Kennen Sie Ihre Schwachstellen,
bevor sie jemand anderes findet.

Ein Vulnerability Assessment ist eine systematische Bestandsaufnahme: automatisierte und manuelle Scans von Netzwerken, Servern, Endpunkten, Cloud-Diensten und Anwendungen, um bekannte Schwachstellen, unsichere Konfigurationen und veraltete Software zu finden, nach Risiko eingestuft. Ein Penetration Test geht weiter: Er versucht tatsächlich, diese Schwächen kontrolliert und abgestimmt auszunutzen, um zu zeigen, was ein Angreifer erreichen würde. Durchgeführt wird er von Spezialisten, auch mit KI-gestützten Werkzeugen, deren Ergebnisse wir einzeln validieren. Das erste sagt, wo Sie exponiert sind, das zweite, wie sehr es schmerzt. Beides ist nötig, in unterschiedlicher Frequenz.

2025 wurden 48.185 neue CVEs veröffentlicht, etwa 131 pro Tag: Ein einmal jährlich durchgeführter Test bildet eine Lage ab, die sich jede Woche ändert. Unsere Empfehlung: ein kontinuierliches oder mindestens monatliches Vulnerability Assessment der exponierten Assets, ein Penetration Test mindestens jährlich und nach jeder wesentlichen Änderung (neue Anwendung, Migration, Fusion) sowie ein Re-Test nach jeder Behebung. NIS2 verlangt ausdrücklich Schwachstellenmanagement als Prozess, nicht als Ereignis.

Ein Vulnerability Assessment hat vernachlässigbare Auswirkungen und ist so eingestellt, dass Netzwerk und Systeme nicht überlastet werden. Ein Penetration Test kann empfindliche Dienste beeinträchtigen; deshalb wird jede Phase vorab abgestimmt: Umfang, Einsatzregeln, Zeitfenster, ausgeschlossene Systeme, Notfallkontakte und Abbruchkriterien. Bei kritischen Systemen arbeiten wir in dedizierten Fenstern oder auf Replikationsumgebungen. Ein KI-gestützter Penetration Test simuliert einen echten Angreifer und kann Daten verändern, Formulare absenden oder Benachrichtigungen auslösen: Deshalb empfehlen wir ihn auf Testumgebungen. Wird in der Produktion getestet, braucht es vorher Backups, Snapshots und eine Wiederherstellungsprobe, die wir als vertraglich vereinbarte Leistung selbst durchführen können. Der Test lässt sich jederzeit stoppen: Der Stopp verhindert weitere Aktionen, macht bereits ausgeführte aber nicht rückgängig. Wir versprechen keine „null Auswirkungen“: Wir versprechen, Ihnen vorher zu sagen, wo sie auftreten können, und sie zu steuern.

Nicht allein mit dem CVSS-Wert. Eine Schwachstelle mit CVSS 9 auf einem isolierten Server kann weniger zählen als eine mit CVSS 6, die im Internet exponiert und bereits in realen Angriffen ausgenutzt wird. Deshalb kombinieren wir drei Signale: technische Schwere (CVSS 4.0), Wahrscheinlichkeit der Ausnutzung in den nächsten dreißig Tagen (EPSS) und Vorhandensein im KEV-Katalog aktiv ausgenutzter Schwachstellen. Das Ergebnis ist eine kurze Liste dessen, was sofort zu tun ist, dann der Rest in Reihenfolge, statt vierhundert Zeilen, alle rot.

Zwei Dokumente. Die Management-Zusammenfassung auf Deutsch, von uns für die Geschäftsführung verfasst: Gesamtrisiko, die fünf oder zehn Probleme, die zählen, Prioritäten nach CVSS, EPSS und KEV-Katalog, was passiert, wenn nichts geschieht. Der technische Bericht für diejenigen, die beheben: jede Schwachstelle mit Nachweisen, nachgewiesener Auswirkung und Empfehlung; bei KI-gestützten Penetration Tests ist es der Bericht der Plattform, auf Englisch. Vor der Übergabe prüfen wir jedes Ergebnis und schließen Fehlalarme aus. Der Bericht kann mit Auditoren, Behörden und Kunden geteilt werden, um die durchgeführten Prüfungen zu belegen. Der Re-Test nach der Behebung wird im Angebot vereinbart: Keine Schwachstelle gilt ohne Verifikation als geschlossen.

Artikel 21 der NIS2-Richtlinie schreibt Risikomanagementmaßnahmen vor, die den Umgang mit Schwachstellen und deren Offenlegung, Sicherheit bei Beschaffung und Wartung von Systemen sowie Konzepte zur Bewertung der Wirksamkeit der Maßnahmen umfassen. Sie nennt den Penetration Test nicht als solchen, aber er ist der direkteste Weg, diese Wirksamkeitsbewertung gegenüber der zuständigen Behörde nachzuweisen. Ab 2026 ergänzt der Cyber Resilience Act Pflichten zum Schwachstellenmanagement auch für Hersteller von Hardware und Software mit digitalen Elementen.

Die EUVD (European Union Vulnerability Database) ist die von der ENISA betriebene europäische Schwachstellendatenbank, seit 2025 in Betrieb und in NIS2 vorgesehen. Sie entstand auch aus einem praktischen Problem: 2025 hat die US-Datenbank NVD nur etwa 28 % der neuen CVEs vollständig angereichert, mit einem Rückstau, der die Bewertung verlangsamt. In unserem Schwachstellenmanagement nutzen wir beide Quellen plus EPSS und den KEV-Katalog, damit Prioritäten nicht vom Tempo einer einzelnen Stelle abhängen.

Das hängt vom Umfang ab. Vulnerability Assessments, kontinuierliches Schwachstellenmanagement und Tests an Infrastruktur und Identitäten führt unser eigenes Team durch, das anschließend auch Behebung und Re-Test begleitet. Für Penetration Tests nutzen wir auch eine KI-gestützte Plattform eines Anbieters mit Sitz im Vereinigten Königreich: Umfang, Freigaben, Validierung der Ergebnisse und Management-Zusammenfassung bleiben bei uns. Für speziellere Penetration Tests, komplexe Anwendungen, industrielle Umgebungen, Red Teaming, ziehen wir spezialisierte Partner hinzu, mit denen wir seit langem arbeiten, unter unserer Koordination und mit einem einzigen Ansprechpartner: Vertrag, Einsatzregeln und Bericht bleiben bei uns. In beiden Fällen sagen wir Ihnen vorher, wer was tut.

Ja, als Werkzeug und nicht als Ersatz. Ein KI-Agent erkundet die vereinbarten Systeme wie ein Angreifer, passt seine Schritte an das an, was er findet, und weist ausnutzbare Schwachstellen nach. Gerade deshalb verhält er sich nie zweimal gleich, kann Fehlalarme melden und findet nicht alles: Jedes Ergebnis prüfen wir vor der Übergabe, und bei komplexen Anwendungen bleibt der manuelle Test. Die während des Tests erhobenen Daten bleiben pro Kunde getrennt und werden nicht zum Training von KI-Modellen verwendet.

Bei allem, was physische Prozesse oder die Gesundheit von Menschen steuert: Industrieanlagen und OT-Systeme (Operational Technology), SCADA und SPS, Sicherheits- und Brandschutzsysteme, Medizinprodukte und Krankenhaussysteme, Fahrzeuge und Navigationssysteme. Hier kann eine unerwartete Aktion echten Schaden anrichten, deshalb arbeiten wir mit manuellen Tests spezialisierter Partner, in vereinbarten Zeitfenstern und mit klaren Abbruchkriterien. Dasselbe gilt für Systeme Dritter ohne schriftliche Freigabe des Eigentümers.

Ja, auf vier Arten. Einzeltest: ein Vulnerability Assessment oder ein Penetration Test mit Bericht und, nach der Behebung, Re-Test. Kontinuierliches Programm: Schwachstellenmanagement als Service, mit wiederkehrenden Scans, Priorisierung und Unterstützung bei der Behebung. Nur Beratung: Wir schreiben das Leistungsverzeichnis für den Test, bewerten Angebote anderer Anbieter oder lesen gemeinsam einen Bericht, den Sie bereits haben. Verifikation: unabhängiger Re-Test von Behebungen durch Ihr Team oder Dritte. Der kostenlose Ausgangspunkt für alle ist das NIST-CSF-2.0-Assessment auf unserer Plattform.