Leistungsüberblick
Wir analysieren Anwendungen, ihre Abhängigkeiten und die Art, wie sie gebaut und ausgeliefert werden, um Sicherheitsschwächen zu finden, bevor Angreifer es tun. Jeder Auftrag endet mit zwei Berichten - einer Analyse des Ausgangszustands und einem Bericht nach der Behebung, der die bereits geschlossenen gravierendsten Lücken und einen priorisierten Plan für den Rest zeigt.
So arbeiten wir
Kennenlernen
Wie Ihre Systeme zusammenhängen, wer Zugriff hat, wovon die Produktion abhängt.
Bewerten
SBOM, SAST/DAST, Fuzzing und Vertrauensgrenzen, nach CVSS priorisiert.
Beheben
Kritische und hohe Befunde beheben wir selbst und testen sie erneut.
Schützen
Härtung, minimale Rechte und Security Gates für jeden Pull Request.
Was enthalten ist
Festlegung des Umfangs
Ein unterzeichnetes Dokument zu Umfang und Spielregeln der Prüfung, das die getesteten Anwendungen, APIs, Netzwerksegmente und externen Verbindungen abdeckt.
SBOM & Lieferketten-Audit
Eine Software-Stückliste (SBOM) im CycloneDX-Format für die gesamte Lösung - direkte, transitive, kommerzielle und native Komponenten - abgeglichen mit Paket-Registries, der GitHub Advisory Database, OSV und OSS-Fuzz auf verwundbare, abgekündigte und veraltete Bibliotheken.
SAST & DAST
Statische Analyse Ihres Quellcodes unabhängig von Sprache und Technologie, mit Regeln nach OWASP Top 10 und CWE Top 25, sowie dynamische Tests laufender Anwendungen und APIs, einschließlich Black-Box-Mutationsfuzzing der Schnittstellen, die externe Eingaben verarbeiten.
Analyse von Architektur & Vertrauensgrenzen
Jede Stelle, an der Daten zwischen Komponenten unterschiedlicher Vertrauensstufe wechseln - Benutzer und Anwendung, Anwendung und externe Dienste, Hersteller- und Kundeninstallation - geprüft auf Identität, Berechtigung und Integrität, dazu Zugriffskontrolle, Kryptografie, Lizenzierung und Umgang mit Geheimnissen.
Risikomanagement
Bedrohungsmodellierung mit einer bewährten Methodik wie STRIDE, jeder Befund nach CVSS 3.1 bewertet und in einem Risikoregister mit priorisiertem Behebungsplan zusammengeführt - Sie wissen genau, was zuerst zu beheben ist.
Behebung & Härtung
Wir beheben kritische und hohe Befunde in unserem Verantwortungsbereich und testen erneut: verschlüsselte und gegenseitig authentifizierte Kommunikation, Aktualisierung von Abhängigkeiten, Zugriffskontrolle über die Oberfläche hinaus, Geheimnisse aus dem Quellcode entfernt und Regressionstests für jede Korrektur.
Bericht nach der Behebung
Ein zweiter Bericht nach den Korrekturen: was geschlossen wurde, was offen bleibt und warum, und ein priorisierter Plan für den Rest - eine klare Grundlage für Kunden und Geschäftsleitung.
Compliance-Zuordnung (Zusatzleistung)
Auf Wunsch ordnen wir Befunde und Korrekturen den Anforderungen von Artikel 21 NIS2, ISO/IEC 27001 oder NIST CSF 2.0 zu, sodass die Berichte als Grundlage für Ihre formale Risikoanalyse dienen können.
Industrieprotokolle (Zusatzleistung)
Sicherheitstests, Fuzzing und Korrekturen der Kommunikation zwischen Ihrer Software und Industriesteuerungen - über OPC UA und andere Industrieprotokolle -, etwa verschlüsselte Kanäle mit gegenseitiger Zertifikatsauthentifizierung. Getestet wird in einer eigenen Testumgebung, sodass keine Produktionsmaschine gefährdet wird.
Integration von Sicherheits-Gates (Zusatzleistung)
SCA-, SAST- und SBOM-Prüfungen in Ihrer Build-Pipeline, sodass jedes Release automatisch geprüft wird, dazu reproduzierbare Builds aus freigegebenem Code, beim Build injizierte Geheimnisse und SHA-256-Prüfsummen für jeden Installer.
Die Herausforderung
Sicherheitsprobleme lassen sich vor ihrer Ausnutzung weit günstiger beheben als danach. Unsere Analysen zeigen genau, wo Ihre Systeme angreifbar sind, schließen die gravierendsten Lücken selbst und hinterlassen einen dokumentierten Vorher-nachher-Stand Ihrer Sicherheit.
Transparente Preise
pro Anwendung
Wählen Sie die Stufe, die zur Komplexität Ihrer Anwendung passt
Klein
Internes Werkzeug für einen Zweck oder kleine API, begrenzte Angriffsfläche
- Festlegung von Umfang und Spielregeln
- SBOM & Abhängigkeits-Audit
- SAST & DAST
- Analyse von Architektur & Vertrauensgrenzen
- Risikomanagement (z. B. STRIDE, CVSS) & Behebungsplan
- Behebung kritischer/hoher Befunde + Nachtest
- Bericht nach der Behebung
Standard
Kundenanwendung mit mehreren Integrationen
- Festlegung von Umfang und Spielregeln
- SBOM & Abhängigkeits-Audit
- SAST & DAST
- Analyse von Architektur & Vertrauensgrenzen
- Risikomanagement (z. B. STRIDE, CVSS) & Behebungsplan
- Behebung kritischer/hoher Befunde + Nachtest
- Bericht nach der Behebung
Komplex
Architektur aus mehreren Diensten oder viele externe Integrationen
- Festlegung von Umfang und Spielregeln
- SBOM & Abhängigkeits-Audit
- SAST & DAST
- Analyse von Architektur & Vertrauensgrenzen
- Risikomanagement (z. B. STRIDE, CVSS) & Behebungsplan
- Behebung kritischer/hoher Befunde + Nachtest
- Bericht nach der Behebung
Support
Häufige Fragen
Klare Antworten auf die Fragen, die Teams vor einer Zusammenarbeit stellen.
Wie lange dauert eine Cybersecurity-Analyse?
Für eine einzelne Anwendung in der Regel vier bis acht Wochen - von der Festlegung des Umfangs bis zum Bericht nach der Behebung. Aufträge mit mehreren Anwendungen werden individuell geplant.
Was erhalten wir am Ende?
Zwei Berichte. Der Analysebericht enthält eine Zusammenfassung für die Geschäftsleitung, die Methodik, die SBOM, die Analyse der Vertrauensgrenzen, CVSS-bewertete Befunde und Empfehlungen. Der Bericht nach der Behebung zeigt, was korrigiert wurde, was offen bleibt und welche Schritte als Nächstes folgen. Die SBOM bleibt bei Ihnen.
Wie gehen Sie mit sensiblen Daten und Zugängen um?
Wir beschränken Zugänge auf das notwendige Minimum, verwenden zeitlich befristete Zugangsdaten und unterzeichnen vor Beginn der Arbeiten eine Geheimhaltungsvereinbarung.
Testen Sie Produktivsysteme oder nur Testumgebungen?
Den Umfang vereinbaren wir vorab - die meisten Aufträge testen zuerst die Testumgebung und unkritische Produktionspfade und erweitern den Umfang nur mit Ihrer Freigabe. Fuzzing läuft in einer eigenen Testumgebung, nicht auf Ihrem Live-System.
Beheben Sie die gefundenen Schwachstellen tatsächlich oder berichten Sie nur darüber?
Die Behebung kritischer und hoher Befunde ist im Grundpreis jedes Auftrags enthalten, mit Nachtests, die bestätigen, dass jede Korrektur den Befund wirklich schließt. Hängt eine Korrektur von Dritten ab oder erfordert sie eine größere Änderung - etwa ein neues Dateiformat, signierte Releases oder ein neues Lizenzmodell -, übergeben wir statt einer allgemeinen Empfehlung ein umsetzungsfertiges Behebungsticket.
Unterstützen die Berichte die Compliance mit NIS2 oder ISO 27001?
Ja, als Zusatzleistung. Wir ordnen Befunde und Korrekturen Artikel 21 NIS2, ISO/IEC 27001 oder NIST CSF 2.0 zu, sodass die Berichte direkt in Ihre formale Risikoanalyse und Ihre Audit-Nachweise einfließen können.
Was kostet das?
Der Preis gilt pro Anwendung, in drei Stufen nach Komplexität - die genauen Beträge in EUR finden Sie im Abschnitt mit den Preisen unten. Zusatzleistungen - Compliance-Zuordnung, Industrieprotokolle und Integration von Sicherheits-Gates - werden separat angeboten.