Getestet mit der KI, die Angreifer bereits einsetzen.
Wir setzen KI-Modelle, die für Sicherheitstests entwickelt wurden, auf Ihre Systeme an, innerhalb des Umfangs, den Sie unterschreiben. Unsere Tester steuern jeden Durchlauf und prüfen jeden Befund, bevor er in Ihren Bericht kommt.
Angreifer nutzen heute KI-Modelle, bei denen die Sicherheitsgrenzen entfernt wurden. Diese Modelle finden Schwachstellen schneller und arbeiten die ganze Nacht durch. HackMoat setzt dieselbe Art von Modell zuerst gegen Ihr Unternehmen ein, auf Grundlage einer schriftlichen Freigabe, innerhalb der Ziele und des Testzeitraums, die Sie festlegen. Erfahrene Tester entscheiden, was die KI versuchen darf, verfolgen jeden Schritt live und bestätigen jeden Befund von Hand. Sie erhalten einen Bericht, den Ihr Auditor akzeptiert, und können die Probleme beheben, bevor jemand anderes sie findet.
Den 57-Sekunden-Film ansehen (Englisch, mit Untertiteln)
Warum KI-gestützt
Klassischer Pentest
Angreifer mit KI
HackMoat
Tempo
Klassischer PentestTage manueller Arbeit pro Ziel
Angreifer mit KIStunden, rund um die Uhr
HackMoatStunden, rund um die Uhr
Abdeckung
Klassischer PentestWas in die budgetierten Tage passt
Angreifer mit KIAlles, was er erreichen kann
HackMoatAlles innerhalb Ihres unterzeichneten Umfangs
Kontrolle
Klassischer PentestTester
Angreifer mit KINiemand
HackMoatIhr Umfang, Ihr Zeitraum, unsere Tester
Ergebnis
Klassischer PentestEin Bericht
Angreifer mit KIEin Einbruch
HackMoatEin geprüfter Bericht und ein Nachtest
Angreifer setzen diese Modelle bereits gegen Unternehmen wie Ihres ein. Jede Woche ohne Test ist eine Woche, in der sie zuerst hinsehen können.
Wählen Sie die passende Tiefe
Jedes Paket hat einen festen Umfang zu einem festen Preis. Größere Pakete enthalten alle Leistungen der kleineren.
01
Scout
Ein KI-gestützter Angriffsdurchlauf auf Ihren externen Perimeter, geprüft von einem Tester. Ihre öffentliche Angriffsfläche, von außen getestet.
KI-gestützte Angriffe auf Ihren Perimeter und Ihre Webanwendungen, jeder Durchlauf von einem Tester gesteuert. Von außen und von innen: Webanwendung, internes Netzwerk und Workspace.
Die vollständige KI-gestützte Kampagne: extern, intern und Cloud, gesteuert und geprüft von unseren Testern. Menschen, Cloud und Wiederherstellung, ein ganzes Jahr lang getestet.
Ein 45-minütiges Gespräch mit einem unserer Tester. Wir gehen Ihre Angriffsfläche durch, empfehlen das passende Paket und beantworten Ihre Fragen zu unserem Vorgehen.
Die 500 € werden voll angerechnet, wenn Sie innerhalb von 30 Tagen ein Paket buchen.
Wählen Sie ein Paket und bezahlen Sie online über Stripe. Der Preis steht vorab fest. Sie warten auf kein Angebot.
2
Freigabe unterzeichnen
Sie unterzeichnen die Testfreigabe online. Sie ist die rechtliche Erlaubnis zum Testen und legt Umfang, Systeme und Testzeitraum fest.
3
Wir testen
Wir testen nur, was Sie freigegeben haben, und nur im vereinbarten Zeitraum. Finden wir etwas Kritisches, informieren wir Sie noch am selben Tag.
4
Bericht lesen, dann Retest
Sie lesen den vollständigen Bericht in Ihrem geschützten Kundenportal. Sobald Sie die Befunde behoben haben, testen wir sie erneut.
So sieht ein Befund aus
Jeder Befund beschreibt, was wir getan haben, was es für Ihr Unternehmen bedeutet und wie Sie es beheben. Dieser Befund ist ein Beispiel, Kundendaten wurden entfernt.
Beispiel. Geschwärzt, kein echter KundeHM-0417-01
KritischCVSS 9.8
Domain-Admin in 3 h 12 min über ein ungepatchtes VPN-Gateway
// Angriffspfad
1vpn.client.example:443
2CVE-2024-3400
3ad01.corp.local
Was wir gefunden haben
Auf dem aus dem Internet erreichbaren VPN-Gateway lief eine Firmware mit einer öffentlich bekannten Schwachstelle. Von dort gelangten wir ins interne Netzwerk und übernahmen den Domänencontroller.
Auswirkung auf das Geschäft
Ein Angreifer mit demselben Zugang könnte Daten auf jedem Windows-System im Unternehmen lesen, verschlüsseln oder löschen.
Behebung
Spielen Sie den Patch des Herstellers ein, ersetzen Sie alle auf dem Gateway gespeicherten Zugangsdaten und beschränken Sie den Verwaltungszugriff auf das Admin-Netzwerk. Nach Ihrer Bestätigung führen wir einen Retest durch.
Ein Bericht, mit dem Sie arbeiten können
01
Management Summary
Zwei Seiten in klarer Sprache für die Geschäftsleitung: was wir getestet haben, die wichtigsten Risiken und was zuerst zu tun ist.
02
Bewertete Befunde
Jeder Befund erhält einen CVSS-Score, die branchenübliche Skala für den Schweregrad, und eine Priorität, die sich an Ihrem Geschäftskontext orientiert.
03
Nachweise
Screenshots, Requests und Zeitstempel zu jedem Befund, damit Ihr Team ihn nachvollziehen und prüfen kann.
04
Maßnahmen zur Behebung
Konkrete Maßnahmen je Befund, geschrieben für die Menschen, die sie umsetzen.
05
Umfang und Methode
Was genau im Umfang lag, wann wir getestet haben und welche Methoden wir eingesetzt haben. Danach fragen Auditoren.
06
Ergebnisse des Retests
Nach dem Retest zeigt der Bericht, welche Befunde geschlossen sind und welche noch offen.
NIS2 und ISO 27001
NIS2 ist die EU-Richtlinie, die wesentliche und wichtige Einrichtungen verpflichtet, Cybersicherheitsrisiken zu beherrschen und die Wirksamkeit ihrer Maßnahmen zu bewerten. ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme und verlangt regelmäßige technische Prüfungen.
Ein Penetrationstest allein macht Sie nicht compliant. Er liefert Ihnen aber einen unabhängigen Nachweis, dass Ihre Kontrollen getestet wurden, welche Befunde es gab und wann sie geschlossen wurden.
NIS2
Nachweis für die Bewertung der Wirksamkeit Ihrer Risikomanagementmaßnahmen (Artikel 21).
ISO 27001
Grundlage für das technische Schwachstellenmanagement und für Sicherheitstests in der Entwicklung (Anhang A, 8.8 und 8.29).
Fortress
Enthält eine Zusammenfassung für die Geschäftsleitung, die jeden Befund den einschlägigen Anforderungen aus NIS2 und ISO 27001 zuordnet.
Häufige Fragen
Ist das legal?
Ja, denn Sie erteilen die Freigabe. Vor Beginn unterzeichnen Sie eine Testfreigabe, die Systeme, Umfang und Testzeitraum benennt. Außerhalb davon testen wir nichts. Wird ein System von einem Dritten betrieben, bestätigen Sie, dass Sie es testen lassen dürfen.
Kann der Test etwas beschädigen?
Wir testen Produktivsysteme mit Sorgfalt. Wir verzichten auf Denial-of-Service-Techniken und zerstörerische Aktionen und vereinbaren einen Testzeitraum, der zu Ihnen passt. Wirkt ein System instabil, brechen wir ab und rufen Sie an.
Ist es sicher, KI unsere Systeme angreifen zu lassen?
Die KI greift nur auf die Ziele in Ihrer unterzeichneten Freigabe zu, nur innerhalb Ihres Testzeitraums, und hört beim Nachweis auf: Sie ändert, löscht oder entnimmt keine Daten. Ein Tester verfolgt jeden Durchlauf live und kann ihn sofort stoppen, und Ihr Notfallkontakt kann den Test jederzeit stoppen.
Wer testet?
Erfahrene Penetrationstester, die nach öffentlichen Methoden wie OWASP und PTES arbeiten. Die Tester Ihres Auftrags sind in Ihrer Testfreigabe namentlich genannt und zur Vertraulichkeit verpflichtet.
Wie lange dauert es?
Der Test beginnt in der Regel innerhalb von zwei Wochen nach Unterzeichnung der Freigabe. Den Bericht zu Scout erhalten Sie innerhalb von 10 Werktagen nach Testbeginn. Siege und Fortress dauern länger, weil der Umfang größer ist. Die Termine vereinbaren wir vor Beginn mit Ihnen.
Was brauchen Sie von uns?
Eine unterzeichnete Freigabe, eine Ansprechperson, die während des Tests erreichbar ist, und Angaben zu den Systemen im Umfang. Für Siege und Fortress senden wir Ihnen eine kleine Remote-Appliance, die Sie an Ihr internes Netzwerk anschließen.
Gelangen unsere Daten in ein KI-Modell?
Befunde und Nachweise bleiben in Ihrem privaten Kundenportal und werden gelöscht, wie in unserer Datenschutzerklärung beschrieben.
Erfahren Sie es vor den Angreifern
Buchen Sie ein Paket online oder schreiben Sie uns, wenn Sie nicht sicher sind, welcher Umfang passt.