Ein Schwachstellenscan arbeitet automatisiert mit bekannten Mustern. Ein manueller Pentest kombiniert diese Basis mit kreativem Vorgehen, individuellen Angriffsketten und Kontext über deine spezifische Umgebung. So entstehen realitätsnahe Szenarien, die automatisierte Tools allein nicht abbilden.

Mindestens jährlich. Zusätzlich bei wesentlichen Änderungen wie neuen Anwendungen, größeren Releases, Cloud-Migration oder neuen KI-Lösungen. Für besonders kritische Systeme kann ein kürzerer Zyklus sinnvoll sein.

Beides ist möglich. Standardmäßig erhältst du ein verständliches, risikobasiertes Reporting. Auf Wunsch unterstützen wir bei der Umsetzung, der Maßnahmen-Roadmap und der technischen Härtung. Inklusive Retest.

Ein Penetrationstest prüft definierte Systeme in einem begrenzten Zeitfenster. Das Ziel ist eine vollständige Schwachstellenanalyse mit dokumentierten Findings. Red Teaming simuliert einen realen Angriff über Wochen ohne definierten Scope, orientiert an tatsächlichen Angreiferprofilen. Das Ziel ist nicht die vollständige Abdeckung, sondern der Nachweis, ob ein Angreifer ein geschäftskritisches Ziel erreicht. Wer wissen will, wo Schwachstellen liegen, braucht einen Pentest. Wer wissen will, ob seine Detection und Response im Ernstfall funktionieren, braucht Red Teaming.

TLPT ist regulatorisch verpflichtend für bestimmte Finanzinstitute unter DORA. Für alle anderen ist das Prinzip dennoch relevant: Threat-Led Penetration Testing richtet Angriffssimulationen an realen Bedrohungsprofilen aus, nicht an generischen Checklisten. Unternehmen, die kritische Infrastruktur betreiben oder in regulierten Branchen tätig sind, profitieren vom gleichen Ansatz ohne formale TLPT-Pflicht.

Offensive Security muss nicht als einmaliges Projekt gedacht werden. Penetrationstests lassen sich auf einzelne Releases oder neue Features begrenzen. Angriffssimulationen können parallel zum Betrieb laufen. Wir definieren im Scoping gemeinsam, welcher Ansatz zu euren Entwicklungszyklen passt, ohne den Betrieb zu unterbrechen.

Ein Penetrationstest findet Schwachstellen. Eine Angriffssimulation prüft, ob deine Detection- und Response-Mechanismen diese Schwachstellen erkennen und korrekt darauf reagieren. Ransomware-Verhalten, Command-and-Control-Traffic und Datenexfiltration werden unter kontrollierten Bedingungen nachgestellt. Die entscheidende Frage ist nicht nur: Gibt es eine Lücke? Sondern: Würde dein SOC einen Angriff darüber bemerken?

Das hängt vom Ziel ab. Unangekündigte Kampagnen liefern realistischere Ergebnisse über den tatsächlichen Reifegrad der Organisation. Angekündigte Kampagnen haben einen stärkeren Awareness-Effekt. Beides ist möglich und rechtlich zulässig, wenn die Rahmenbedingungen sauber definiert sind. Wir klären das im Scoping gemeinsam mit eurer HR- und Rechtsabteilung.

Jedes Engagement beginnt mit einem definierten Scoping-Dokument: Zielsysteme, Ausschlüsse, Zeitfenster, Ansprechpartner:innen und Notfallprozesse. Wir arbeiten ausschließlich im abgestimmten Rahmen. Findings werden verschlüsselt übertragen und nicht über unsichere Kanäle kommuniziert. Vertraulichkeit ist vertraglich geregelt.

Ja. DORA schreibt für bestimmte Finanzinstitute regelmäßige Resilienztests vor, einschließlich TLPT nach TIBER-EU. NIS-2 erwartet technische Sicherheitsprüfungen als Teil des Risikomanagements. ISO 27001 verlangt den Nachweis, dass implementierte Controls auf Wirksamkeit getestet wurden. Unsere Berichte sind revisionssicher dokumentiert und auf die Nachweisanforderungen der jeweiligen Regulatorik ausgerichtet.

Der Bericht priorisiert Findings nach Risiko und liefert konkrete Gegenmaßnahmen. Auf Wunsch begleiten wir die Umsetzung, prüfen Maßnahmen im Retest und leiten daraus eine Security-Roadmap ab. Technische Maßnahmen werden durch unser Defense-Team umgesetzt. Findings, die Governance- oder Compliance-Relevanz haben, fließen direkt in dein ISMS und deine Nachweisdokumentation für ISO 27001, NIS-2 und DORA. Offensive, Defense und Governance arbeiten bei carmasec im Zyklus.