Corporate-Network-Penetrationstest
Systematische Analyse Ihres Unternehmensnetzwerks — intern und extern. Portscanning, Service-Enumeration, Active-Directory-Schwächen, Segmentierungslücken und laterale Bewegung.
Intern & Extern🔐 IT-Sicherheit & Ethical Hacking
Penetrationstest für KMU & Mittelstand
Marc Seeber (SBS-UG) führt autorisierte Angriffssimulationen auf Ihr Corporate Network, Webanwendungen und APIs durch — zugeschnitten auf kleine und mittlere Unternehmen, mit priorisierten Handlungsempfehlungen zum Festpreis. So schließen Sie Lücken, bevor Angreifer sie finden.
Warum jetzt handeln
Was passiert, wenn Sicherheitslücken unentdeckt bleiben?
Moderne Unternehmensinfrastrukturen entstehen durch inkrementelle Wachstumsentscheidungen. Offene Ports, veraltete Bibliotheken, fehlende Netzwerksegmentierung oder unsichere Standard-Credentials akkumulieren sich zu einer realen Angriffsfläche — oft ohne dass IT-Teams davon wissen.
Ein Penetrationstest liefert kein theoretisches Risikomodell, sondern empirische Evidenz: welche Schwachstellen existieren, wie sie verkettbar sind und welche Schutzmaßnahmen sofortige Wirkung entfalten.
Gleichzeitig erfüllen Sie damit Compliance-Anforderungen aus NIS2, ISO 27001 und branchenspezifischen Regulierungen, die regelmäßige Sicherheitsüberprüfungen vorschreiben.
⚠️ Typische Angriffsvektoren, die wir aufdecken
SQL-Injection & Command Injection — Direkter Zugriff auf Datenbanken oder Betriebssysteme über ungefilterte Eingaben
Cross-Site Scripting (XSS) — Session-Hijacking und Credential-Diebstahl über manipulierte Ausgaben
Fehlkonfigurierte Dienste — Exponierte Admin-Interfaces, Default-Passwörter, offene Datenbankports
Schwache Authentifizierung — Fehlende MFA, unsichere Passwort-Richtlinien, kompromittierbare Session-Tokens
Privilege Escalation — Laterale Bewegung durch das Netz nach initialem Zugang
Für kleine und mittlere Unternehmen
Warum ein Pentest gerade für KMU und Mittelstand entscheidend ist
Ein Penetrationstest für KMU unterscheidet sich von Enterprise-Projekten vor allem im Scope: Statt monatelanger Red-Team-Kampagnen wird gezielt das geprüft, was in kleinen und mittleren Unternehmen tatsächlich angegriffen wird — das Unternehmensnetzwerk (Corporate Network), extern erreichbare Dienste und die zentrale Webanwendung.
KMU sind das bevorzugte Ziel — nicht die Ausnahme
Angreifer automatisieren ihre Suche nach verwundbaren Systemen. Ob ein Unternehmen 10 oder 10.000 Mitarbeitende hat, spielt für Ransomware-Gruppen keine Rolle — entscheidend ist, ob VPN-Zugänge, Exchange-Server oder Fernwartungszugänge angreifbar sind. Gerade Mittelständler ohne eigene IT-Sicherheitsabteilung bleiben dabei oft jahrelang ungeprüft.
Corporate-Network-Penetrationstest: gewachsene IT im Fokus
Typische KMU-Netzwerke sind über Jahre gewachsen: Active Directory mit Altlasten, Microsoft 365 neben lokalen Servern, Produktionsmaschinen im selben Netz wie Büro-PCs. Ein Corporate-Network-Pentest prüft genau diese Realität — von außen (externe Angriffsfläche) und von innen (was passiert, wenn ein Arbeitsplatz kompromittiert wird?).
Passender Scope statt Enterprise-Preise
Für KMU kalkulieren wir den Testumfang so, dass die kritischsten Risiken mit begrenztem Budget abgedeckt sind — als Festpreis ab 1.500 € (Web-App) bzw. 3.500 € (Netzwerk-Infrastruktur). Das Ergebnis genügt als Nachweis für NIS2, ISO 27001 und Anforderungen von Cyber-Versicherungen.
Welcher Pentest passt zu Ihrem Unternehmen?
| Situation | Empfohlener Test |
|---|---|
| Eigene Webanwendung oder Kundenportal online | Web-App-Pentest (OWASP Top 10) |
| Büro-IT mit Servern, VPN, Microsoft 365 / Active Directory | Corporate-Network-Pentest (intern + extern) |
| NIS2- / ISO-27001-Audit oder Cyber-Versicherung steht an | Infrastruktur-Pentest mit Compliance-Report |
| Sorge vor Phishing / Mitarbeiter-Awareness unklar | Phishing-Simulation als Zusatzmodul |
Leistungsumfang
Was umfasst unser Pentest-Angebot?
Jede Prüfung wird individuell auf Ihren Scope zugeschnitten. Die folgende Übersicht zeigt unsere Standardmodule:
Webanwendungs-Test (OWASP Top 10)
Manuelle und automatisierte Prüfung von Webanwendungen und REST-APIs nach OWASP Top 10. SQL-Injection, XSS, CSRF, Broken Access Control, Security Misconfiguration.
OWASP Top 10Phishing-Simulation & Social Engineering
Optionale Kampagnen zur Messung der Mitarbeiter-Awareness. Realistische Phishing-E-Mails, Klick-Tracking und Auswertung mit Schulungsempfehlungen.
OptionalSecurity Reporting & Priorisierung
Strukturierter Abschlussbericht mit CVSS-Bewertung, Risiko-Priorisierung (Kritisch / Hoch / Mittel / Niedrig) und konkreten, umsetzbaren Maßnahmenempfehlungen.
CVSS v3.1Retest / Nachtest
Nach Umsetzung der Maßnahmen prüfen wir auf Wunsch erneut die identifizierten Schwachstellen — um die Wirksamkeit der Fixes zu bestätigen und Lücken auszuschließen.
Optionale FolgestufeBeratung & Handlungsempfehlungen
Abschlusspräsentation der Ergebnisse für technische und nicht-technische Stakeholder. Wir begleiten Sie bei der Priorisierung und der initialen Umsetzungsplanung.
Ergebnispräsentation
Unser Vorgehen
Wie läuft ein Penetrationstest ab?
Fünf strukturierte Phasen vom Erstkontakt bis zur Ergebnispräsentation — transparent und planbar.
01
Scoping & Kick-off
Gemeinsame Definition des Testumfangs: Welche Systeme, IP-Bereiche, Anwendungen und Zeitfenster sind Teil des Tests? Wir klären Berechtigungen, Eskalationspfade und Vertraulichkeitsvereinbarungen (NDA). Ergebnis: schriftliche Testvereinbarung.
02
Reconnaissance & Analyse
Passive und aktive Informationssammlung über den Zielbereich. OSINT, DNS-Enumeration, Service-Discovery und initiale Schwachstellenidentifikation. Kein aktiver Eingriff in Produktivsysteme ohne Absprache.
03
Testdurchführung (Exploitation)
Aktive Ausnutzung identifizierter Schwachstellen unter kontrollierten Bedingungen. Dokumentation jedes Schritts inklusive Beweise (Screenshots, Logs). Risikobasiertes Vorgehen — keine destruktiven Aktionen ohne explizite Freigabe.
04
Auswertung & Reporting
Konsolidierung aller Findings. Bewertung nach CVSS v3.1. Erstellung des Abschlussberichts mit Executive Summary (nicht-technisch), technischem Detail-Teil und priorisierten Maßnahmen.
05
Präsentation & Nachsorge
Vorstellung der Ergebnisse für Ihr Team. Beantwortung von Rückfragen. Optional: Retest nach Patch-Umsetzung zur finalen Bestätigung der Behebung kritischer Schwachstellen.
Häufige Fragen
FAQ: Penetrationstest
Was ist ein Penetrationstest und wozu dient er?
Ein Penetrationstest (kurz: Pentest) ist ein autorisierter, simulierter Cyberangriff. Ziel ist die empirische Aufdeckung von Sicherheitslücken in IT-Systemen, Netzwerken oder Webanwendungen — bevor echte Angreifer diese ausnutzen. Im Gegensatz zu Vulnerability Scans werden Schwachstellen dabei aktiv verifiziert und in Angriffsketten bewertet.
Welche Systeme können mit einem Pentest geprüft werden?
Wir prüfen interne und externe Netzwerke, Webanwendungen (inkl. REST-APIs, GraphQL), E-Mail-Infrastruktur, Cloud-Dienste (AWS, Azure, GCP) sowie spezifische Einzeldienste wie VPNs oder Remote-Desktop-Zugänge. Der konkrete Scope wird vorab im Scoping-Gespräch festgelegt.
Wie lange dauert ein Pentest?
Ein fokussierter Webanwendungstest dauert typischerweise 2–5 Arbeitstage (Durchführung) plus 1–2 Tage Reporting. Ein umfassender Infrastruktur-Pentest kann 1–3 Wochen beanspruchen. Wir kalkulieren den Aufwand transparent auf Basis des vereinbarten Scopes.
Was ist der Unterschied zwischen Black-, Grey- und White-Box-Test?
Bei einem Black-Box-Test hat der Prüfer keinerlei Vorabinformationen — er simuliert einen externen Angreifer. Beim Grey-Box-Test werden begrenzte Informationen (z.B. Nutzeraccounts) bereitgestellt. Der White-Box-Test (Full-Disclosure) erlaubt vollständigen Zugang zu Quellcode, Architektur und Konfigurationen und ist besonders gründlich und kosteneffizient.
Ist ein Pentest mit NIS2 oder ISO 27001 kompatibel?
Ja. Penetrationstests sind ein anerkanntes Instrument zur Erfüllung der Anforderungen der EU-Richtlinie NIS2 (Artikel 21), der ISO/IEC 27001 (Kontrolle A.12.6) sowie des BSI IT-Grundschutzes. Der Abschlussbericht ist so strukturiert, dass er direkt als Nachweisdokument für Audits verwendet werden kann.
Was ist der Unterschied zwischen einem Pentest und einem Vulnerability Scan?
Ein Vulnerability Scanner (z.B. Nessus, OpenVAS) findet bekannte Schwachstellen automatisch anhand von Signaturen — er prüft aber nicht, ob diese Schwachstellen wirklich ausnutzbar sind oder in einer Angriffskette kombiniert werden können. Ein Penetrationstest geht weiter: Der Prüfer verifiziert Schwachstellen manuell, versucht aktiv, Zugang zu erlangen, und bewertet den realen Schaden. Ein Scan liefert eine Liste, ein Pentest liefert empirische Evidenz.
Welche Informationen brauche ich, um ein Angebot anzufragen?
Für ein erstes Angebot reicht eine grobe Beschreibung: Welche Systeme sollen getestet werden (Webapplikation, Netzwerk, API)? Wie viele Anwendungen / IP-Bereiche ungefähr? Gibt es einen geplanten Zeitraum? Besteht ein regulatorischer Anlass (NIS2-Audit, ISO-27001-Zertifizierung)? Sie erhalten auf dieser Basis innerhalb von 48 Stunden ein transparentes Festpreisangebot — ohne versteckte Kosten.
Was kostet ein Penetrationstest für KMU?
Ein fokussierter Webanwendungs-Pentest beginnt bei 1.500 €, ein Corporate-Network-Penetrationstest (internes und externes Unternehmensnetzwerk) bei 3.500 € — jeweils als Festpreis nach kostenlosem Scoping-Gespräch, zzgl. MwSt. Der Scope wird auf die Unternehmensgröße zugeschnitten, sodass KMU keine Enterprise-Preise zahlen.
Lohnt sich ein Pentest für kleine und mittlere Unternehmen?
Ja. KMU und Mittelstand sind heute ein bevorzugtes Ziel von Ransomware-Gruppen, weil dort seltener eine eigene IT-Sicherheitsabteilung existiert. Ein auf den KMU-Scope zugeschnittener Penetrationstest deckt die kritischsten Schwachstellen im Unternehmensnetzwerk auf, dient als Nachweis für NIS2, ISO 27001 und Cyber-Versicherungen — und kostet einen Bruchteil eines einzigen Sicherheitsvorfalls.
Eigene Toolchain
Pentest Swiss Army Knife — entwickelt von SBS-UG
Für strukturierte Penetrationstests setzen wir auf ein intern entwickeltes Windows-Tool, das alle Phasen — von Reconnaissance über Web-App-Testing bis Defense-Checks — in einer Oberfläche vereint.
Nur für autorisierte Pentests · Kein Einsatz ohne schriftliche Genehmigung
Screenshot anklicken zum Vergrößern
Eigenentwicklung statt Blackbox: Das Pentest Swiss Army Knife wird intern von SBS-UG entwickelt und ausschließlich für autorisierte Sicherheitsüberprüfungen eingesetzt. Alle Testergebnisse werden vollständig dokumentiert und im Abschlussbericht mit CVSS-Bewertung ausgewiesen.
Ihr Mehrwert
Was Sie durch unseren Pentest gewinnen
Reduziertes Risiko
Nachweisliche Reduktion der Angriffsfläche durch gezielte Behebung priorisierter Schwachstellen.
Compliance-Nachweis
Dokumentierter Bericht für NIS2, ISO 27001, BSI IT-Grundschutz und Kundenaudits.
Priorisierte Maßnahmen
Kein Datenberg — klare Rangfolge: Was muss sofort, was kann mittelfristig behoben werden.
Vertrauen stärken
Gegenüber Kunden, Partnern und Versicherungen demonstrieren Sie aktiven Sicherheitsnachweis.
Transparenz
Was kostet ein Penetrationstest?
Die Kosten hängen direkt vom vereinbarten Scope ab. Hier sind realistische Orientierungswerte für die häufigsten Testarten:
Web-App Pentest
ab 1.500 €
Festpreis, abhängig vom Scope
- ✓ 1–3 Anwendungen / Endpunkte
- ✓ OWASP Top 10 Abdeckung
- ✓ CVSS-Bericht + Maßnahmen
- ✓ Durchführung 2–4 Tage
Corporate-Network-Pentest
ab 3.500 €
Festpreis, abhängig vom Scope
- ✓ Internes & externes Netzwerk
- ✓ Active-Directory-Analyse
- ✓ CVSS-Bericht + Compliance-Nachweis
- ✓ Durchführung 5–10 Tage
Zusatzmodule
auf Anfrage
Ergänzend zum Basistest
- ✓ Phishing-Simulation
- ✓ Retest nach Behebung
- ✓ Ergebnispräsentation
- ✓ Beratung zur Umsetzung
Alle Preise zzgl. MwSt. Der endgültige Festpreis wird nach einem kostenlosen Scoping-Gespräch schriftlich vereinbart — ohne versteckte Kosten. Mehr Details: Was kostet ein Pentest für KMU wirklich?
Nächster Schritt
Festpreisangebot innerhalb von 48 Stunden
Beschreiben Sie kurz, was getestet werden soll — wir melden uns mit Rückfragen oder direkt mit einem transparenten Festpreisangebot.