01
Webanwendungs-Sicherheitstests
Authentifizierte und nicht authentifizierte Tests von Geschäftslogik, Zugriffskontrolle und Injection-Klassen.
Offensive Security
Penetrationstests
Pentest: Finden Sie den Weg, den ein Angreifer nehmen würde.
Realistische Angriffssimulation über Anwendungen, APIs, Infrastruktur, Netzwerke und Cloud-Umgebungen hinweg.
Angriffspfad
Recon: Die exponierte Angriffsfläche und Einstiegspunkte kartieren.
Evolvice bietet Penetrationstests (kurz: Pentests) für Organisationen, die belegen wollen, wie ein Angreifer sich durch ihre Webanwendungen, mobilen Apps, APIs, Netzwerke und Cloud-Umgebungen bewegen könnte. Ein Pentest ist die kontrollierte, vorab schriftlich vereinbarte Simulation eines echten Angriffs. Statt theoretische Schwachstellen aufzulisten, verketten unsere Tester Befunde so, wie ein Angreifer es täte — vom Erstzugang über Rechteausweitung bis zur Geschäftsauswirkung. So wissen Sie, welche Schwachstellen tatsächlich relevant sind.
- Scope und Rules of Engagement werden vor Testbeginn schriftlich vereinbart.
- Befunde werden nach Ausnutzbarkeit und Geschäftsauswirkung bewertet, nicht allein nach Scanner-Severity.
- Berichte für zwei Zielgruppen: Engineers, die beheben, und Entscheider, die priorisieren.
Wie diese Leistung verbunden ist
Für Geschäftslogik, Sessions und Rollengrenzen in browserbasierten Systemen nutzen Sie Webanwendungs-Sicherheitstests.
Für iOS- und Android-Clients, lokale Speicherung und Runtime-Kontrollen nutzen Sie Mobile-App-Penetrationstests.
Für Objektautorisierung und Backend-Schnittstellen nutzen Sie API-Penetrationstests.
Für Identitäts-, Rechte- und Lateral-Movement-Pfade nutzen Sie Cloud-Infrastruktur-Penetrationstests.
Für wen dieser Test sinnvoll ist
- Als jährliche Absicherung Ihrer Anwendungen, Netzwerke und Cloud-Umgebungen.
- Nach relevanten Architektur- oder Release-Änderungen, bevor neue Funktionen live gehen.
- Wenn Sie wissen müssen, welche Befunde aus Schwachstellenscans tatsächlich ausnutzbar sind.
- Für Systeme mit kontinuierlichen Änderungen, die von einem wiederkehrenden Testzyklus profitieren.
Was Sie erhalten
- 01Nachweise und Reproduktionsschritte für jeden bestätigten Befund.
- 02Bewertung nach Ausnutzbarkeit und Geschäftsauswirkung, nicht allein nach Scanner-Severity.
- 03Priorisierte Empfehlungen zur Behebung für Ihr Engineering-Team.
- 04Eine Zusammenfassung für Entscheider, die Risiken und Prioritäten einordnet.
- 05Retest zur Verifikation, dass die Behebung den Angriffspfad tatsächlich geschlossen hat.
Expertise und Lieferstandards
Zertifizierte Offensive-Security-Expertise
Unsere Experten besitzen Zertifizierungen wie OSEE, OSCP, OSWE, OSEP, OSED, OSWP, eWPTx, eMAPT, eCPPT, CRTO und CEH.
ISO 9001 & ISO 27001
Evolvice arbeitet mit zertifizierten Qualitäts- und Informationssicherheitsmanagementsystemen nach ISO 9001:2015 und ISO 27001:2022.
IT-Delivery seit 2012
Technologie-Delivery seit 2012 prägt Scope, Kommunikation, Reporting und Behebungsunterstützung.
Was das Engagement umfasst
02
API-Penetrationstests
REST- und GraphQL-Schnittstellen, Autorisierungsgrenzen und Datenexposition.
03
Netzwerk & Infrastruktur
Tests des externen Perimeters und der internen Segmentierung.
04
Cloud-Infrastruktur-Penetrationstests
Identitäts-, Rollen- und Konfigurationspfade innerhalb von Cloud-Konten.
05
Social Engineering
Menschliche Angriffspfade — getestet in vereinbartem Scope mit Eskalationsplan.
06
Retests
Verifikation, dass die Behebung den Pfad tatsächlich geschlossen hat.
Fragen & Antworten
Was ist der Unterschied zwischen Pentest und Penetrationstest?
Es gibt keinen: „Pentest“ ist die gängige Kurzform von „Penetrationstest“. Gemeint ist in beiden Fällen ein manueller, autorisierter Angriffstest, der nachweist, welche Schwachstellen tatsächlich ausnutzbar sind und welche Geschäftsauswirkung sie hätten.
Welche Testarten decken Sie ab?
Webanwendungen, mobile Apps, APIs, Cloud-Infrastruktur, interne und externe Netzwerke sowie Social Engineering. Für jede Testart gibt es eine eigene Serviceseite mit Scope und Methodik.
Was sollten wir für das Pentest-Scoping vorbereiten?
Erfassen Sie Assets, Anwendungs- und API-Grenzen, Nutzerrollen, Testkonten, erlaubte Umgebungen, kritische Geschäftsabläufe und Eskalationskontakte. Vereinbaren Sie Autorisierung, ausgeschlossene Aktionen, Testfenster und den Umfang eines Retests vor Testbeginn.
Worin unterscheidet sich ein Penetrationstest von einem Schwachstellenscan?
Ein Schwachstellenscan ist eine automatisierte Prüfung, die potenzielle Schwachstellen anhand bekannter Signaturen auflistet. Ein Penetrationstest ist manuelle Arbeit, die nachweist, welche davon ausnutzbar sind, wie weit ein Angreifer kommt und welche Geschäftsauswirkung das hätte. Scans eignen sich für häufige, breite Abdeckung zwischen Releases; Penetrationstests für die jährliche Absicherung und größere Änderungen. Gemeinsam halten Scans die Exposition sichtbar, während Tests zeigen, welche davon relevant ist.
Wie oft sollten wir testen?
Die meisten Organisationen testen jährlich sowie nach relevanten Architektur- oder Release-Änderungen. Systeme mit kontinuierlichen Änderungen profitieren von einem wiederkehrenden Testzyklus.
Stört der Test den Produktivbetrieb?
Tests laufen nach vereinbarten Rules of Engagement, in definierten Zeitfenstern und mit Eskalationskontakten. Destruktive Tests erfolgen nur mit ausdrücklicher Freigabe.
Weiterführende Themen
Nächste Schritte & passende Expertise
Passender Service
Webanwendungs-Sicherheitstests
Manuelle Penetrationstests für Webanwendungen nach OWASP: Zugriffskontrolle, Geschäftslogik, Injection und Session-Fehler — inklusive Retest.
Service entdecken
Weiterlesen
Digitale Resilienz in einer volatilen Ära: Warum strategische Cybersicherheits-Partnerschaften jetzt entscheidend sind
Ein Datenleck kostete laut IBM Cost of a Data Breach Report 2023 durchschnittlich 4,45 Mio. $. Dieser Leitfaden zeigt, wie CTO-Level-Entscheider von reaktivem Patching zu strategischer digitaler Resilienz wechseln — mit ISO 27001-Frameworks, Red Team Testing und Nearshore-SOC-Abdeckung für EU- und GCC-Märkte.
Artikel lesen12 Min. Lesezeit
Weiterlesen
Die menschliche Firewall: Warum Cybersicherheits-Bewusstsein Ihre beste Verteidigung ist
Eine menschliche Firewall ist eine Belegschaft, die Phishing, unsichere Zugriffe und Social Engineering erkennt, bevor ein Vorfall eskaliert. Evolvice bietet Security-Awareness-Trainings, Phishing-Simulationen und Human Risk Management für Organisationen mit DSGVO- und ISO-27001-Anforderungen.
Artikel lesen10 min