Fragen, die wir vor jedem Test hören.

Wir arbeiten nicht mit einer Preisliste. Nach einem kurzen Abstimmungsgespräch senden wir Ihnen ein Festpreisangebot auf Basis Ihres Umfangs, zu mitteleuropäischen Tarifen. Der Preis im Angebot ist der Preis, den Sie zahlen – ohne versteckte Kosten.

Das hängt vom Umfang und von der Komplexität des Ziels ab. Als Richtwert: Ein Webanwendungstest dauert 7–30 Tage, ein Infrastrukturtest 4–10 Tage und ein Red-Team-Einsatz 4–5 Tage. Den genauen Zeitplan nennt Ihr Angebot.

Sobald wir die Tests vereinbart haben, enthält der Vertrag alle Informationen, die für ihre Durchführung nötig sind. Am einfachsten starten Sie mit einer kostenlosen 30-minütigen Beratung: Wir gehen gemeinsam Ihre Systeme und Ziele durch und legen fest, was getestet wird.

Wo immer möglich, testen wir eine Test- oder Staging-Umgebung. Muss die Produktion getestet werden, stimmen wir die Testzeitfenster vorab mit Ihnen ab und prüfen Ihre Systeme so behutsam wie möglich, sodass das Risiko minimal ist.

Ja, ergänzend. Automatisierte Werkzeuge helfen uns in den frühen Phasen, das Testen selbst erfolgt jedoch manuell, und jeder Befund wird von Hand geprüft, bevor er in den Bericht aufgenommen wird.

Wir warten nicht auf den Bericht. Wir informieren Ihre Kontaktperson innerhalb eines Arbeitstages, damit Sie sofort mit der Behebung beginnen können.

Ja, auf Anfrage – innerhalb und außerhalb der EU.

Einen von Hand geschriebenen Bericht mit den Befunden nach Schweregrad und klaren Schritten zur Behebung, auf Englisch oder Ungarisch. Die Ergebnisse sind auch auf der Whiteshield-Onlineplattform verfügbar, und auf Wunsch gehen wir sie in einer Beratung mit Ihrem Team durch.

Ja, auf Anfrage – wenn Sie es wünschen, ist der Retest Teil des Angebots. In einer Beratung helfen wir Ihrem Team zu verstehen, wie die einzelnen Probleme zu beheben sind, Ihren Code ändern wir jedoch nicht selbst.

Ja, auf Anfrage. Eine Testbestätigung (Letter of Attestation) ist eine kurze, unterschriebene Zusammenfassung, wann, was und wie wir getestet haben, ohne technische Details – hilfreich etwa für die Sicherheitsfragebögen Ihrer Kunden. Wenn Sie möchten, können Sie natürlich auch den vollständigen Bericht weitergeben.

Ihre Daten und die Befunde werden in der EU gespeichert und verlassen sie nicht. Wir bewahren sie nach Projektende drei Monate auf und vernichten sie anschließend.

Nur in anonymisierter Form. Nichts, was Ihr Unternehmen oder Ihre Systeme identifiziert, gelangt in ein KI-Werkzeug.

Ja, bei der Vorbereitung. Wir führen keine Audits oder Zertifizierungen durch, helfen Organisationen aber seit mehr als 15 Jahren, sich mit Penetrationstests auf diese Anforderungen vorzubereiten: Der Bericht zeigt, wo Ihre Systeme stehen und was vor dem Audit zu beheben ist.

Nein. Der bedrohungsorientierte Penetrationstest (TLPT) nach DORA ist ein eigenständiges, reguliertes Verfahren für die Finanzunternehmen, die die Behörde benennt: ein auf Bedrohungsinformationen gestützter Red-Team-Test der Produktivsysteme mit einer aktiven Testphase von mindestens 12 Wochen unter Aufsicht der TLPT-Behörde. Ein klassischer Penetrationstest ersetzt ihn nicht.

Für die meisten AWS-Dienste – etwa EC2, RDS, Lambda, CloudFront oder API Gateway – ist keine vorherige Genehmigung nötig. Simulierte Ereignisse wie Red-Team-Übungen oder Phishing-Simulationen müssen vorab von AWS genehmigt werden, Denial-of-Service-Tests sind gar nicht erlaubt. Vor jedem Testbeginn prüfen wir die aktuelle AWS-Richtlinie für Ihren Umfang.

So wenige Personen wie möglich – in der Regel der CISO und die Geschäftsführung. Eine Red-Team-Übung ist eine Angriffssimulation: Sie zeigt, ob Ihre internen Systeme und Ihr Team einen Angriff tatsächlich bemerken – und das funktioniert nur, wenn sie nicht vorher davon wissen.

Nur wenn Sie es ausdrücklich wünschen. Betriebstechnik ist standardmäßig nie Teil des Umfangs.