Penetrationstest · Köln · Frankfurt · Stuttgart
Penetrationstests für IT- und OT-Umgebungen
Wir finden Ihre Schwachstellen, bevor es Angreifer tun. Mit einem Bericht, den IT und Geschäftsführung verstehen, und einem festen Angebot vor dem Start.
Kommt Ihnen das bekannt vor?
Sie glauben, dass Ihre IT sicher ist. Wissen Sie es auch?
Firewall, Virenschutz, Updates: Vieles ist vorhanden. Ob es einem echten Angriff standhält, zeigt erst ein Test unter realen Bedingungen.
Nur Scans, nie ein echter Test
Automatische Scans finden bekannte Lücken. Sie prüfen nicht, ob jemand daraus einen Zugang zu Ihren Daten baut. Ein Scan ist kein Pentest.
Kunden und Versicherer wollen Nachweise
Auftraggeber, Cyberversicherer und Prüfer verlangen einen unabhängigen Prüfbericht. Ohne ihn verlieren Sie Aufträge oder zahlen mehr.
Der letzte Test ist lange her
Neue Systeme, neue Cloud-Dienste, neue Zugänge: Ihre Angriffsfläche hat sich verändert. Der Bericht von vor drei Jahren nicht.
Unklar, welche Lücke zuerst zählt
Eine Liste mit 200 Befunden hilft niemandem. Sie brauchen eine Reihenfolge: Was gefährdet das Geschäft, was kann warten?
Erkennen Sie sich in einem Punkt wieder? Dann ist ein Penetrationstest der schnellste Weg zu einer belastbaren Antwort.
Unsere Leistungen
Je nach Ziel prüfen wir von außen, von innen oder mit einem komplexen Angriffsszenario. Wenn Sie nicht sicher sind, womit Sie anfangen sollen, empfehlen wir den Einstieg über das IT-Security-Audit zum Festpreis.
Externer Penetrationstest
Wir prüfen öffentlich erreichbare Systeme, Anwendungen und Schnittstellen auf Lücken, die ein Angreifer aus dem Internet ausnutzen kann.
Interner Penetrationstest
Wir zeigen, was ein Angreifer nach einem ersten Einstieg erreicht: Rechteausweitung, Bewegung im Netz, Zugriff auf Ihre Daten.
Web-Application- und API-Test
Wir analysieren Portale, APIs und Schnittstellen auf Fehler in Logik, Authentifizierung und Datenzugriff.
Red Teaming
Wir simulieren einen mehrstufigen Angriff wie von echten Tätergruppen und messen, wie widerstandsfähig Ihre Organisation ist.
Social-Engineering-Test
Wir testen den Faktor Mensch mit Phishing, Awareness-Checks und kontrollierten Täuschungsversuchen.
Pentest für OT-Umgebungen
Wir prüfen industrielle Anlagen mit Fokus auf Verfügbarkeit und Stabilität, in einem Vorgehen, das Ihren Betrieb nicht gefährdet.
Für wen
Für wen sich ein Penetrationstest lohnt
Unternehmen mit sensiblen Daten
Kundendaten, Mitarbeiterinformationen und Geschäftsgeheimnisse sind ein Ziel. Ein Pentest zeigt, ob Angreifer herankommen, und liefert einen Nachweis für die DSGVO.
Organisationen mit Compliance-Vorgaben
ISO 27001, BSI-Grundschutz, KRITIS oder NIS2 verlangen belegbare Sicherheit. Ein unabhängiger Test ist ein starker Nachweis. Wie NIS2 Sie betrifft, lesen Sie auf unserer Seite zur NIS2-Umsetzung.
IT-Leiter und Sicherheitsverantwortliche
Sie wollen wissen, wo Sie wirklich stehen, bevor es ein Angreifer oder ein Prüfer herausfindet. Der Test gibt Ihnen Argumente für Budget und Prioritäten.
Betriebe mit komplexer IT
On-Premises, Cloud (Azure, AWS, Microsoft 365) oder hybrid: Wir testen Ihre gesamte Landschaft, auch industrielle Anlagen (OT).
Zur Einordnung
Die Bedrohungslage in Zahlen
Wie ernst die Lage ist, zeigt der aktuelle Lagebericht des BSI. Ransomware bleibt dort die größte Bedrohung, meist verbunden mit dem Diebstahl sensibler Daten und der Drohung, sie zu veröffentlichen. Besonders oft trifft es Unternehmen, deren Angriffsfläche schneller gewachsen ist als ihr Schutz.
Gleichzeitig wächst die Zahl bekannter Sicherheitslücken auf im Schnitt 119 pro Tag. Genau deshalb setzen wir auf feste Abläufe statt auf Updates, die eingespielt werden, wenn gerade Zeit ist.
119
neue Schwachstellen pro Tag
950
angezeigte Ransomware-Angriffe im Berichtsjahr
47 %
der erreichbaren IP-Adressen hinter .de-Domains zeigten sensible Informationen öffentlich
Quelle: BSI, Die Lage der IT-Sicherheit in Deutschland 2025 (Zahlen zu Ransomware nach Bundeskriminalamt)
Jede ungeprüfte Schwachstelle ist eine Einladung.
Festes Angebot, bevor wir starten.
Ihr Ergebnis
Was Sie nach dem Test in der Hand haben
Kein Bericht, der in der Schublade endet. Sondern ein Plan, den Ihre IT am nächsten Tag abarbeiten kann.
Festes Angebot vorab
Wir klären Umfang und Testart im Erstgespräch und nennen Ihnen den Preis, bevor wir beginnen.
Bericht für IT und Chefetage
Technische Details für Ihr Team, eine verständliche Zusammenfassung für die Geschäftsführung.
Maßnahmen in Reihenfolge
Jede Schwachstelle bekommt eine Priorität und eine konkrete Handlungsempfehlung.
Test ohne Betriebsunterbrechung
Wir stimmen Zeitfenster und Vorgehen mit Ihnen ab, damit Ihr Betrieb weiterläuft.
Ihr erster Schritt
Von der Anfrage zum Ergebnis in drei Schritten
Sie müssen nichts vorbereiten. Ein paar Sätze zu Ihrer Umgebung reichen für den Start.
Schritt 1
Scope klären
Sie schildern, was geprüft werden soll und bis wann Sie Ergebnisse brauchen. Wir legen Systeme, Testart und Grenzen fest.
Schritt 2
Angebot und Test
Sie erhalten ein Angebot mit Prüfumfang und Preis. Nach Ihrer Zusage testen unsere zertifizierten Pentester (CRTO, OSCP, CEH) in fünf Phasen vom Scope bis zum Bericht.
Schritt 3
Bericht und Maßnahmenplan
Sie bekommen einen priorisierten Bericht mit Handlungsempfehlungen. Auf Wunsch gehen wir ihn gemeinsam mit Ihrem Team durch.
Unverbindlich und ohne Verkaufsdruck.
Geschätzter Experte für IT-Sicherheit
Geschäftsführer, Thomas kress
Thomas Kress ist ein bekanntes Gesicht im Bereich IT-Sicherheit, Cybersecurity und digitale Resilienz. Als gefragter Experte wird er regelmäßig zu Webinaren, Fachvorträgen, Panels und Messeauftritten eingeladen und veröffentlicht Gastbeiträge in Medien wie IT-Daily, silicon.de oder CSO Online zu Themen wie Informationssicherheit, Governance, Haftung und Cyber-Resilienz.
Als Geschäftsführer der Deutsche Cyberkom unterstützt er Unternehmen dabei, ihre IT-Sicherheit strategisch auszubauen, Cyberrisiken zu minimieren und moderne Sicherheitsanforderungen nachhaltig umzusetzen.
Unsere Referenzen
Über 300 gewissenhafte Unternehmen vertrauen bereits auf die Deutsche Cyberkom
Von mittelständischen Betrieben bis zu großen Konzernen – Unternehmen aus unterschiedlichsten Branchen im Rheinland, Rhein-Main und der gesamten DACH Region setzen auf unsere Expertise in IT-Sicherheit und Endgeräteverwaltung. Sie schätzen unsere präventiven Sicherheitslösungen, professionelles Schwachstellenmanagement und die zuverlässige Betreuung ihrer IT-Infrastruktur durch persönliche Berater, die stets für Sie da sind.
Bevor Sie sich melden
Was Geschäftsführer vor einem Pentest wissen wollen
Was kostet ein Penetrationstest?
Das hängt von Umfang, Zielumgebung und Testart ab. Ein einfacher Web-Pentest startet im vierstelligen Bereich, komplexe Red-Teaming-Simulationen kalkulieren wir projektbezogen. Das feste Angebot bekommen Sie nach einem kurzen Erstgespräch.
Was ist der Unterschied zwischen Scan und Pentest?
Ein Scan findet bekannte Lücken automatisiert. Beim Pentest versuchen unsere Experten, diese Lücken wie ein Angreifer auszunutzen, und zeigen Ihnen, wie weit sie damit kommen.
Läuft mein Betrieb während des Tests weiter?
Ja. Wir stimmen Zeitfenster und Vorgehen vorher mit Ihnen ab, in OT-Umgebungen mit besonderer Sorgfalt.
Wer führt den Test durch?
Zertifizierte Experten (CRTO, OSCP, CEH) mit Erfahrung aus Konzernumgebungen. Keine Tool-Bediener, sondern Leute, die wie echte Angreifer denken.
Ablauf, Testformen und Bericht im Detail
Was ist ein Penetrationstest und warum ist er wichtig?
Ein Penetrationstest, kurz Pentest, simuliert gezielte Cyberangriffe auf Ihre IT-Systeme. Ziel ist, Sicherheitslücken zu finden und zu beheben, bevor echte Angreifer sie ausnutzen. So stärken Sie Ihre Sicherheit nachhaltig und erfüllen Anforderungen wie ISO 27001, KRITIS oder DSGVO.
Welche Testformen gibt es?
Wir passen die Testform an Ihre Umgebung an: externes Pentesting (öffentlich erreichbare Systeme), internes Pentesting (Angreifer im Unternehmensnetz), Web-Application-Tests (Portale, APIs, Schnittstellen), Red Teaming und Social-Engineering-Tests mit Phishing, Awareness-Checks und Zutrittsversuchen. Für industrielle Anlagen prüfen wir mit besonderer Sorgfalt, mehr dazu unter OT-Security.
Was unterscheidet einen Pentest von Red Teaming?
Ein klassischer Pentest deckt gezielt Schwachstellen auf. Red Teaming geht weiter: Unsere Tester sind als Certified Red Team Operators (CRTO) zertifiziert und können in komplexen Active-Directory-Umgebungen arbeiten, moderne Abwehr wie EDR, Defender oder AppLocker umgehen und sich unentdeckt im Netz bewegen. So simulieren wir Angriffe, wie sie von Advanced Persistent Threats ausgeführt werden.
Wie läuft ein Penetrationstest ab?
In fünf Phasen: Planung und Scope-Definition, Reconnaissance (Informationsbeschaffung und Analyse der Angriffsfläche), Exploitation (aktive Ausnutzung gefundener Schwachstellen), Post-Exploitation mit Rechteausweitung und Reporting mit Handlungsempfehlungen. Jede Testform folgt klar definierten Sicherheitsrichtlinien, ohne Auswirkungen auf Ihren Produktivbetrieb.
Was steht im Bericht?
Sie erhalten eine Beschreibung der getesteten Systeme, nachvollziehbare Angriffsszenarien, eine detaillierte Risikobewertung, technische und organisatorische Handlungsempfehlungen und eine Priorisierung der Maßnahmen. Der Bericht ist für IT-Teams und für die Geschäftsführung verständlich. Gefundene Lücken schließen wir auf Wunsch gleich mit, zum Beispiel mit EDR und XDR.
Wer führt die Tests durch?
Ausschließlich zertifizierte Experten (CRTO, OSCP, CEH) mit Erfahrung in Red Teaming, APT-Analysen und Active-Directory-Sicherheit. Sie bedienen nicht nur Tools, sondern denken wie reale Angreifer.
Wo fange ich an, wenn ich noch keinen Test hatte?
Ein guter Einstieg ist das IT-Security-Audit zum Festpreis oder ein umfassendes Security Audit. Beides zeigt, wo Sie stehen, und hilft bei der Entscheidung, welcher Pentest folgen sollte.
Was tun, wenn bereits etwas passiert ist?
Dann zählt jede Stunde. Unsere Soforthilfe finden Sie auf der Seite Gehackt, was tun?.
Ihr nächster Schritt
Wie angreifbar ist Ihr Unternehmen wirklich?
Im Erstgespräch klären wir Ihre Ausgangslage und sagen Ihnen ehrlich, welcher Test Sinn ergibt. Auch wenn das heißt, dass Sie noch keinen brauchen.
Jetzt Pentest-Angebot anfragen
Schildern Sie in wenigen Sätzen, was geprüft werden soll. Wir melden uns mit einem Vorschlag.
Ihr Ansprechpartner
Manuel Beha
