Leistungen für Offensive Sicherheit

Sie können nicht absichern, wovon Sie nicht wissen, dass Sie es besitzen. Die Kartierung der Angriffsfläche identifiziert jedes internetexponierte System, das Ihrer Organisation zuzuordnen ist – einschließlich jener, von denen die IT nichts weiß –, bevor ein Angreifer sie findet.

Evaluris erstellt ein fortlaufend aktualisiertes Inventar Ihrer externen Präsenz: Domains, Subdomains, Cloud-Assets, exponierte Dienste, Schatten-IT und vergessene Infrastruktur aus außer Betrieb genommenen Projekten oder Fusionen und Übernahmen. Verfügbar als zeitpunktbezogene Bewertung oder als kontinuierliche Abdeckung über SPECTER, damit Ihr Asset-Inventar zwischen geplanten Aufträgen aktuell bleibt.

Nicht jedes System braucht am ersten Tag einen vollständigen Penetrationstest. Die Schwachstellenbewertung verschafft Ihnen eine breite, priorisierte Sicht über Umgebung, Netzwerk, Systeme und Anwendungen, damit Sie wissen, wo die tatsächliche Exposition liegt, bevor Sie Teststunden auf die wertvollsten Ziele verwenden.

Evaluris kombiniert authentisierte und nicht authentisierte Scans mit manueller Validierung, um falsch-positive Ergebnisse auszuschließen, und priorisiert Feststellungen nach tatsächlicher Ausnutzbarkeit und geschäftlicher Auswirkung, nicht nach dem reinen CVSS-Wert. Geliefert als zeitpunktbezogener Auftrag oder in einem wiederkehrenden Rhythmus, abgestimmt auf die vierteljährlichen Scans nach PCI DSS und andere frameworkbasierte Anforderungen.

Ihre Anwendungsschicht ist die in modernen Angriffen am stetigsten angegriffene Fläche. Evaluris führt manuelle Penetrationstests an Webanwendungen, mobilen Anwendungen, REST- und GraphQL-APIs sowie Fat-Client-Plattformen durch – weit über das hinaus, was automatisierte Scanner finden können.

Die Tests folgen der Methodik des OWASP Web Security Testing Guide (WSTG) mit hypothesengeleiteten, von Operatoren validierten Abläufen. Jede Feststellung wird als ausnutzbar bestätigt, bevor sie in den Bericht eingeht, mit vollständigem Kontext der geschäftlichen Auswirkung und priorisierten Hinweisen zur Behebung.

Ein Angreifer muss nicht in Ihrem Netzwerk sein, um Ihre Organisation zu kompromittieren. Der externe Netzwerk-Penetrationstest bewertet Ihre internetexponierte Angriffsfläche aus der Perspektive eines externen Bedrohungsakteurs – ohne Vorwissen, ohne internen Zugang und ohne Annahmen.

Evaluris kartiert Ihre externe Präsenz, identifiziert ausnutzbare Einstiegspunkte über Cloud-Assets, Fernzugriffsdienste, E-Mail-Infrastruktur und öffentlich erreichbare Anwendungen und versucht, Brückenköpfe zu etablieren, die ein reales Kompromittierungspotenzial belegen.

Die Frage ist nicht mehr, ob ein Angreifer eindringt, sondern was er erreichen kann, sobald er drin ist. Der interne Netzwerk-Penetrationstest nutzt die Methodik der angenommenen Kompromittierung, um diese Frage präzise zu beantworten.

Ausgehend von einer authentisierten internen Position kartieren Evaluris-Operatoren Pfade der lateralen Bewegung, identifizieren Wege der Rechteausweitung und streben den Zugriff auf sensible Daten in Ihrer Unternehmensinfrastruktur an. Feststellungen werden entlang der MITRE-ATT&CK-Kill-Chain dokumentiert, mit Hinweisen zur Behebung für jede Technik.

Active Directory ist das Rückgrat der Unternehmensidentität und das primäre Ziel jedes fortgeschrittenen, persistenten Bedrohungsakteurs, der heute operiert. Eine einzige Fehlkonfiguration kann den Unterschied zwischen einem eingegrenzten Vorfall und einer vollständigen Domänenkompromittierung ausmachen.

Evaluris setzt dieselben Techniken ein wie reale APT-Gruppen: Kerberoasting, AS-REP-Roasting, DCSync, Pass-the-Hash, Pass-the-Ticket, Missbrauch von ACL und Ausnutzung von Vertrauensstellungen. Der Auftrag kartiert den vollständigen Pfad vom ersten Brückenkopf bis zum Domänenadministrator und identifiziert jeden ausnutzbaren Schritt auf diesem Weg.

Cloud-Umgebungen sind nicht von sich aus sicher. Fehlkonfigurierte Speicher-Buckets, überberechtigte IAM-Rollen, exponierte API-Schlüssel, unsichere DevOps-Pipelines und Pfade lateraler Bewegung über cloudnative Dienste sind die Bedingungen, auf die Angreifer setzen – und die Compliance-Checklisten regelmäßig übersehen.

Evaluris bewertet Ihre Cloud-Sicherheitslage aus der Perspektive eines Angreifers in AWS- und Azure-Umgebungen und identifiziert Ketten von Fehlkonfigurationen, Pfade der Rechteausweitung und Szenarien der kontenübergreifenden Kompromittierung, die ein reales Geschäftsrisiko darstellen.

Industrielle Steuerungssysteme wurden nicht mit Blick auf Angreifer entworfen. SCADA-Plattformen, SPS, Historian-Server und OT-Netzwerkarchitekturen enthalten Schwachstellen, die automatisierte Scanner nicht erreichen und die allgemeine Penetrationstester nicht qualifiziert sind, sicher zu bewerten.

Evaluris bringt spezialisierte Expertise der Offensiven Sicherheit in Umgebungen der operativen Technologie ein, einschließlich SCADA-Systemen, Siemens-S7- und Allen-Bradley-SPS, Protokollstacks Modbus/DNP3/IEC 61850 und den Grenzen der OT/IT-Konvergenz. Alle Aufträge werden unter Protokollen ohne Betriebsunterbrechung durchgeführt, ausgelegt auf laufende industrielle Umgebungen, in denen Verfügbarkeit nicht verhandelbar ist.

Die technisch am stärksten gehärtete Umgebung kann durch eine einzige gut gestaltete E-Mail, einen überzeugenden Anruf oder einen unbegleiteten Besucher im Serverraum kompromittiert werden. Tests der sozialen Manipulation bewerten die menschliche Schicht Ihres Sicherheitsprogramms – die Kontrollen, die keine Firewall-Regel durchsetzen kann.

Evaluris entwirft und führt Phishing-Kampagnen, Vishing-Operationen und Szenarien physischen Eindringens aus, zugeschnitten auf Profil, Branche und Bedrohungslandschaft Ihrer Organisation. Feststellungen werden mit vollständiger Angriffsdarstellung, Analyse der Mitarbeiterreaktion und Empfehlungen zur Verbesserung des Sensibilisierungsprogramms berichtet.

Ein Red-Team-Auftrag ist die realitätsnächste Prüfung der Fähigkeit Ihrer Organisation, einen realen Bedrohungsakteur zu erkennen, darauf zu reagieren und ihn einzugrenzen. Es ist kein Penetrationstest. Ziel ist nicht, Schwachstellen aufzulisten, sondern vereinbarte Missionsziele durch Tarnung, Persistenz und fortgeschrittene Umgehung zu erreichen, während Ihr Abwehrteam unter normalen Bedingungen ohne Vorwarnung arbeitet.

Die Red-Team-Operatoren von Evaluris nutzen dieselben Taktiken, Techniken und Verfahren wie die fortgeschrittenen, persistenten Bedrohungsakteure, die Ihre Branche am ehesten angreifen. Die Aufträge werden unter strenger operativer Sicherheit durchgeführt, mit eigens entwickelten Werkzeugen, Techniken zur Nutzung vorhandener Systemwerkzeuge und Umgehungsmethoden, die moderne EDR-, SIEM- und Verhaltensanalyseplattformen überwinden sollen.

Das Ergebnis ist keine Schwachstellenliste. Es ist eine vollständige Angriffsdarstellung: ein dokumentierter, durchgängiger Bericht darüber, wie Ihre Organisation kompromittiert wurde, was Ihre Abwehr nicht erkannt hat und welche Änderungen an Ihrem Sicherheitsprogramm den Ausgang verändert hätten.

Red Teaming findet die Lücken. Purple Teaming schließt sie – schneller, mit direkter Wissensweitergabe an das Team, das Ihre Umgebung jeden Tag verteidigen muss.

Purple-Team-Aufträge führen Angreiferszenarien aus, die dem MITRE ATT&CK Framework und den konkreten Geschäftszielen Ihrer Organisation zugeordnet sind, in unmittelbarer Zusammenarbeit mit Ihrem Blue Team. Anders als beim Red Teaming ist das Abwehrteam durchgängig eingebunden: Es validiert Erkennungen in Echtzeit, stimmt Alarmlogik gegen laufende Angriffsaktivität ab und baut die operative Routine auf, die nötig ist, um beim realen Angriff wirksam zu reagieren.

Das Ergebnis ist eine messbare Verbesserung der Erkennungsabdeckung, dokumentiert für jede geprüfte MITRE-ATT&CK-Technik – kein Bericht, der abgelegt und vergessen wird.

Aufsichtsbehörden in der EU, im GCC und in Afrika verlangen inzwischen, dass kritische Finanzinstitute Penetrationstests durchführen, die von realen Bedrohungsinformationen geleitet werden – nicht von einer generischen Methodik. DORA Artikel 26, TIBER-EU und vergleichbare Frameworks bei CBUAE, SAMA, VARA, CBK und CBB fordern dokumentierte TLPT-Aufträge, durchgeführt von zertifizierten, unabhängigen Testern, die festgelegte Kompetenzanforderungen erfüllen.

Die TLPT-Aufträge von Evaluris beruhen auf einem maßgeschneiderten Bedrohungsprofil Ihrer Organisation und identifizieren die konkreten Bedrohungsakteure, Kampagnen und TTP, die Ihre Branche, Region und Technologieumgebung am ehesten angreifen. Angriffsszenarien werden aus dieser Informationsgrundlage konstruiert und ergeben einen Auftrag, der Ihre reale Risikoexposition betrifft – nicht eine standardisierte Testsuite.

Jeder Auftrag erzeugt die vollständige Nachweisdokumentation für die regulatorische Einreichung: Bericht zu Bedrohungsinformationen, Dokumentation der Testdurchführung, Darstellung der Feststellungen und Nachweisakte zur Behebung, abgestimmt auf den jeweils geltenden Framework-Standard.

Zeitpunktbezogene Red-Team-Aufträge liefern eine Momentaufnahme. Ihre Angriffsfläche steht nicht still.

Der laufende Red-Team-Dienst von Evaluris liefert kontinuierliche Angreifersimulation über strukturierte monatliche Testzyklen, festen Operatorzugang und einen fortlaufenden Feststellungszyklus, der mit Ihrer sich wandelnden Infrastruktur und neuen Bedrohungen Schritt hält. Organisationen nutzen dieses Modell, um eine interne Red-Team-Fähigkeit aufzubauen oder zu ergänzen, die Wirksamkeit der Behebung zu prüfen und fortlaufend Sicht auf ihre tatsächliche Sicherheitslage zu behalten – nicht nur zum Bewertungszeitpunkt.

Monatliche Berichtszyklen geben Ihnen die volle Kontrolle, Ziele neu festzulegen, zuvor identifizierte Feststellungen nach der Behebung nachzutesten und messbare Verbesserung Ihres Sicherheitsprogramms über die Zeit zu verfolgen.

Besonders geeignet für: Finanzinstitute, regulierte Unternehmen und Organisationen mit reifen Sicherheitsprogrammen, die eine fortlaufende Validierung statt periodischer Zeitpunktbewertungen suchen.