Angreifer suchen Lücken.
Wir finden sie zuerst.

Ein Schwachstellen-Scan ist automatisiert: Ein Werkzeug prüft Systeme auf bekannte Lücken, veraltete Software und typische Fehlkonfigurationen. Das ist schnell, günstig und eignet sich für die laufende Überwachung. Ein Penetrationstest geht weiter: Ein Mensch denkt wie ein Angreifer, kombiniert einzelne Schwächen zu einem echten Angriffsweg und prüft, wie weit er damit tatsächlich kommt – etwa vom Internet bis zu den Kundendaten. Viele kritische Lücken, zum Beispiel Fehler in Berechtigungen oder in der Geschäftslogik einer Webanwendung, findet nur ein manueller Test. Für KMU ist die Kombination ideal: laufende Scans für die Breite, regelmässige Pentests für die Tiefe.

Angriffe laufen heute weitgehend automatisiert. Scanner durchsuchen das Internet rund um die Uhr nach verwundbaren Systemen, und dabei spielt es keine Rolle, ob dahinter ein Konzern oder ein Betrieb mit zehn Mitarbeitenden steht. Gerade KMU sind attraktiv, weil sie seltener über eigene Sicherheitsfachleute verfügen. Ein Pentest zeigt, wo Ihre IT angreifbar ist, bevor es jemand anderes herausfindet. Er lohnt sich besonders, wenn Sie eine Website mit Login oder Shop betreiben, Kundendaten verarbeiten, Mitarbeitende von unterwegs arbeiten oder Ihre Cyber-Versicherung, ein Kunde oder ein Audit einen Nachweis verlangt.

Ja, mit der richtigen Grundlage. Ohne Erlaubnis in fremde Systeme einzudringen, ist in der Schweiz nach Art. 143bis StGB strafbar. Deshalb startet jeder Pentest bei uns mit einer schriftlichen Freigabe durch Sie als Systemverantwortliche: Sie legt fest, welche Systeme getestet werden, in welchem Zeitfenster, mit welchen Methoden und wer im Notfall erreichbar ist. Liegen Systeme bei einem Hoster oder in der Cloud, prüfen wir zusätzlich dessen Regeln für Sicherheitstests und holen wo nötig dessen Zustimmung ein.

In aller Regel nicht spürbar. Wir stimmen Testfenster und Intensität vorab mit Ihnen ab, testen produktive Systeme schonend und verzichten auf Lasttests oder Angriffe, die Systeme lahmlegen könnten, sofern diese nicht ausdrücklich vereinbart sind. Für heikle Systeme kann ein Test ausserhalb der Geschäftszeiten oder auf einer Testumgebung sinnvoll sein. Während des Tests gibt es auf beiden Seiten feste Ansprechpersonen, damit bei Auffälligkeiten sofort reagiert werden kann.

Kritische Funde melden wir sofort und nicht erst mit dem Schlussbericht – zusammen mit einer Empfehlung, wie sich das Risiko kurzfristig senken lässt. Im Bericht erhält jede Schwachstelle eine Risikobewertung, eine nachvollziehbare Beschreibung und eine konkrete Massnahme. Auf Wunsch setzen wir die Massnahmen anschliessend selbst um und bestätigen mit einem Nachtest, dass die Lücke tatsächlich geschlossen ist.

Als Faustregel empfehlen wir einen Penetrationstest mindestens einmal pro Jahr sowie nach grösseren Änderungen, etwa einer neuen Website oder einem neuen Kundenportal, einer Cloud-Migration oder einem neuen Standort. Manche Regelwerke und Cyber-Versicherungen verlangen regelmässige Tests ausdrücklich. Dazwischen sorgt ein laufendes Schwachstellen-Management dafür, dass neue Lücken wie zuletzt die PHP-Schwachstelle PHP2Shell nicht monatelang unentdeckt bleiben.

Das hängt vor allem vom Umfang ab: wie viele Systeme und IP-Adressen geprüft werden, ob intern, extern oder beides getestet wird, wie viele Webanwendungen und Benutzerrollen dazugehören und ob ein Nachtest eingeschlossen ist. Ein Security-Quick-Check der von aussen sichtbaren Systeme und der Microsoft-365-Konfiguration ist deutlich kleiner als ein umfassender Pentest eines Kundenportals. Nach einem kostenlosen Scoping-Gespräch erhalten Sie eine Offerte mit klar definiertem Umfang, damit Sie vorab wissen, womit Sie rechnen müssen.

Ja. Das revidierte Datenschutzgesetz verlangt in Art. 8 eine dem Risiko angemessene Datensicherheit; ein dokumentierter Pentest mit umgesetzten Massnahmen ist ein starker Nachweis dieser Sorgfalt. Schweizer Zulieferer von EU-Unternehmen spüren zudem die Anforderungen aus NIS2, weil ihre Kunden Sicherheitsnachweise von der Lieferkette verlangen. Und Cyber-Versicherer fragen vor Vertragsabschluss nach Massnahmen wie MFA, Backups, Patch-Management und Endpoint-Schutz. Unsere Berichte sind so aufgebaut, dass Sie sie für solche Nachweise verwenden können.