Externe Sicherheitsanalyse

Wann die Analyse sinnvoll ist

Sechs typische Anlässe aus der Praxis.

Gewachsene IT

Über die Jahre sind Systeme dazugekommen, manche längst vergessen. Die Analyse zählt auf, was davon noch aus dem Internet erreichbar ist.

Website mit WordPress oder anderem CMS

Version, Plugins und Anmeldeseite sind oft von außen ablesbar. Wir zeigen, was ein Angreifer davon sieht.

Eigene Server im Haus

Mail, Warenwirtschaft oder Fernwartung laufen bei Ihnen. Der Bericht zeigt, ob davon etwas ungewollt im Internet steht.

Homeoffice und Fernzugriff

VPN und Fernwartung sind beliebte Einstiegspunkte. Wir prüfen, was dort antwortet und wie aktuell es ist.

Fragebogen von Versicherung oder Auftraggeber

Cyberversicherungen und große Kunden fragen nach dem Stand Ihrer IT. Der Bericht ist ein dokumentierter Nachweis mit Datum.

Noch nie von außen geprüft

Wenn das bisher niemand gemacht hat, ist die Außenansicht die einfachste Standortbestimmung. Einmal prüfen, dann wissen Sie es.

Was geprüft wird

34 Kontrollpunkte in sieben Bereichen: aktive Scans auf Ihre Systeme und Recherche in öffentlichen Quellen. Jeder Bereich lässt sich aufklappen.

6E-Mail & DNS Kann jemand in Ihrem Namen E-Mails versenden?

SPF: Ist festgelegt, welche Server für Sie versenden dürfen
DKIM: Werden Ihre Mails signiert und ist der Schlüssel gültig veröffentlicht
DMARC: Gibt es eine Richtlinie gegen gefälschte Absender und wertet jemand die Berichte aus
MTA-STS und TLS-RPT: Wird verschlüsselte Zustellung erzwungen
DNSSEC: Sind Ihre DNS-Antworten gegen Manipulation signiert
Nameserver: Zonenübertragung nach außen, Redundanz und veraltete Einträge

10Erreichbare Dienste Was antwortet aus dem Internet? Vergessene Systeme, offene Verwaltungszugänge.

Offene Ports auf Ihrer IP-Adresse, vollständig durchgesehen
Verwaltungszugänge aus dem Internet: SSH, Fernwartung, Oberflächen von Firewall, NAS und Druckern
Datenbanken und Dateifreigaben, die nach außen antworten
VPN-Endpunkte und deren Versionsstand
Dienste-Kennungen und Produktversionen, die nach außen sichtbar sind
Subdomains: vollständige Ermittlung, auch die vergessenen
Test-, Staging- und Altsysteme, die noch online sind
Verwaiste DNS-Einträge, die auf fremde Cloud-Ressourcen zeigen und übernommen werden können
Vernetzte Geräte am Anschluss: Kameras, Gebäudetechnik, Steuerungen
Cloud-Speicher und Ablagen ohne Zugriffsschutz

4Web-Konfiguration Ist Ihre Website nach außen sauber eingestellt?

Sicherheits-Header: erzwungene Verschlüsselung, Schutz gegen eingeschleuste Inhalte und Einbettung in fremde Seiten
Cookies: Sind sie gegen Auslesen und Mitschneiden abgesichert
Offenliegende Pfade und Dateien: Versionsverwaltung, Konfigurationsdateien, Backups, offene Verzeichnislisten
Anmelde- und Verwaltungsoberflächen sowie erkennbare Systemversionen

4Reputation & Zugangsdaten Stehen Passwörter Ihrer Domain in Leak-Sammlungen? Gibt es Tippfehler-Domains?

Firmen-Adressen in bekannten Leak-Sammlungen, mit Quelle und Zeitpunkt
Ihre Domain und Ihre Mail-Server auf Blocklisten, die Zustellung kosten
Tippfehler- und Nachahmer-Domains, die für Betrugsmails in Ihrem Namen taugen
Ausgestellte Zertifikate auf Ihren Namen, auch solche, die Sie nie beauftragt haben

1OSINT Was steht bereits in Suchmaschinen und Archiven?

Indexierte Inhalte, die nicht öffentlich sein sollten: Dokumente und Verzeichnisse in Suchmaschinen, alte Fassungen Ihrer Seite in Web-Archiven, Zugangsdaten und interne Namen in öffentlichen Code-Ablagen, verwertbare Angaben in den Metadaten Ihrer PDF- und Office-Dateien

3Verschlüsselung Ist Ihre Verschlüsselung auf aktuellem Stand?

TLS-Versionen und Verfahren: Werden veraltete, angreifbare Varianten noch angeboten
Zertifikate: Kette, Aussteller, Restlaufzeit und Abdeckung aller Namen
Verschlüsselung im Mailverkehr an Ihren Mail-Servern

6Schwachstellen Gibt es bekannte Lücken in Ihren erreichbaren Systemen?

Bekannte Schwachstellen in den erkannten Produkten und Versionen
Abgleich mit der Liste nachweislich aktiv ausgenutzter Lücken
Software ohne Hersteller-Support, für die es keine Sicherheitsupdates mehr gibt
Standard- und Beispielkonfigurationen, die nach der Installation stehen geblieben sind
Eingebundene Fremdkomponenten Ihrer Website mit bekannten Lücken
Fehlkonfigurationen, die einzeln harmlos wirken und in Kombination einen Weg ergeben

6 + 10 + 4 + 4 + 1 + 3 + 6 = 34 Kontrollpunkte

Was diese Analyse nicht kann

Die Analyse prüft von außen. Was nur von innen sichtbar ist, können wir damit nicht beurteilen. Genau dafür gibt es den IT Check, der alle diese Punkte abdeckt:

Phishing-Resistenz Ihrer Mitarbeiter
Wiederherstellbarkeit Ihrer Backups
Interne Netzwerk- und Active-Directory-Konfiguration
Microsoft-365-Einstellungen
Ausbreitungswege von Erpressersoftware im Haus
Sicherheit der Arbeitsplätze: Updates, Virenschutz, Verschlüsselung
WLAN und Trennung von Firmen- und Gastnetz
Serverraum, Notstrom und Brandschutz

Diese Seite

Blick von außen, wie ein Angreifer
Kein Zugriff auf Ihre Systeme nötig
34 Kontrollpunkte auf Domain und IP-Adresse
Bericht in 5 Werktagen, ca. 10 Minuten Aufwand für Sie

ab 249 € exkl. USt

Jetzt buchen

Die große Prüfung

IT Check

Prüfung von innen, bei Ihnen vor Ort
Über 100 Prüfpunkte in acht Bereichen
Leichter Penetrationstest inklusive
Backup-Konzept, Benutzerkonten, Netzwerk, Serverraum
Wir sehen nach, ob ein Ausfall Sie wirklich stoppen würde
Befund mit Maßnahmenplan innerhalb von zwei Wochen, persönlich präsentiert

ab 1.299 € exkl. USt · Gespräch vereinbaren

Zum IT Check

Ablauf

Drei Schritte, fünf Werktage.

Sie nennen Domain und IP-Adresse

Zwei Angaben genügen. Die Subdomains finden wir selbst.
Wir scannen und recherchieren

34 Kontrollpunkte: aktive Scans auf Ihre Adressen und Recherche in öffentlichen Quellen. Keine Anmeldeversuche, Ihr Betrieb läuft normal weiter. Ihr Security Monitoring kann dabei anschlagen, unsere Quell-IP bekommen Sie vorab.
Bericht und Besprechung

Innerhalb von 5 Werktagen ab Freigabe. Sie erhalten das PDF und wir besprechen es in 30 Minuten.

Aufwand für Sie: ca. 10 Minuten

Rechtliches und Vertrauen

Diese Zusagen stehen schriftlich in der Scan-Freigabe, bevor wir beginnen:

Wir prüfen nur, was Sie schriftlich freigegeben haben
Wir verändern nichts an Ihren Systemen und probieren keine Passwörter aus
Der Bericht geht nur an Sie. Keine Veröffentlichung, keine Weitergabe, keine Nennung als Referenz ohne Ihre Zustimmung
Die Daten liegen verschlüsselt in Österreich und werden auf Wunsch nach der Besprechung gelöscht
Standort Berndorf, Niederösterreich. Ein Ansprechpartner mit Namen und Telefonnummer

Die Analyse ist kein vollständiger Penetrationstest und kein Sicherheitszertifikat. Sie zeigt den Stand zum Zeitpunkt der Prüfung. Was Sie mit den Befunden machen, entscheiden Sie.

Häufige Fragen

Merken wir davon etwas?

Ihr Betrieb läuft normal weiter. Unsere Scans fragen nur ab, was Ihre Systeme ohnehin nach außen beantworten, in normalem Tempo und ohne Last. Es gibt keine Anmeldeversuche und wir nutzen keine Schwachstellen aus. Haben Sie ein Security Monitoring oder eine Schutzsoftware im Einsatz, kann der Scan dort Alarme auslösen, wie bei einem echten Angreifer. Unsere Quell-IP nennen wir Ihnen vorab, damit die Meldungen zuordenbar sind. Bleibt alles still, ist auch das ein Ergebnis für den Bericht.

Was sagt der Test über meine IT Sicherheit aus?

Er beantwortet eine Frage: Sieht Ihr Betrieb von außen aus wie ein leichtes Ziel, das nur darauf wartet, dass ein automatisierter Scan vorbeikommt, oder findet ein Angreifer an Ihrer Adresse nichts Einfaches. Das ist ein wichtiger Teil Ihrer IT Sicherheit und ein guter Einstieg. Wie es hinter der Tür aussieht, also Backups, Benutzerkonten, Serverraum und Netzwerk, zeigt der IT Check.

Werden alle Subdomains einzeln geprüft?

Nein. Wir suchen, welche Subdomains und Adressen überhaupt öffentlich auffindbar sind, und listen sie im Bericht auf. Geprüft wird die Domain und die IP-Adresse, die Sie freigeben. So sehen Sie, was von außen sichtbar ist, ohne dass daraus eine Prüfung von zwanzig Systemen wird.

Woher kenne ich meine IP-Adresse?

Verbinden Sie einen Rechner mit dem Firmennetz und rufen Sie icanhazip.com auf. Was dort steht, ist Ihre öffentliche IP-Adresse. Die meisten kleineren Betriebe haben genau eine. Hat Ihr Betrieb mehrere, finden Sie sie im Kundenportal oder im Vertrag Ihres Internetanbieters. Wenn Sie unsicher sind, helfen wir Ihnen dabei.

Ist das legal?

Ja, mit Ihrer ausdrücklichen Freigabe. Aktive Scans ohne Erlaubnis des Inhabers wären nicht zulässig. Sie geben uns die Domains und IP-Adressen frei, die geprüft werden sollen. Schon bei der Zahlung bestätigen Sie, dass Sie darüber verfügungsberechtigt sind. Sobald die Bestellung bei uns eingeht, gleichen wir die Angaben mit öffentlichen Registern ab und rufen im Zweifel an. Passt etwas nicht zusammen, starten wir keinen Scan und erstatten den Betrag.

Was, wenn nichts gefunden wird?

Dann steht das genau so im Bericht, mit dem Nachweis, dass geprüft wurde. Sie haben damit eine dokumentierte Außenansicht mit Datum, die Sie Versicherung, Auftraggebern oder der Geschäftsführung vorlegen können. Erfahrungsgemäß findet sich aber bei fast jedem Unternehmen mindestens ein vergessenes System oder ein fälschbarer Absender.

Was brauchen Sie für die Analyse?

Wir brauchen nur Domain, IP-Adresse und Ihre Freigabe. Der Bericht ordnet die Ergebnisse nach Dringlichkeit. Auf dieser Basis können wir die nächsten technischen Schritte gezielt planen und umsetzen.

Was passiert mit den Daten?

Der Bericht geht nur an Sie. Wir veröffentlichen nichts, geben nichts an Dritte weiter und nennen Sie ohne Ihre Zustimmung nicht als Referenz. Die Daten liegen verschlüsselt in Österreich und werden auf Wunsch nach der Besprechung gelöscht, spätestens nach zwölf Monaten.

Begriffe wie Angriffsfläche, SPF oder Penetrationstest kurz erklärt finden Sie in der Wissensdatenbank IT-Sicherheit.

Bereit?

Wissen, was von außen sichtbar ist

Schicken Sie uns Ihre Domain und Ihre IP-Adresse. Sie geben die Prüfung frei und bekommen fünf Werktage später den Bericht.

Preis ab 249 € exkl. USt

Jetzt buchen Kontakt

Sehen, was ein Angreifer von außen sieht.