Wie ein Befund konkret aussieht.
Vier durchgerechnete Beispielszenarien: Ausgangslage, Befund, Auswirkung und Behebung. Sie zeigen, wie eine Prüfung abläuft und was am Ende auf dem Tisch liegt. Reale Aufträge unterliegen einer Geheimhaltungsvereinbarung und werden weder genannt noch beschrieben.
Illustrative Szenarien
Hinweis: Die folgenden Darstellungen sind konstruierte Beispiele zur Veranschaulichung typischer Angriffsmuster. Sie bilden keine bestimmten Kundenprojekte ab, die genannten Kennzahlen sind modelliert.
Kritische Auth-Lücke in Zahlungsplattform
Ausgangslage
Ein FinTech-Startup stand kurz vor dem EU-weiten Launch seiner Zahlungsplattform. Das interne Team hatte mehrere Code-Reviews durchgeführt, war sich aber unsicher, ob die API-Schicht ausreichend abgesichert war. Der Zeitdruck war erheblich.
Befund
Im Zahlungsinitiierungs-Endpoint fehlte eine server-seitige Authentifizierungsprüfung. Durch Manipulation des user_id-Parameters im JWT-Payload war es möglich, auf beliebige Transaktionen zuzugreifen und Zahlungen im Namen anderer Nutzer auszulösen – ohne gültige Session.
Der Proof-of-Concept ist so dokumentiert, dass die Entwicklung ihn ohne Rückfragen nachstellen kann: betroffener Endpunkt, manipuliertes Feld, erwartete gegenüber tatsächlicher Antwort. Damit wird aus einem Befund eine Aufgabe, die noch am selben Tag zugewiesen werden kann.
Domain-Kompromittierung via Spear-Phishing
Ausgangslage
Ein wachsender E-Commerce-Anbieter wollte sein Blue Team und die Detection-Capabilities unter realen Bedingungen testen. Ziel: vollständige Active-Directory-Kompromittierung simulieren, ohne Vorabinformationen.
Angriffspfad
Initiale Kompromittierung über gezieltes Spear-Phishing an drei Mitarbeitende der Buchhaltungsabteilung – einer öffnete den Anhang. Über den kompromittierten Endpunkt erfolgte Lateral Movement zu einem schlecht gesicherten Service-Account mit Domain-Replication-Rechten. DCSync lieferte alle Passwort-Hashes – Domain Admin in 72 Stunden.
Der Angriffspfad wird als Kette dargestellt, nicht als Liste von Einzelbefunden. Sichtbar wird dadurch, an welcher Stelle das Durchbrechen der Kette am günstigsten ist. Das verschiebt die Diskussion von „Was ist alles kaputt?“ zu „Wo setzen wir zuerst an?“
Patientendaten über Legacy-System erreichbar
Ausgangslage
Ein KRITIS-relevantes Krankenhaus stand vor einem BSI-Audit zur NIS2-Compliance. Das IT-Team vermutete Schwachstellen in der Segmentierung zwischen Patienten-WLAN und dem klinischen Netzwerk – war sich aber nicht sicher, wie gravierend die Lage war.
Befund
Ein Windows Server 2008 R2 – seit Jahren nicht mehr gepacht, ohne Supportvertrag – war über das ungesicherte Patienten-WLAN direkt erreichbar. Das System verwaltete Patientenakten und Medikamentation. Über eine bekannte, öffentlich verfügbare RCE-Schwachstelle (EternalBlue-Variante) wäre vollständiger Zugriff möglich gewesen.
Die Executive Summary übersetzt den technischen Befund in die Sprache der Aufsichtspflicht: welche Daten betroffen wären, welche Meldepflichten griffen, welche Frist liefe. Damit lässt sich das Thema auf Leitungsebene entscheiden, statt es an die IT zurückzugeben.
Öffentliche S3-Buckets mit Kundendaten
Ausgangslage
Ein wachsendes SaaS-Unternehmen hatte die Cloud-Infrastruktur unter starkem Wachstumsdruck aufgebaut. Security-Prozesse kamen dabei zu kurz. Vor einer Series-B-Finanzierungsrunde sollte die AWS-Umgebung geprüft werden.
Befunde
Drei S3-Buckets mit Kunden-PII (Name, Gehalt, Sozialversicherungsnummer) waren ohne Authentifizierung öffentlich lesbar. Eine RDS-PostgreSQL-Instanz war ohne Sicherheitsgruppen-Einschränkung aus dem Internet erreichbar. Zusätzlich: 14 IAM-Nutzer mit Admin-Vollzugriff, davon 6 ohne MFA.
Jeder Befund erhält einen Status und ein Datum, der Re-Test bestätigt die Behebung schriftlich. Das ergibt ein Dokument, das in einer Due Diligence oder gegenüber einem Versicherer vorgelegt werden kann, ohne dass jemand nachfragen muss.
Wie sähe das
bei Ihnen aus?
Beschreiben Sie kurz, was bei Ihnen läuft. Wir sagen Ihnen ehrlich, was eine Prüfung bringen würde und was nicht – auch wenn die Antwort lautet, dass Sie gerade Dringenderes zu tun haben.