Pentest - wir finden deine Sicherheitslücken, bevor es Angreifer tun

Ein Pentest (Penetrationstest) beantwortet eine Frage, die sich jeder Website-Betreiber stellen sollte: Wie leicht komme ich als Angreifer in dein System? Wir beantworten sie kontrolliert und mit deiner Freigabe - statt dass sie eines Nachts ein Bot beantwortet, der deine Startseite gegen Malware tauscht oder deine Kundendaten abzieht. Das Ergebnis ist kein Tool-Export mit hundert Warnungen, sondern ein priorisierter Report: Was ist kritisch, was kann warten, und wie wird jede Lücke konkret geschlossen.

Warum gerade jetzt: Angreifer arbeiten automatisiert - und zunehmend mit KI

Die Vorstellung, dass Hacker sich gezielt ein Opfer aussuchen, ist veraltet. Der Großteil der Angriffe läuft vollautomatisch: Botnetze scannen permanent ganze IP-Bereiche nach verwundbaren CMS-Installationen, veralteten Plugins und offenen Schnittstellen. Mit KI-Tools ist diese Suche noch schneller und billiger geworden - Schwachstellen, deren Ausnutzung früher Expertenwissen brauchte, werden heute in Minuten zu fertigen Exploits verarbeitet. Wird eine neue Lücke in einem verbreiteten WordPress-Plugin bekannt, beginnen die Massen-Scans oft innerhalb weniger Stunden.

Für dich heißt das: Nicht deine Bekanntheit entscheidet, ob du angegriffen wirst, sondern deine Angriffsfläche. Ein Pentest macht genau diese Angriffsfläche sichtbar - mit denselben Methoden, die auch Angreifer nutzen, nur kontrolliert, dokumentiert und mit einem Maßnahmenplan statt einem Schaden am Ende.

Scan oder echter Penetrationstest - was brauchst du?

Der Schwachstellen-Scan ist die Standortbestimmung: Wir prüfen deine Website automatisiert auf die OWASP Top 10 (die häufigsten Web-Schwachstellen), kontrollieren SSL/TLS-Konfiguration und Security-Header und gleichen CMS-, Plugin- und Bibliotheks-Versionen gegen CVE-Datenbanken ab. Der entscheidende Unterschied zu einem reinen Tool-Scan: Wir verifizieren jeden Fund manuell. Du bekommst echte, bestätigte Risiken - keine Liste voller False Positives, die du selbst sortieren musst.

Der Sicherheits-Check Plus geht dorthin, wo Scanner blind sind: Login, Sessions, öffentliche Formulare und CMS-spezifische Schwachstellen. Lässt sich der WordPress-Login enumerieren? Sind Plugins mit bekannten CVEs aktiv? Nehmen Kontaktformulare manipulierte Eingaben an? Gibt es offene Admin-Pfade oder schwache Rollenvergabe? Das prüfen wir von Hand - einmalig, im vereinbarten Scope, mit Nachtest nach der Behebung. Für Shops mit Login und WordPress-Installationen mit Kundenbereich ist das die richtige Wahl. Komplexe Web-Apps, APIs oder interne Netzwerke sind nicht im Festpreis enthalten - dafür erstellen wir nach einem Scoping-Gespräch ein individuelles Angebot.

KI-Chatbot Security-Check - separat, weil andere Angriffsfläche

Immer mehr Websites haben einen eingebetteten Chatbot - Support-Assistent, Lead-Qualifizierung oder interner Wissensabruf per RAG. Die klassischen Website-Tests greifen hier nicht: Ein Bot kann technisch sauber gehostet sein und trotzdem per Prompt Injection falsche Antworten geben, versteckte System-Anweisungen preisgeben oder Inhalte aus einer Wissensdatenbank exfiltrieren.

Der KI-Chatbot Security-Check (590 €, einmalig) testet genau das - nach OWASP LLM Top 10, fokussiert auf das, was KMUs tatsächlich einsetzen:

• Direkte Prompt Injection: Kann der Bot mit Jailbreaks oder Rollenspiel-Anweisungen übersteuert werden?
• Indirekte Injection: Lassen sich Anweisungen über Seiteninhalte einschleusen, die der Bot später liest?
• System-Prompt-Leakage: Dringen interne Instruktionen in die Antworten?
• RAG-Exfiltration: Lässt sich über geschickte Fragen vertraulicher Wissensdatenbank-Inhalt auslesen?
• Excessive Agency: Kann ein Angreifer über den Bot ungewollte Aktionen auslösen (E-Mails, API-Calls, Buchungen)?

Voraussetzung ist eine Test-Freigabe und Zugang zum Chatbot (Live oder Staging). Den Check buchst du unabhängig von den Website-Paketen - er ergänzt sie, ersetzt sie aber nicht. Wenn wir den Bot für dich gebaut haben, finden sich Details auch bei unseren KI-Agenten.

Was nach dem Test passiert

Du bekommst einen schriftlichen Report mit priorisierter Maßnahmenliste: jeder Befund mit Schweregrad, technischer Beschreibung und konkretem Umsetzungshinweis - verständlich formuliert, auch ohne Security-Vorwissen. Du arbeitest die Liste in deinem Tempo ab, gibst sie intern weiter oder lässt uns die Punkte umsetzen: Bei WordPress-Websites übernimmt das unser Team aus der WordPress-Sicherheit, und mit laufender WordPress-Wartung bleibt die häufigste Angriffsfläche - veraltete Plugins und Core-Versionen - dauerhaft geschlossen.

Ein Pentest prüft übrigens die technische Sicherheit, nicht die rechtliche Seite der Datenverarbeitung. Wer beides sauber haben will, kombiniert ihn mit unserem DSGVO-Check - viele Befunde überlappen sich, und Auftraggeber fragen zunehmend beides ab.