Anfrage stellen

Schwachstellen finden, bevor Angreifer es tun.

Penetrationstests & Security Engineering.Korschenbroich · Rhein-Kreis Neuss

Wir simulieren echte Angriffe vom ersten Foothold bis zur vollständigen Domänen-Kompromittierung. Security Engineering für Mittelstand in Korschenbroich und Rhein-Kreis Neuss heißt bei uns: Web- und API-Pentests, interne Tests gegen Active Directory und Infrastruktur, priorisierte Befunde nach CVSS, Nachprüfung inklusive. Kein 24/7-SOC, kein Standard-Scan. Ein belastbares Audit mit Reproduktionsschritten und konkreten Behebungen. Dazu DSGVO-Beratung auf technischer Ebene: Cookies, Drittland-Übermittlung, Auftragsverarbeitung, technische und organisatorische Maßnahmen.

Anfrage stellenAlle Leistungen
Unser Ablauf

Von der Aufklärung bis zur Nachprüfung.

Vier Phasen, ein Ziel: belastbare Ergebnisse mit konkreten Behebungen. Kein Marketing-PDF mit Ampelgrafiken.

01

Aufklärung & Scope

Abstimmungsgespräch: Anwendungs-Architektur, Prüfumfang, Test-Konten, Verantwortlichkeiten, Bereiche außerhalb des Prüfumfangs. Am Ende steht ein Festpreis-Angebot, kein offenes Stundenbudget.

  • Scope-Dokument
  • Festpreis
02

Angriff & Analyse

Manuelle Prüfung mit Angreifer-Mindset. Automatisierte Scanner als Ergänzung, nicht als Ersatz. Tägliche Statusmeldungen bei kritischen Befunden über den direkten Draht, kein Ticketsystem.

  • OWASP Top 10+
  • Burp Suite
  • Mythic C2
03

Befund & Bericht

Bericht: Kurzfassung für die Geschäftsleitung, technische Findings für das Entwicklungsteam. Jeder Befund mit CVSS-Score, geschäftlicher Auswirkung, Reproduktionsschritten und konkretem Behebungsvorschlag.

04

Verifikation & Nachprüfung

Nach der Behebungsphase prüfen wir alle hohen und kritischen Befunde erneut. Teil des Festpreises, kein Aufpreis. Der Nachtest bestätigt, dass die Schwachstellen geschlossen sind, oder zeigt, wo nachgebessert werden muss.

  • Nachprüfung inklusive
  • Bericht mit CVSS
Penetrationstests

Sie wissen am Ende genau, was zu tun ist.

Ein Schwachstellenscan ist kein Pentest. Automatisierte Scanner finden Konfigurationsfehler. Die Geschäftslogik-Schwachstellen, die wirklich Schaden anrichten, findet nur manuelle Analyse. Sie bekommen einen klaren Bericht: jeder Befund priorisiert, mit Auswirkung und konkretem Behebungsschritt.

Den Bericht erstellen wir im vereinbarten Format. Üblich sind eine Präsentation als PDF für die Geschäftsleitung und ein technischer Bericht mit den Findings für Ihr Entwicklungsteam.

Web-App-Pentest

OWASP Top 10 plus Geschäftslogik. Authentifizierung, Autorisierung, Session-Management, Eingabevalidierung, Server-Konfiguration.

API-Pentest

REST und GraphQL. Broken Object Level Authorization, Mass Assignment, Rate Limiting, JWT-Schwächen. Auch undokumentierte Schatten-APIs.

Infrastruktur-Pentest

Netzwerk, Server, Active Directory. Von der Erstaufklärung über Privilege Escalation bis zur Domain-Kompromittierung. Reale Angriffspfade.

Red Teaming

Realistische Angriffssimulation.

Red Teaming simuliert einen echten Angreifer ohne feste Grenzen. Ziel ist die vollständige Kompromittierung, vom Initial Access über Lateral Movement bis Domain Admin. Ein Pentest prüft einen Scope, Red Teaming prüft Ihre Verteidigung.

Initial AccessPhishing, Credential Stuffing, öffentliche Angriffsfläche
Lateral MovementActive Directory, Kerberos, Pass-the-Hash, BloodHound
ObjectiveDomain Admin, Datenexfiltration, Business Impact
Qualifikation

Wer testet, und mit welchem Hintergrund.

Leon Weinmann

Geschäftsführer, Software-Entwickler, Red Teamer. M.Sc. Cyber Security Management, Hochschule Niederrhein. Red-Team-Erfahrung bei thyssenkrupp, Pentesting bei KPMG.

Werkzeuge

Eigener C2, BloodHound (AD-Analyse), Burp Suite (Web), Nmap. Eigene Offensive-Security-Tools. Kein Scanner-Report als Pentest verkauft.

Forschung

AMSI-Bypass (referenziert in der Community), CAPTCHA-Sicherheitsanalyse deutscher Anbieter, Offensive-Security-Tools: Zetsu, Tenten, Phantom-Proxy. Mehr auf der Über-uns-Seite.

Im Detail

Was Sie konkret wissen wollen.

Wann ist ein Penetrationstest sinnvoll?

Immer dann, wenn Sie wissen müssen, ob Ihre Systeme einem echten Angriff standhalten: vor der Veröffentlichung einer neuen Anwendung, nach einem Sicherheitsvorfall, bei größeren Änderungen an der Infrastruktur oder wenn TISAX, ISO 27001 oder DSGVO Art. 32 einen Nachweis verlangen. Der Scope reicht von der externen Sicht auf den Internet-Perimeter bis zur internen Prüfung, bei der ein Angreifer bereits im Netz sitzt und wir prüfen, wie weit er bis zu Domain Admin kommt. Was für Ihren Reifegrad verhältnismäßig ist, sagen wir im Abstimmungsgespräch ehrlich, auch wenn gerade kein Test nötig ist.

Was umfasst ein Pentest bei Luvion Labs?

OWASP Top 10 plus Geschäftslogik-Schwachstellen: Authentifizierung, Autorisierung, Session-Management, Eingabevalidierung, Server-Konfiguration. Webanwendung und API getrennt geprüft. Befunde mit Reproduktions-Schritten, Code-Beleg und konkretem Behebungsvorschlag.

Wie läuft die DSGVO-technische Beratung?

Cookie- und Tracker-Inventar, Drittland-Transfer-Analyse (Schrems II), Auftragsverarbeitungs-Verträge, Beurteilung der TOMs nach Art. 32. Praxisnah, mit Maßnahmenliste, nicht nur juristisch.

Wer macht den Test und mit welchem Hintergrund?

Leon Weinmann, M.Sc. Cyber Security Management, mit Red-Team-Erfahrung. Ein Tester pro Engagement, ein Ansprechpartner. Kein Junior-Outsourcing, kein Standard-Scan-Bericht.

Weitere Leistungen

Technische DSGVO-Beratung.

DSGVO-Beratung

Technische DSGVO-Beratung

Technische DSGVO-Beratung aus Korschenbroich · Rhein-Kreis Neuss. Cookie-Audit, Drittland-Transfer-Analyse (Schrems II), Auftragsverarbeitung, TOMs nach Art. 32. Praxisnah, mit Maßnahmenliste.

Penetrationstest

Penetrationstest

Penetrationstest für KMU in Korschenbroich · Rhein-Kreis Neuss. Manuelle Prüfung statt Scan, Befunde nach CVSS priorisiert, Festpreis, Nachprüfung inklusive.

Häufige Fragen

Fragen zu Security Engineering.

Wenn Ihre Frage hier nicht steht, schreiben Sie uns. Wir melden uns zeitnah bei Ihnen.

Als Richtwert einmal im Jahr sowie nach jeder größeren Änderung an Anwendung oder Infrastruktur, etwa einer neuen Version, einer Migration oder einer neuen Schnittstelle. Standards wie ISO 27001 und TISAX erwarten regelmäßige Prüfungen als Nachweis. Zwischen zwei Tests hält ein Schwachstellenscan das Bild aktuell, ersetzt die manuelle Prüfung aber nicht.

Branchenübliche Frameworks wie Mythic als C2, Bloodhound für Active-Directory-Analyse, Burp Suite für Webanwendungen, Nmap und Nuclei als Ergänzung zur manuellen Prüfung. Automatisierte Scans ersetzen keine echte Analyse.

Ein Schwachstellenscan ist ein automatisierter Werkzeug-Lauf, meist Nessus, Burp oder OpenVAS. Ein Pentest ist manuelle Analyse mit Angreifer-Mindset, inklusive Geschäftslogik-Schwachstellen, die kein Scanner findet. Wir liefern beides, aber der Wert steckt in der manuellen Prüfung.

Sie können den Bericht Ihrer Entwicklung übergeben oder uns mit der Behebungsphase beauftragen. Die Nachprüfung der gefundenen hohen und kritischen Befunde ist Bestandteil des Festpreises.

Nein. Wir liefern Audits, Härtung und technische DSGVO-Beratung. Für laufendes Monitoring oder Incident Response empfehlen wir spezialisierte Partner aus dem Rhein-Kreis Neuss und Düsseldorf.

Technisch, nicht juristisch. Wir prüfen Cookies, Tracker, Drittland-Transfers, Auftragsverarbeitungsverträge und TOMs nach Art. 32. Bei Rechtsfragen empfehlen wir Datenschutzanwälte.

Leon Weinmann, Geschäftsführer und Software-Entwickler, M.Sc. Cyber Security Management mit Red-Team-Forschungshintergrund. Ein Tester pro Engagement, ein Ansprechpartner über die gesamte Laufzeit.

Projektanfrage

Sprechen wir über Ihr Projekt.

Etwas Passendes entdeckt oder noch nicht ganz fündig geworden? Wir haben noch mehr auf dem Kasten. Schreiben Sie uns kurz, worum es geht. Innerhalb von 24 Stunden melden wir uns bei Ihnen.

Zum Kontaktformularinfo@luvionlabs.deDirekter Mailweg oder Formular · cookiefreie Webanalyse · DSGVO-konform