Was wir prüfen.

In aller Regel nicht. Vor dem Start legen wir schriftlich fest, was geprüft wird und was ausdrücklich nicht, und vereinbaren Zeitfenster für alles, was Last erzeugen könnte.

Tests, die einen Ausfall auslösen könnten, etwa gezielte Überlastung, führen wir nur durch, wenn Sie das ausdrücklich wünschen und ein Wartungsfenster dafür steht. Bemerken wir während der Prüfung, dass etwas Ihren Betrieb beeinträchtigt, brechen wir ab und melden uns sofort.

Weniger, als die meisten erwarten. Für eine Greybox-Prüfung brauchen wir Zugangsdaten für Testkonten, eine grobe Übersicht der Architektur und einen Ansprechpartner, der während des Testfensters erreichbar ist. Für Blackbox genügt der vereinbarte Prüfumfang.

Eine aktuelle Sicherung Ihrer Systeme sollten Sie haben. Das gilt allerdings unabhängig von uns.

Damit warten wir nicht bis zum Bericht. Kritische Funde melden wir unmittelbar an den vereinbarten Kontakt, mit dem, was Sie zum Reagieren brauchen: betroffenes System, Weg zur Reproduktion, mögliche Sofortmaßnahme.

Als Zielwert setzen wir uns dabei eine Rückmeldung innerhalb von 48 Stunden nach dem Fund. Die vollständige Einordnung folgt im Bericht.

Sie beheben, wir prüfen nach. Der Re-Test der kritischen und hohen Befunde gehört zum Auftrag und ist kein Zusatzposten.

Rückfragen Ihres Entwicklungsteams zum Bericht beantworten wir, ohne dafür ein neues Angebot zu schreiben. Ein Befund, den niemand versteht, ist ein Befund, der nicht behoben wird.

Vertraglich und technisch. Eine Geheimhaltungsvereinbarung können wir auf Wunsch schon vor dem ersten Gespräch schließen.

Testdaten und Befunde liegen verschlüsselt auf unseren Geräten, nicht in einem Cloud-Werkzeug und nicht in einem geteilten Repository. Nach der vereinbarten Frist werden sie gelöscht. Was wir aus einer Prüfung mitnehmen, ist die Erfahrung, nicht Ihre Daten.

Das hängt vom Umfang ab, deshalb steht hier keine Zahl, die ohnehin nicht auf Sie passen würde. Ein Prüftag für eine einzelne Webanwendung ist etwas anderes als eine Woche interner Netzwerkprüfung.

Nach dem Erstgespräch bekommen Sie ein Angebot zum Festpreis, keine Abrechnung nach Aufwand mit offenem Ende. Was drinsteht, gilt.

Ehrliche Antwort: Ein Penetrationstest hilft Ihnen in dieser Lage nicht. Er prüft, ob jemand hereinkommen könnte. Wenn jemand bereits drin ist, brauchen Sie Vorfallbehandlung und Forensik, und das ist ein anderes Handwerk als unseres.

Was in den ersten Stunden zählt: Betroffene Systeme vom Netz trennen, aber nach Möglichkeit nicht ausschalten, sonst gehen flüchtige Spuren im Arbeitsspeicher verloren. Nichts löschen, nichts neu aufsetzen, Protokolldateien und Sicherungen unangetastet lassen. Wenn personenbezogene Daten betroffen sein könnten, läuft ab Kenntnis die 72-Stunden-Frist nach Art. 33 DSGVO gegenüber der Datenschutz-Aufsichtsbehörde.

Wen Sie anrufen sollten: die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts Ihres Bundeslandes, die Anzeige ist kostenlos und die Leute dort kennen sich aus. Parallel eine auf Vorfallbehandlung spezialisierte Firma. Wenn Sie eine Cyberversicherung haben, melden Sie den Vorfall zuerst dort, viele schreiben einen bestimmten Dienstleister vor.

Wenn Sie niemanden an der Hand haben und nicht weiterwissen, schreiben Sie uns trotzdem. Wir verdienen daran nichts, können Ihnen aber sagen, wen Sie in Ihrer Region anrufen. Wenn der Vorfall aufgearbeitet ist, reden wir gerne darüber, wie so etwas beim nächsten Mal auffällt, bevor es passiert.