Sind wir zu klein, um ein Ziel zu sein?
Die meisten Angreifer wählen nicht nach Unternehmensgröße. Sie scannen das Internet nach Schwachstellen und greifen an, was sie erreichen können, und KI-Tools machen das billiger. Ein kleines Unternehmen mit Kundendaten, bei dem niemand hinschaut, kann ein leichtes Ziel sein.
Unser Code wird überwiegend mit KI-Tools geschrieben. Können Sie ihn testen?
Ja. Wir testen das laufende Produkt und lesen im Full Access Review den Code selbst. Für uns macht es keinen Unterschied, wer oder was ihn geschrieben hat. Wir suchen, was sich in der Praxis nachweisen lässt.
Warum nicht einfach einen Scanner laufen lassen oder eine KI den Code prüfen lassen?
Machen Sie beides weiter, denn beides findet günstig viel. In der Geschäftslogik sind diese Tools schwächer, etwa bei der Frage, ob Kunde A die Rechnungen von Kunde B lesen kann, und oft bestätigen sie nicht, was tatsächlich ausnutzbar ist. Ein Tester kann es im vereinbarten Umfang zeigen.
Stört der Test unseren Betrieb?
Wir führen niemals Denial-of-Service-, Last- oder destruktive Tests durch und hören sofort auf, wenn ein System instabil wird. Aktives Testen birgt immer ein gewisses Risiko. Deshalb vereinbaren wir Testzeitfenster und lassen uns vorher Backups bestätigen.
Wir haben SOC 2 oder ISO 27001. Brauchen wir trotzdem einen Penetrationstest?
Sie beantworten unterschiedliche Fragen. SOC 2 und ISO 27001 betrachten, ob Ihre Kontrollen und Prozesse festgelegt sind und funktionieren. Ein Penetrationstest betrachtet, was Tester in Ihrem Produkt innerhalb eines vereinbarten Umfangs ausnutzen können. Ob Sie einen brauchen, hängt von Ihren Risiken ab und davon, was Ihre Kunden und Ihr Auditor erwarten.
Können wir den Bericht an unseren Auditor oder Kunden weitergeben?
Ja, unter Vertraulichkeit. Ein Bericht kann als Nachweis eines Penetrationstests für SOC-2- und ISO-27001-Audits dienen. Klären Sie das mit Ihrem Auditor.
Können wir Kunden den Test nachweisen, ohne den Bericht zu teilen?
Ja. Jedes Paket enthält eine Testbestätigung, die Umfang und Testzeitraum bestätigt, ohne Details zu Schwachstellen. Sie können sie frei weitergeben.
Können wir vorab einen Beispielbericht sehen?
Ja, ein Beispielbericht aus einem fiktiven Test ist auf Anfrage erhältlich.
Wer sind die Tester?
Überprüfte Sicherheitstester mit Sitz in Deutschland, angestellt bei der RiveDrive UG. Ihre Identitäten bleiben vertraulich, zu ihrer und Ihrer Sicherheit.
Warum zeigen Sie keine Kundenlogos oder Referenzen?
Weil unsere Kunden uns ihre Schwachstellen anvertrauen. Wir veröffentlichen nie, für wen wir arbeiten, und auch Ihren Namen nicht.
Müssen wir unseren Hosting- oder Cloud-Anbieter informieren?
Manche Anbieter verlangen eine Vorankündigung von Tests. Die Prüfung ihrer Richtlinien liegt bei Ihnen. Im Erstgespräch weisen wir darauf hin, welche Anbieter voraussichtlich betroffen sind.
Was passiert danach mit unseren Daten?
Zugangsdaten werden nach jeder Testphase entfernt, alle anderen Daten nach dem Retest gelöscht, mit unterschriebener Löschbestätigung. Wir behalten nur minimale Testprotokolle und die gesetzlich vorgeschriebenen Geschäftsunterlagen.
Können wir mit Ihnen auf Deutsch arbeiten?
Ja. Gespräche, Projektkommunikation und Berichte sind auf Deutsch oder Englisch möglich, wie im Angebot vereinbart.