Ein Penetrationstest zeigt, wie weit ein Angreifer in Ihre Systeme kommen würde — bevor es jemand tatsächlich versucht. Anders als ein automatischer Schwachstellenscan kombiniert ein Pentest Werkzeuge mit manueller Analyse: Gefundene Schwachstellen werden verifiziert, verknüpft und in ihrer realen Auswirkung bewertet.
Wingsecurity führt Penetrationstests für Unternehmen in Basel und der ganzen Schweiz durch, remote oder vor Ort. Als Sicherheitsunternehmen mit physischer und digitaler Kompetenz betrachten wir auch Angriffswege, die über die reine IT hinausgehen — etwa ungeschützte Netzwerkdosen in öffentlich zugänglichen Räumen.
Welche Penetrationstests wir durchführen
Der Umfang richtet sich nach Ihren Systemen und Ihrem Risiko. Typische Prüfobjekte sind:
- Webanwendungen und APIs: Authentifizierung, Berechtigungen, Eingabeverarbeitung, Session-Handling und Geschäftslogik
- Externe Infrastruktur: aus dem Internet erreichbare Server, VPN-Zugänge, E-Mail- und Remote-Dienste
- Internes Netzwerk: Was kann ein Angreifer erreichen, der bereits einen Arbeitsplatz kompromittiert hat?
- WLAN und Netzwerksegmentierung: Trennung von Gäste-, Büro- und Produktionsnetzen
- Social Engineering und Phishing-Simulationen nach vorgängiger Absprache mit der Geschäftsleitung
Ablauf: vom Scoping bis zum Nachtest
Jeder Penetrationstest beginnt mit einem Scoping-Gespräch. Gemeinsam legen wir fest, welche Systeme geprüft werden, welche ausgeschlossen sind, in welchem Zeitfenster getestet wird, welche Testtiefe gewünscht ist (Black-, Grey- oder White-Box) und wie bei einem kritischen Fund oder einer Störung vorzugehen ist. Diese Punkte werden schriftlich vereinbart.
Ohne ausdrückliche Erlaubnis der Berechtigten wäre ein Eindringen in fremde, gesicherte Systeme in der Schweiz strafbar (Art. 143bis StGB). Darum klären wir vorab auch, ob Dritte wie Hosting- oder Cloud-Anbieter zustimmen oder informiert werden müssen.
Während des Tests orientieren wir uns an anerkannten Methoden, etwa dem OWASP Web Security Testing Guide für Webanwendungen. Nach Behebung der Schwachstellen prüfen wir in einem Nachtest, ob die Massnahmen wirken.
Der Bericht: priorisiert und verständlich
Am Ende erhalten Sie einen Bericht mit zwei Teilen: Eine Management-Zusammenfassung erklärt Risiken und Handlungsbedarf in verständlicher Sprache. Der technische Teil beschreibt jede Schwachstelle mit Nachweis, Bewertung, betroffenen Systemen und konkreten Empfehlungen zur Behebung. In einer Besprechung gehen wir die Ergebnisse mit Ihrem Team durch.
Berichte, Zugangsdaten und Projektunterlagen behandeln wir streng vertraulich; Testkonten und temporäre Zugänge sollten nach Projektende deaktiviert werden.
Warum regelmässig testen?
Das Datenschutzgesetz verlangt von Unternehmen, die Personendaten bearbeiten, eine dem Risiko angemessene Datensicherheit (Art. 8 DSG). Kommt es dennoch zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt, muss sie dem EDÖB gemeldet werden (Art. 24 DSG; siehe EDÖB-Leitfaden zu Data Breaches).
Ein Penetrationstest ist eine von mehreren Massnahmen, um die Wirksamkeit Ihrer Schutzvorkehrungen zu überprüfen. Sinnvoll ist er vor dem Livegang neuer Anwendungen, nach grösseren Änderungen an Infrastruktur oder Software und in regelmässigen Abständen. Ergänzend bieten wir Security-Audits und Incident Response an.