Anwendungen
OWASP WSTG & ASVS
Der Web Security Testing Guide strukturiert die Prüfung, der Application Security Verification Standard definiert das Zielniveau. Für APIs ergänzt um die OWASP API Security Top 10.
Methodik
Nachvollziehbar von der ersten Mail bis zum letzten Re-Test.
Sicherheitstests leben von Vertrauen. Deshalb legen wir offen, wie wir arbeiten: welche Standards wir anwenden, was in welcher Phase passiert und wie wir Schweregrade bewerten. Keine Überraschungen, weder im Test noch im Report.
/ ablauf
Fünf Phasen. Jede mit klarem Ergebnis.
- 01
Scoping
Wir klären, was geprüft werden soll und warum. Welche Systeme, welche Rollen, welche Daten? Was ist das Worst-Case-Szenario, das Sie ausschließen wollen? Welche Systeme dürfen auf keinen Fall angefasst werden? Daraus entsteht ein Scope-Dokument mit Testfenster, Ansprechpartnern und einem Festpreisangebot. Bei größeren Anwendungen bitten wir um eine kurze Demo oder die API-Spezifikation, um den Aufwand realistisch zu schätzen.
- 02
Autorisierung & Rules of Engagement
Ohne schriftliche Beauftragung durch den Systemeigentümer wird nicht getestet. Die Rules of Engagement regeln: erlaubte und ausgeschlossene Techniken (kein Denial of Service, keine destruktiven Schritte ohne Absprache), Testzeiten, Notfallkontakte auf beiden Seiten, Umgang mit gefundenen Daten, Eskalationsweg bei kritischen Funden und Regeln für Systeme Dritter, etwa Cloud-Provider mit eigenen Testrichtlinien.
- 03
Test
Reconnaissance, Enumeration, manuelle Prüfung, Exploitation und Post-Exploitation, je nach Leistung. Automatisierte Werkzeuge nutzen wir zur Abdeckung, Ergebnisse validieren wir immer manuell. Sie erhalten regelmäßige Statusmeldungen. Kritische Funde melden wir sofort an Ihren Notfallkontakt, damit Sie nicht auf den Report warten müssen.
- 04
Report & Abschlussgespräch
Der Report entsteht parallel zum Test und wird vor Auslieferung im Vier-Augen-Prinzip geprüft: Ist jedes Finding reproduzierbar? Ist jede Empfehlung umsetzbar? Im Abschlussgespräch gehen wir jedes Finding mit Ihrem Team durch, beantworten Rückfragen und priorisieren gemeinsam.
- 05
Re-Test
Nachdem Sie die Findings behoben haben, prüfen wir jedes erneut und dokumentieren den Status: behoben, teilweise behoben, nicht behoben oder mit Risiko akzeptiert. Der Re-Test ist im Festpreis enthalten und innerhalb von sechs Monaten nach Testende abrufbar.
/ standards
Woran wir uns orientieren.
Standards ersetzen keine Erfahrung, aber sie machen unsere Arbeit vergleichbar und für Auditoren nachvollziehbar.
Infrastruktur
PTES & MITRE ATT&CK
Der Penetration Testing Execution Standard gibt den Ablauf vor. ATT&CK ordnet jede eingesetzte Technik ein, damit Ihr Blue Team Erkennungslücken gezielt schließen kann.
Red Teaming
TIBER-EU-orientiert
Bedrohungsgeleitete Szenarien nach dem Vorbild des europäischen Rahmenwerks für Finanzinstitute, angepasst an Unternehmen, die keine regulatorische Pflicht, aber denselben Anspruch haben.
Bewertung
CVSS 4.0 & CWE
Jedes Finding erhält einen CVSS-4.0-Score mit Vektor, ergänzt um eine Einschätzung im Kontext Ihres Unternehmens. Die CWE-Referenz erleichtert die Zuordnung im Entwicklungsteam.
Cloud
CIS Benchmarks
Für AWS, Azure, Entra ID und Kubernetes prüfen wir gegen die CIS Benchmarks und die Herstellerempfehlungen, ergänzt um manuelle Prüfung der Berechtigungsketten.
Nachweis
Audit-tauglich
Reports und Testate sind so aufgebaut, dass sie in ISO-27001-, TISAX- und DORA-Kontexten als Nachweis für regelmäßige Sicherheitsprüfungen verwendet werden können.
/ schweregrade
Wie wir Findings bewerten.
Der CVSS-Score ist der Ausgangspunkt, nicht das Urteil. Ein Finding mit Score 6.5 kann für Sie kritisch sein, wenn es Ihr Kernsystem betrifft, und ein 9.0 kann irrelevant sein, wenn das System nächste Woche abgeschaltet wird. Deshalb steht neben jedem Score eine Einordnung im Kontext.
Critical
Sofort handelnVollständige Kompromittierung, Zugriff auf sensible Daten ohne Authentifizierung, Domain-Admin. Wir melden sofort, nicht erst im Report.
High
Innerhalb von TagenZugriff auf fremde Daten, Rechteausweitung, Umgehung von Authentifizierung mit geringem Aufwand.
Medium
Im nächsten ReleaseSchwachstellen, die Vorbedingungen brauchen oder sich erst in Kombination auswirken. Oft der Baustein für einen Angriffspfad.
Low
EinplanenGeringe Auswirkung, Härtungsempfehlungen, Informationspreisgabe ohne direkten Schaden.
Info
Zur KenntnisBeobachtungen ohne Sicherheitsauswirkung, Best-Practice-Hinweise, Dinge, die uns aufgefallen sind.
finding-2024-0211.md · anonymisiert
# F-07 · Kerberoasting auf Service-Konto mit Domain-Admin-Rechten Schweregrad Critical · CVSS 4.0: 9.3 Komponente Active Directory · svc_backup ATT&CK T1558.003 · Steal or Forge Kerberos Tickets ## Beschreibung Das Konto svc_backup hat einen SPN gesetzt, ein Passwort aus 2019 und ist Mitglied in „Domain Admins“. Jeder Domänenbenutzer kann ein TGS-Ticket anfordern und das Passwort offline brechen. ## Reproduktion 1. Anmeldung als Standardbenutzer (Testkonto) 2. TGS-Ticket für svc_backup anfordern 3. Offline-Angriff: Passwort nach 00:41 h gebrochen 4. Anmeldung als svc_backup → Domain-Admin ## Empfehlung Service-Konto in Group Managed Service Account (gMSA) umwandeln, aus „Domain Admins“ entfernen, Least Privilege für Backup-Rechte. Alle SPN-Konten: Passwort > 25 Zeichen, AES-only. Erkennung: Event 4769 mit RC4 alarmieren. Status behoben · Re-Test bestanden
/ werkzeuge
Werkzeuge sind Mittel, nicht Methode.
Wir arbeiten mit den etablierten offenen und kommerziellen Werkzeugen der Branche und mit eigenen Skripten, wo Standardtools nicht reichen. Wichtiger als das Tool ist die Frage, wer es bedient: Jedes automatisierte Ergebnis wird manuell geprüft, bevor es in den Report kommt. False Positives liefern wir nicht aus.
Eigene Infrastruktur für Phishing- und C2-Kampagnen, pro Engagement neu aufgesetzt und danach zerstört
Verschlüsselte Ablage aller Testdaten, Zugriff nur für das Engagement-Team, Löschung nach Re-Test
Report-Pipeline, die Findings direkt in Jira, GitLab oder Ihr Ticketsystem exportiert
Was wir nicht geprüft haben, steht genauso im Report wie das, was wir gefunden haben.
Jeder Report enthält einen Abschnitt zu Einschränkungen: Systeme, die nicht erreichbar waren, Bereiche, für die die Zeit nicht gereicht hat, Techniken, die ausgeschlossen waren. Damit wissen Sie, was ein „keine Findings“ tatsächlich bedeutet./ nächster schritt
Scoping beginnt mit einer kurzen Beschreibung.
Was wollen Sie schützen, was beunruhigt Sie, was darf auf keinen Fall passieren? Der Rest ergibt sich im Gespräch. Nächstes freies Zeitfenster: Q1 2027.