--- title: "Externer Penetrationstest für Ihre IT-Infrastruktur" url: https://mr-cyber.com/de/leistungen/externer-penetrationstest language: de-DE description: "Manueller externer Pentest für alles, was Sie ins Internet stellen. Server, VPN, Mail, Fernzugänge und vergessene Hosts. Festpreis ab 1.900 €." --- # Externer Penetrationstest Ein externer Penetrationstest prüft, was ein Angreifer aus dem Internet in Ihrem Unternehmen erreichen und ausnutzen kann, ganz ohne Zugangsdaten. Mr Cyber erfasst Ihre öffentlichen IP-Adressen, Domains und Dienste und testet Fernzugänge, Mail, VPN und Webserver manuell nach PTES und NIST SP 800-115 – zum Festpreis und mit kostenlosem Retest. Festpreis **ab 1.900 €** · 2 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=external) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Fünf Hosts sind aus dem Internet erreichbar; einer zeigt jedem eine Admin-Anmeldung. - **2–5 Testtage**2 Testtage im Einstiegspreis - **PTES**\+ 3 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - Unternehmen mit NIS2-Pflicht oder anstehendem ISO-27001- oder TISAX-Audit - Mittelständler mit VPN, Remote Desktop, Mailservern oder Firewalls am Internet - Teams, die einen Sicherheitsfragebogen von Kunden oder Versicherern beantworten - Unternehmen nach einem Firewall-Wechsel, einer Übernahme oder einem Hosting-Umzug ## Was wir testen ### Angriffsfläche - Öffentliche IP-Bereiche, Domains und Subdomains - Vergessene oder unbekannte Hosts und Dienste - Informationen über Ihr Unternehmen, die Angreifern helfen ### Fernzugänge - VPN-Gateways und Remote-Desktop-Zugänge - Login-Portale und Abdeckung durch MFA - Aus dem Internet erreichbare Verwaltungsoberflächen ### Dienste & Patchstand - Mail-, DNS-, Dateitransfer- und Webserver - Veraltete Software mit bekannten Schwachstellen - Standard- oder schwache Konfigurationen ### Verschlüsselung & Mail-Sicherheit - TLS-Konfiguration und Zertifikate - SPF, DKIM und DMARC - DNS-Einstellungen, die Übernahme oder Spoofing erlauben ## Ebenfalls abgedeckt. Im selben Test, ohne Aufpreis. ## OSINT & Angriffsfläche Was jeder online über Ihr Unternehmen finden kann: Firmenkonten in bekannten Datenlecks, versehentlich veröffentlichte Dokumente und Code, vergessene Domains und Dienste sowie Informationen über Mitarbeitende, die Phishing oder Rechnungsbetrug erleichtern. Rein passiv, personenbezogene Daten nach DSGVO. Ohne Aufpreis [In die Anfrage aufnehmen](https://mr-cyber.com/de/angebot?service=external,osint) Kein Aufpreis für das Thema selbst. Braucht es zusätzliche Testtage, steht das vorab im Angebot. ## So testen wir Ihre Systeme im Internet. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 2 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 2–5 Testtage, abhängig von der Zahl öffentlicher IP-Adressen und Dienste. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Erfassung der Angriffsfläche Ihre Hosts, Domains und Dienste im Internet erfasst. Testtag 1 3. Phase 3 ### Tests erreichbarer Dienste Jeder erreichbare Dienst von Hand getestet. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - PTES - NIST SP 800-115 - OWASP WSTG (erreichbare Webanwendungen) - CVSS 3.1 ## So testen wir Ihre externe Angriffsfläche Zuerst finden wir alles, was Sie ins Internet stellen, auch Hosts, an die sich niemand mehr erinnert. Diese Liste gleichen wir vor dem aktiven Test mit Ihnen ab, damit nur Systeme getestet werden, die Ihnen gehören. Danach prüfen wir jeden erreichbaren Dienst manuell (in großen Bereichen eine repräsentative Stichprobe plus die Angriffspfade) nach [PTES](http://www.pentest-standard.org/) und [NIST SP 800-115](https://csrc.nist.gov/pubs/sp/800/115/final). ### Sicher für den laufenden Betrieb Externe Tests laufen gegen produktive Systeme. Wir stimmen Zeitfenster ab, verzichten auf Lasttests und bleiben während des Tests mit Ihrer IT in Kontakt. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, etwa eine offene Verwaltungsoberfläche, erfahren Sie es noch am selben Tag. ### Klarer Überblick, was erreichbar ist Neben den Befunden erhalten Sie eine Übersicht der erreichbaren Hosts und Dienste. Sie ist ein guter Ausgangspunkt für Ihr eigenes Asset-Verzeichnis. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Übersicht der erreichbaren Hosts und Dienste - Jeder Befund mit Nachweis und Empfehlung - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihrer IT - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-022 Risiko: Mittel CVSS 3.1 · 6.5 Offen · Retest inklusive ### VPN ohne zweiten Faktor: Ein gestohlenes Passwort reicht vpn.admin-soehne.example (Fernzugangsportal) CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N #### Beschreibung Das Fernzugangsportal fragt nur Benutzername und Passwort ab. Die Kontosperre greift, Passwörter lassen sich also nicht einfach erraten. Ein Passwort aus einer Phishing-Mail oder einem alten Datenleck einer anderen Website reicht aber, um sich als diese Person anzumelden und Postfach und Abteilungsdateien zu lesen. #### Reproduktion 1. https://vpn.admin-soehne.example öffnen und mit dem bereitgestellten Testkonto anmelden. 2. Der Zugang wird allein nach dem Passwort gewährt, ohne zweiten Schritt. 3. Mit der Admin-Person des Kunden die Portaleinstellungen prüfen: Zwei-Faktor-Anmeldung ist verfügbar, aber ausgeschaltet. ``` Anmeldung mit Testkonto: nur Passwort → „Verbunden“ Portal-Richtlinie: MFA = deaktiviert Sperre nach 5 Fehlversuchen = aktiviert Zugriff nach Anmeldung: eigenes Postfach, Abteilungsdateien ``` #### Geschäftliche Auswirkung Für sich genommen kein Einbruch, aber es fehlt ein günstiges Sicherheitsnetz am häufigsten Einstiegspunkt. Mit einem gestohlenen Passwort liest ein Angreifer Mails und Dateien einer Person und kann in ihrem Namen Mails versenden. Cyberversicherer und NIS2-Prüfungen verlangen MFA für jeden Fernzugang. #### Empfehlung Zwei-Faktor-Anmeldung für jedes Fernzugangskonto aktivieren, am besten mit Nummernabgleich oder Sicherheitsschlüssel. Die IT bei Anmeldungen aus ungewöhnlichen Ländern alarmieren. Einmal im Jahr prüfen, wer überhaupt Fernzugang braucht. OWASP Top 10 2021: A07 Identification and Authentication Failures · CWE-308 (Use of Single-factor Authentication) · MITRE ATT&CK T1133 (External Remote Services), T1078 (Valid Accounts) ## Festpreis ab [1.900 €](https://mr-cyber.com/de/angebot?service=external) 2 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein externer Penetrationstest? Festpreise beginnen bei 1.900 € für bis zu 32 öffentliche IP-Adressen mit erreichbaren Diensten. Mehr Adressen, viele Webanwendungen oder mehrere Standorte erhöhen den Aufwand. Bei großen Bereichen testen wir eine repräsentative Stichprobe plus die Angriffspfade. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Stört der Test unsere Internetdienste? Nein. Zeitfenster und Testintensität stimmen wir vorab ab, und wir verzichten auf Lasttests und Aktionen, die Dienste lahmlegen könnten. Während des gesamten Tests haben Sie einen direkten Ansprechpartner. Was brauchen Sie von uns? Die IP-Bereiche und Domains im Scope, die Bestätigung, dass Sie diese besitzen oder testen lassen dürfen, einen Notfallkontakt und, falls Ihr Hoster das verlangt, dessen Vorabinformation. Was ist der Unterschied zu einem Schwachstellen-Scan? Ein Scan listet bekannte Probleme und liefert viele Fehlalarme. Ein Pentest bestätigt, was wirklich ausnutzbar ist, findet schwache Konfigurationen und Probleme bei Fernzugängen, die Scanner übersehen, und zeigt, was zuerst zu tun ist. Sollten wir auch intern testen? Der externe Test zeigt, was jemand aus dem Internet erreicht. Ein interner Test zeigt, wie weit ein Angreifer kommt, wenn er einmal drin ist, etwa nach einer Phishing-Mail. Bei NIS2- und ISO-27001-Audits wird oft beides erwartet.