Penetrationstests für Ihre Anwendungen im Internet.
Tyvar greift Ihre Domains, Webanwendungen und APIs so an, wie es echte Angreifer tun. Aber nur nach Regeln, die Sie vorher unterschreiben. Ein Analyst prüft jedes Finding, bevor Sie es sehen.
Real attacks. Signed rules.
Wir arbeiten mit denselben Techniken wie echte Angreifer. Die Regeln dafür legen Sie vorher schriftlich fest, mit festen Source-IPs, vereinbarten Testfenstern und einem Emergency Stop auf jeder Seite.
Zwei Leistungen.
Bei beiden Leistungen testen wir nur, was aus dem Internet erreichbar ist, und nur mit schriftlicher Autorisierung. Am Ende bekommen Sie einen Report, mit dem Ihr Team direkt arbeiten kann.
-
Einmalig
External Penetration Testing
Wir testen die Domains, Webanwendungen und APIs, die Sie ins Internet stellen. Grundlage ist der OWASP Web Security Testing Guide, dazu kommen neuere Angriffsklassen. Für jedes Asset halten wir fest, was getestet wurde. So bleiben Lücken sichtbar.
-
Wiederkehrend
Attack Surface Monitoring
Ihre Infrastruktur ändert sich auch nach einem Penetrationstest weiter. Beim Monitoring kartieren wir Ihre External Attack Surface in einem festen Rhythmus neu, melden, was sich seit dem letzten Mal geändert hat, und testen die offenen Assets erneut. Jedes Ergebnis prüft ein Analyst. Echtzeit-Alarme oder ein SOC gehören nicht dazu.
Autorisierung zuerst.
Wer in Deutschland ohne Erlaubnis auf fremde Systeme zugreift, macht sich strafbar, nach Paragraf 202a ff. StGB. Deshalb gelten bei jedem Auftrag diese Regeln.
-
Schriftliche Autorisierung
Der Eigentümer der Systeme unterschreibt eine Testvereinbarung. Wo es die Bedingungen von Hoster oder Cloud-Anbieter verlangen, stimmen auch diese zu. Erst dann geht das erste Paket raus.
-
Feste Source-IPs
Wir testen nur von den Adressen, die in der Vereinbarung stehen. Ihr Monitoring kann sie freigeben oder im Blick behalten.
-
Vereinbarte Testfenster
Wir testen nur in den vereinbarten Zeitfenstern und nur die Ziele auf der Liste. Die Ausnahmen fassen wir nicht an.
-
Emergency Stop
Auf jeder Seite gibt es einen Kontakt, der den Test per Anruf sofort stoppen kann.
-
Keine destruktiven Tests
Wir machen keinen Denial of Service und löschen keine Daten. Produktionsdaten ändern wir höchstens so weit, wie ein Finding es als Beleg braucht.
So läuft ein Auftrag.
-
Scoping-Gespräch
Wir klären Ziele, Ausnahmen, Testfenster und wer auf beiden Seiten Ansprechpartner ist. Danach bekommen Sie einen schriftlichen Scope-Vorschlag.
-
Schriftliche Autorisierung
Sie unterschreiben die Testvereinbarung. Darin stehen die festen Source-IPs, die Testfenster und der Emergency-Stop-Kontakt jeder Seite. Vorher testen wir nichts.
-
Attack Surface Mapping
Wir erfassen Subdomains, offene Dienste, Zertifikate und eingesetzte Technologien. Dieses Inventar bekommen Sie mit dem Report.
-
Testing
Grundlage ist der OWASP Web Security Testing Guide. Dazu kommen neuere Angriffsklassen wie HTTP Request Smuggling, Web Cache Poisoning, GraphQL, JWT oder OAuth-Flows. Für jedes Asset halten wir fest, was getestet wurde.
-
Verification
Ein Analyst reproduziert jedes Finding, bevor es in den Report kommt. Ungeprüfter Scanner-Output landet dort nie.
-
Report und Debrief
Eine Executive Summary für die Geschäftsführung. Technische Findings mit Schweregrad, Beleg, Reproduktionsschritten und Empfehlung. Und ein Abschlussgespräch.
-
Retest
Wenn Sie möchten, prüfen wir Ihre Fixes noch einmal und aktualisieren den Report.
Was Sie erhalten.
Der Report ist für die Geschäftsführung und für Ihre Technik geschrieben. Sie können ihn auch Kunden und Versicherern vorlegen oder für die Wirksamkeitsprüfung nutzen, die NIS2 von betroffenen Unternehmen erwartet.
-
Executive Summary
Eine Seite für die Geschäftsführung, die das Risiko zusammenfasst.
-
Attack-Surface-Inventar
Subdomains, Dienste, Zertifikate und Technologien aus dem Mapping. Auch die Assets, von denen Sie nichts wussten.
-
Findings
Jedes mit Schweregrad, Beleg, Reproduktionsschritten und einer Empfehlung zur Behebung. Ein Analyst hat jedes davon geprüft.
-
Abdeckung pro Asset
Was getestet wurde, was sauber war und was sich nicht testen ließ. Mit Begründung.
-
Abschlussgespräch und Retest
Ein Gespräch für Management und Technik. Auf Wunsch ein Retest. Den Report schicken wir als verschlüsseltes Archiv, das Passwort auf einem anderen Weg.
Scope und Out of Scope.
Braucht ein Test mehr als eine Internetverbindung und Ihre schriftliche Autorisierung, ist er Out of Scope.
In Scope
- Domains und SubdomainsAlles, was unter Ihren Domains auflöst, wird erst kartiert und dann getestet.
- WebanwendungenOWASP als Grundlage, dazu neuere Angriffsklassen.
- APIs, REST und GraphQLFehler bei der Autorisierung zwischen Objekten und Rollen sind das häufigste schwere Finding.
- Authentifizierung, auch OAuthLogin, Passwort-Reset, Sessions, Tokens und Single Sign-on testen wir als eine Kette.
- Offene Dienste und Admin-OberflächenManagement-Interfaces, Datenbanken, Mail und Fernzugriff, die aus dem Internet antworten.
- TLS und ZertifikateProtokollversionen, Cipher Suites, Zertifikatsketten und Hostnamen.
- E-Mail-Sicherheit mit SPF, DKIM und DMARCMit schwachen Einträgen kann jeder Mails in Ihrem Namen verschicken.
- Authentifizierte Tests einer WebanwendungOptional, mit Testkonten, die Sie uns geben.
Out of Scope
- Interne Netze und Active DirectoryAus dem Internet nicht erreichbar. Bieten wir heute nicht an.
- VPN- oder Vor-Ort-ZugangWir testen von außen, über die Adressen in der Vereinbarung.
- Social Engineering und PhishingTyvar testet Systeme und schickt Ihren Mitarbeitenden keine Mails.
- Denial of ServiceSchadet der Verfügbarkeit und sagt nichts über Ihre Sicherheit.
- Physische TestsTyvar testet, was das Internet erreicht.
- Cloud-Konfigurationsreviews, Red Teaming, Whitebox-ReviewsHeute nicht im Angebot.
Wie KI und Analyst zusammenarbeiten.
KI-Agenten arbeiten schnell und in der Breite. Was im Report steht, entscheidet ein Mensch.
KI-Agenten geben Tyvar Breite und Tempo über die ganze Attack Surface. Sie enumerieren, fingerprinten und sondieren schneller als ein Mensch. Der Analyst steuert diese Arbeit, folgt den Spuren, die zählen, und testet die Logik, die keine Checkliste abdeckt.
Bevor ein Finding aufgeschrieben wird, reproduziert ein Mensch es auf dem Zielsystem. Was sich nicht reproduzieren lässt, fliegt raus oder wird als Beobachtung markiert. Sie bekommen keinen Scanner-Output, den niemand gelesen hat. Die KI-Analyse läuft bei einem Drittanbieter mit vertraglichen Datenschutzregeln. Alle Subprozessoren stehen im Auftragsverarbeitungsvertrag, den Sie vor dem Test bekommen. Dort steht auch der Name des Anbieters.
Fragen und Antworten.
Was ist ein externer Penetrationstest?
Ein Test der Systeme, die Ihre Organisation ins Internet stellt. Also Domains, Webanwendungen, APIs und offene Dienste. Wir testen von außen und nutzen die Techniken echter Angreifer. Aber nur nach Regeln, die Sie vorher unterschreiben. Am Ende steht ein Report mit geprüften Findings, die Ihre Leute direkt abarbeiten können.
Was testet Tyvar, und was nicht?
Wir testen, was Ihnen gehört und aus dem Internet erreichbar ist. Das sind Domains, Webanwendungen, APIs, Logins, offene Dienste, TLS und die E-Mail-Sicherheitseinträge. Out of Scope sind interne Netze, VPN-Zugang, Social Engineering, Phishing, Denial of Service und physische Tests. Interne Netze, Active Directory, Cloud-Konfigurationsreviews und Red Teaming bietet Tyvar heute nicht an.
Brauchen wir eine schriftliche Autorisierung?
Ja, immer. Wer in Deutschland ohne Erlaubnis auf fremde Systeme zugreift, macht sich strafbar, nach Paragraf 202a ff. StGB. Ein Penetrationstest ist nur legal, wenn der Berechtigte vorher zustimmt. Deshalb kommt die Unterschrift vor dem ersten Paket. Die Testvereinbarung nennt Ziele, Ausnahmen, feste Source-IPs, Testfenster und einen Emergency-Stop-Kontakt auf jeder Seite.
Beeinträchtigt der Test unseren Betrieb?
Er ist so geplant, dass er das nicht tut. Kein Denial of Service, keine destruktiven Tests und Arbeit nur in den vereinbarten Fenstern. Ihr Emergency-Stop-Kontakt kann jederzeit abbrechen. Wenn ein System schon bei normalen Anfragen seltsam reagiert, ist das selbst ein Finding. Wir melden es und machen dort nicht weiter.
Setzt Tyvar KI ein?
Ja, und wir sagen das offen. KI-Agenten sorgen für Breite und Tempo über die ganze Attack Surface. Ein Mensch reproduziert jedes Finding und entscheidet, was in den Report kommt. Die KI-Analyse läuft bei einem Drittanbieter mit vertraglichen Datenschutzregeln. Alle Subprozessoren stehen im Auftragsverarbeitungsvertrag.
Was bekommen wir am Ende?
Einen Report mit Executive Summary und dem Attack-Surface-Inventar. Jedes Finding hat Schweregrad, Beleg, Reproduktionsschritte und eine Empfehlung. Dazu die Abdeckung pro Asset und ein Abschlussgespräch. Auf Wunsch testen wir Ihre Fixes noch einmal. Den Report schicken wir als verschlüsseltes Archiv, das Passwort auf einem anderen Weg.
Was ist Attack Surface Monitoring, und was ist es nicht?
Wir kartieren Ihre External Attack Surface in einem festen Rhythmus neu. Sie erfahren, welche Assets dazugekommen oder verschwunden sind, und wir testen die offenen Dienste erneut. Jedes Ergebnis prüft ein Analyst. Es ist kein Echtzeit-Alarm und kein Security Operations Center.
Was kostet ein Test?
Das hängt von der Zahl der Hosts und Anwendungen ab und davon, wie tief wir testen. Nach dem Scoping-Gespräch bekommen Sie ein schriftliches Angebot mit Festpreis. Eine Preisliste gibt es weder hier noch auf tyvar.de. Ohne Scope können wir keinen verlässlichen Preis nennen.
Nennen Sie uns Ihre Domains.
Schicken Sie uns die Domains und Anwendungen, die getestet werden sollen. Sie bekommen einen Scope-Vorschlag, einen Festpreis und einen Termin für das Gespräch. Getestet wird erst nach Ihrer Unterschrift.
Damit Angreifer gesperrt bleiben, gibt es NxtFireGuard für die IP-Blocklists Ihrer Firewalls (nxtfireguard.de).