir ein Festpreisangebot und einen Zeitplan, sodass es keine Überraschungen gibt. Standardpakete machen gängige Engagements planbar.

Die meisten gescopten Engagements dauern zwischen einer und drei Wochen, einschließlich Berichtszeit, abhängig von Größe und Komplexität. Eine einzelne Web-Anwendung braucht weniger Zeit; ein kombinierter Netzwerk-, Active-Directory- (AD-) und Social-Engineering-Test dauert länger. Wir vereinbaren den Zeitplan während des Scopings.

Black-Box, Grey-Box oder White-Box hängt von Ihrem Ziel ab. Für interne und AD-Tests empfehlen wir meist Grey-Box und White-Box. Wir beraten basierend auf Ihrem Ziel.

Nein, wir vereinbaren zuerst Umfang, Zeitplan und Einsatzregeln und nutzen dann nicht-störende Techniken im Produktivbetrieb oder testen wo angemessen gegen Staging. Operative Sicherheit ist Teil des Plans.

Ja. Retesting bestätigt, dass Schwachstellen behoben sind, und liefert dokumentierten Nachweis.