Penetrationstests & Red Teaming

Ein Penetrationstest simuliert einen realen Angriff auf Ihre Systeme — unter kontrollierten Bedingungen, mit definiertem Scope und klaren Regeln. Red Teaming geht einen Schritt weiter: Es testet nicht nur technische Schwachstellen, sondern auch organisatorische Abwehrfähigkeit, Incident-Detection und Reaktionszeiten. KernCode Security Labs GmbH bietet beide Varianten an — zugeschnitten auf die Risikolage und die Reife Ihrer Sicherheitsorganisation.

Der Unterschied zwischen einem automatisierten Vulnerability Scan und einem Penetrationstest ist fundamental: Der Scan findet bekannte Schwachstellen in bekannten Produkten. Der Penetrationstest findet Schwachstellen in Ihrer spezifischen Konfiguration, Ihrer Geschäftslogik und in der Kombination Ihrer Systeme. Ein Scanner meldet, dass ein Apache-Server eine veraltete Version hat. Ein Penetrationstester zeigt, wie er über diesen Apache auf die Datenbank zugreift, von dort Credentials extrahiert und damit auf das interne Active Directory zugreift. Dieser Unterschied entscheidet über die Aussagekraft des Ergebnisses.

Testmethoden und Scope-Varianten

Wir empfehlen Grey-Box-Tests als Standard für die meisten Mittelstandsunternehmen: Sie sparen Reconnaissance-Zeit und konzentrieren das Budget auf die tatsächliche Angriffssimulation. Black-Box ist sinnvoll, wenn Sie wissen wollen, wie sichtbar Sie für opportunistische Angreifer sind. White-Box liefert maximale Tiefe und kombiniert sich ideal mit einem Quellcode-Sicherheitsaudit. Red Teaming eignet sich für Organisationen mit bestehendem SOC oder SIEM, die ihre Erkennungs- und Reaktionsfähigkeit unter Stress testen möchten.

Was wir testen

Unser Leistungsspektrum umfasst: externe und interne Infrastruktur-Penetrationstests (Netzwerk, Active Directory, Cloud-Umgebungen), Web-Application-Penetrationstests (OWASP Testing Guide), API-Penetrationstests (REST, GraphQL, gRPC), Mobile-App-Sicherheitstests (iOS, Android), WLAN-Sicherheitstests und physische Sicherheitstests (Tailgating, USB-Drop, Badge-Cloning) sowie Social Engineering (Phishing-Kampagnen, Vishing, Pretexting).

Jeder Test wird nach anerkannten Standards durchgeführt: OWASP Testing Guide, PTES (Penetration Testing Execution Standard), OSSTMM und BSI-Grundschutz-Methodik. Die Ergebnisse dokumentieren wir in einem Bericht, der sowohl eine Management-Summary für Entscheider als auch technische Details mit Proof-of-Concept-Skripten für Entwickler und Administratoren enthält. Jedes Finding erhält ein CVSS-Scoring und eine Priorisierung nach Geschäftsrisiko.

Ablauf eines typischen Engagements

Ein Penetrationstest bei KernCode beginnt mit einem Scoping-Workshop, in dem wir Zielsysteme, Testmethodik, Zeitrahmen und Eskalationspfade definieren. Während der Testphase kommunizieren wir kritische Findings sofort — wir warten nicht auf den Abschlussbericht, wenn eine aktiv ausnutzbare Schwachstelle vorliegt. Nach Abschluss erhalten Sie den vollständigen Bericht und ein Debriefing mit Ihrem Team. Optional führen wir nach der Behebungsphase einen Re-Test durch, um die Wirksamkeit der Maßnahmen zu validieren.

Von Frankfurt am Main aus betreuen wir Mandate in ganz Deutschland und im DACH-Raum. Für regulierte Branchen — Finanzdienstleister, Energieversorger, Gesundheitswesen — liefern wir Berichte, die den Anforderungen von BaFin, BSI, NIS-2 und DORA genügen. Für Technologieunternehmen liefern wir die technische Tiefe, die Product-Security-Teams brauchen. Weitere Details zu unserer Schwachstellenanalyse oder dem gesamten Fachbereichsspektrum finden Sie auf den jeweiligen Seiten.