Vier Tools. Eine KI, die sie führt.
Autonomous Red Team aus Deutschland: OpenVAS, OWASP ZAP, SQLMap und Metasploit — von einer on-premises laufenden KI orchestriert. Kontinuierliche Prüfung statt Jahresaudit, Befunde nach Ausnutzbarkeit priorisiert.
Geeignet fürUnternehmen, die regelmäßig prüfen müssen statt einmal im Jahr
Open-Source-Werkzeuge · KI on-prem · Kill-Switch beim Kunden
Das Wichtigste auf einen Blick
- Geeignet für
- Unternehmen, die regelmäßig prüfen müssen statt einmal im Jahr — NIS2, ISO 27001, TISAX, VdS 10000 oder DORA im Rücken
- Ausgangssituation
- Das Jahresaudit ist bestanden, aber elf Monate lang weiß niemand, was sich seither geändert hat
- Wir übernehmen
- Fortlaufende Prüfung mit über 180.000 Prüfroutinen, Bewertung der Funde, Priorisierung und Nachverfolgung bis zur Behebung
- Bei Ihnen bleibt
- Die Entscheidung über Ihre Fachanwendungen und der Zugang zu Ihren Daten. Eigentum und Hoheit wechseln nicht.
- Vorhandene Systeme
- Was heute läuft, sehen wir uns vor dem Angebot an. Was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen.
- Ihr Ergebnis
- Schwachstellen finden Sie, bevor ein Angreifer sie findet. Monatlicher Scan inbegriffen, zwölfmal im Jahr
- Preisrahmen
- ab 1.500 € im Monat, Paket StarterDrei Stufen nach Umfang und Prüftakt
- Reaktionszeit
- Erster Bericht unter 72 Stunden nach dem Onboarding
- Dauer
- 72 Stunden Proof-of-Value — kostenfrei, mit echten Ergebnissen
- Erster Schritt
- Proof-of-Value anfragen: Sie sehen zuerst Funde, dann ein Angebot
Vier Tools, eine KI, die sie führt.
OpenVAS / Greenbone
Über 180.000 Prüfroutinen decken Infrastruktur-Schwachstellen ab: offene Ports, veraltete Dienste, schwache Verschlüsselung, fehlende Patches, Fehlkonfigurationen.
- Authenticated & unauthenticated Scans
- CVE + CVSS + EPSS-Scoring
- Deep-Scan aller TCP/UDP-Ports
- SSL/TLS-Chain & Cipher-Audit
- Compliance-Profile: PCI, HIPAA, BSI
OWASP ZAP
Prüfung der Webanwendungen entlang der OWASP Top 10 — inklusive Spider, AJAX-Crawling, API-Fuzzing sowie JWT- und SAML-Kontrollen.
- OWASP Top 10 + API Top 10 automatisiert
- AJAX-Spider für SPAs (React, Vue, Angular)
- Fuzzing parametergetrieben
- JWT-, SAML-, OAuth-Schwachstellen-Checks
- CSRF, XSS, SSRF, XXE, Deserialization
SQLMap
Datenbank-Tiefenprüfung, wenn die vorherigen Stufen darauf hindeuten — Schema-Erkennung lesend, ohne Veränderung.
- Blind-, Union-, Time-based-Injection
- MySQL, MSSQL, Postgres, Oracle, SQLite
- DB-Schema & Tabellen-Enumeration
- WAF-Evasion-Techniken
- Safe-Mode: nur lesend, keine Manipulation
Metasploit Framework
Kontrollierte Verifikation: Ist der Pfad tatsächlich ausnutzbar? Payloads hinterlassen keine Persistenz, jede Aktion steht im Prüfprotokoll.
- Über 4.000 Exploit-Module
- Payload-Generierung Meterpreter, Empire
- Privilege-Escalation & Post-Exploitation
- Kill-Switch & Time-Box per Session
- Keine Persistenz, keine Backdoors
KI-Dirigent — dynamische Werkzeugkette
Wie die Plattform im Einzelnen arbeitet.
Für die Entscheidung genügt der Block oben. Wer wissen will, welche Werkzeuge in welcher Reihenfolge laufen und was wir bewusst nicht tun:
/01Acht Bereiche — zum Durchklicken+
Scope-Safe: Produktivsysteme bleiben unberührt
Jedes Ziel ist whitelist-basiert. Drei Modi stehen zur Wahl: Passive (nur Beobachtung), Safe-Active (harmlose Anfragen) und Full-Exploit — letzterer nur mit ausdrücklicher Freigabe und in der Staging-Umgebung. Ein Kill-Switch auf Kundenseite stoppt alle Werkzeuge binnen Sekunden.
- Hartes Whitelisting der Ziele
- Drei Modi: passiv / safe / full
- Ratenbegrenzung je Werkzeug
- Zeitfenster-Planung
- Kill-Switch auf Kundenseite
- Prüfprotokoll jeder Aktion, signiert
Der KI-Dirigent beobachtet jede Zeile Ausgabe
Die vLLM-Engine läuft im eigenen Haus, liest alle Werkzeugausgaben in Echtzeit, ordnet Befunde nach MITRE ATT&CK ein, entscheidet über die nächste Aktion und hält jede Entscheidung mit Begründung fest. Keine Blackbox — jede Empfehlung nennt ihre Quelle.
- Entscheidungen mit Begründung
- Dynamische Reihenfolge der Werkzeuge
- Analystenfreigabe vor jedem Exploit
- Einordnung nach MITRE ATT&CK
- RAG auf eigenen Playbooks
- Vollständig auditierbar
False-Positive-Filter durch LLM-Review
Klassische Scanner erzeugen pro Host leicht hunderte Befunde. Die KI prüft jeden einzelnen gegen den Kontext: Ist die Schwachstelle hier überhaupt ausnutzbar? Passt der Patchstand aus OpenVAS zur Antwort, die ZAP gesehen hat? Ergebnis: 60–80 % weniger Rauschen — und jede Unterdrückung bleibt begründet und widerrufbar.
- 60–80 % weniger Rauschen
- Jede Unterdrückung begründet
- Analyst kann übersteuern
- Lernt je Mandant dazu
- Prüfspur für jeden unterdrückten Befund
- CVSS und EPSS im Abgleich
Attack-Chain-Replay: wie ein echter Angreifer denkt
Aus fünfzig Einzelbefunden wird die wahrscheinlichste Angriffsgeschichte. Die KI verknüpft Einzelschwachstellen zu einer Kette entlang MITRE ATT&CK — von der Aufklärung über den ersten Zugang und die seitliche Bewegung bis zum Abfluss der Daten. Die Priorität entsteht aus der Position in der Kette, nicht aus dem CVSS-Wert allein.
- Angriffspfad entlang MITRE ATT&CK sichtbar
- Priorität aus der Kettenposition
- Empfehlung des wirksamsten Engpasses
- Simulation des Schadensradius
- Bewertung nach Geschäftsauswirkung
- Direkt als Kurzfassung für die Leitung
Proof-of-Exploit: die Aufzeichnung ersetzt die Behauptung
Kein Bericht mehr, der nur behauptet. Die Plattform zeichnet den kontrollierten Exploit als Terminal-Video auf — mit Zeitstempel, Ausgangszustand, Exploit-Schritt und Rückbau. Jede Aufzeichnung ist SHA-512-gehasht und per HMAC signiert, damit Dritte sie prüfen können.
- Terminal-Video mit Zeitstempeln
- Immer mit Rückbauschritt
- SHA-512 und HMAC-Signatur
- Prüf-URL für Dritte
- Niemals ohne Freigabe
- Zeitbox auf Sitzungsebene
Remediation-Coach: priorisierter Fix-Plan statt CVE-Salat
Die KI ordnet jeden Befund nach CVSS, EPSS (also der tatsächlichen Ausnutzungswahrscheinlichkeit), Kritikalität des Systems und Position in der Angriffskette. Heraus kommt ein sortierter Plan über Woche 1, 2, 4 und 8 — jeder Punkt mit konkretem Patch, Konfigurationsdiff oder Umgehung, nicht mit „bitte aktualisieren".
- CVSS, EPSS und Systemgewicht kombiniert
- Konkrete Patches und Diffs
- Plan über Woche 1 / 2 / 4 / 8
- Nachprüfung nach jedem Fix
- Reduktion des Kettenrisikos sichtbar
- Export als Kurzfassung für die Leitung
Jira, GitLab, ServiceNow: Befunde landen, wo gearbeitet wird
Jeder bestätigte Befund wird direkt als Ticket angelegt — mit Priorität, CWE, Schritten zum Nachstellen, empfohlenem Fix und Verweis auf die Fallakte. Die Pipeline kann bei CVSS ≥ 7 den Release blockieren, und die Meldung in Slack oder Teams steht Sekunden nach dem Fund.
- Jira, GitLab, Azure DevOps
- Brücke zu ServiceNow-Incidents
- Release-Sperre ab CVSS ≥ 7
- Meldung in Slack oder Teams
- Automatischer Abschluss nach Nachprüfung
- SLA-Verfolgung je Team
Continuous Rescan: kein „einmal im Jahr" mehr
Die Plattform prüft monatlich automatisch, zusätzlich nach jedem Deployment, und bei einer neuen kritischen Schwachstelle sofort gegen alle betroffenen Systeme. Sie erfahren von neuen Lücken in Stunden statt in Monaten — und der neue Befund wird gleich mit der bestehenden Angriffskette in Bezug gesetzt.
- Monatlicher Vollscan
- Deltascan nach jedem Deployment
- Reaktion auf neue CVE unter 2 Stunden
- Erkennung von Konfigurationsdrift
- Trendlinien über Quartale
- Delta-Bericht an die Leitung
/02Sieben Stufen. Eine Angreifergeschichte+
- subdomains · dns · tls
- whois · bgp · leaks
- technologie-fingerprint
- 180k nvts aktiv
- port + service
- cve / cvss / epss
- spider + ajax
- owasp top 10
- api-fuzzing
- blind / time / union
- schema-enum lesend
- db-fingerprint
- kontrollierte exploitation
- nur nach freigabe
- ohne persistenz
- video mit sha-512
- reproduzierbar
- beweiswertig
- ticket automatisch
- fix-vorschlag
- rescan nach fix
/03Ein Pentest-Werkzeug ist nur so gut wie seine Guardrails+
Whitelist-first Scope
Keine Prüfung ohne ausdrücklich benanntes Ziel. Ausschlüsse — etwa Produktivnetze — sind hart gesperrt. Platzhalter für Subdomains, Adressbereiche und Cloud-Tags sind möglich.
Drei Modi, Standard ist Safe
Passive = nur Beobachtung. Safe-Active = harmlose Testanfragen. Full-Exploit = nur mit Freigabe und im vereinbarten Zeitfenster. Voreinstellung ist Safe-Active.
Kill-Switch beim Kunden
Der Schalter liegt bei Ihnen, nicht bei uns. Er stoppt alle laufenden Werkzeuge sofort — ohne Rückfrage, ohne Ticket.
Lückenloses Prüfprotokoll
Jede Aktion ist protokolliert und einem Auftrag zugeordnet. Das ist die Grundlage dafür, dass der Test selbst auditierbar bleibt.
Jahresaudit gegen kontinuierliche Prüfung.
| Kriterium | Klassischer Pentest, 1× pro Jahr | KI-orchestriert, kontinuierlich |
|---|---|---|
| Prüfrhythmus | ✕Momentaufnahme, 51 Wochen blind | ✓monatlicher Scan plus Prüfung nach jedem Deployment |
| Ergebnisform | ◑PDF mit Textbehauptungen | ✓Attack-Chain-Replay mit Proof-of-Exploit |
| Darstellung | ◑CVE-Liste | ✓zusammenhängende Angreifergeschichte |
| Priorisierung | ◑nach CVSS | ✓nach tatsächlicher Ausnutzbarkeit |
| Behebung | ✕Tickets manuell übertragen | ✓automatisch in Jira oder GitLab |
| Neue Schwachstellen dazwischen | ✕keine Reaktion bis zum nächsten Test | ✓laufender Abgleich |
| Tempo | ✕hängt an der Verfügbarkeit des Pentesters | ✓unabhängig planbar |
| Wo die Testdaten liegen | ◑teils in externer Cloud | ✓on-premises in Deutschland |
| Menschliche Tiefe | ✓kreative Angriffswege, Social Engineering | ◑ergänzt den externen Test, ersetzt ihn nicht |
Pentest, der Regulierung versteht.
Mittelstand & KMU: NIS2 pragmatisch erfüllen
NIS2 fordert „angemessene technische Maßnahmen" — dazu gehören regelmäßige Penetrationstests. Die Plattform liefert diese regelmäßige Ebene günstiger und häufiger als jährliche externe Tests, bei gleichzeitiger Dokumentation gegenüber Wirtschaftsprüfung und BSI.
- Monatliche automatische Nachprüfung aller exponierten Systeme
- Eigenes NIS2-Berichtsprofil: meldepflichtrelevante Befunde markiert
- Abgleich des Systeminventars mit dem tatsächlichen Footprint
- Prüferexporte für Wirtschaftsprüfung und ISO-Audit in zwei Klicks
- Bezahlbar für 50 bis 1.000 Mitarbeitende
Banken & Finanzdienstleister: DORA und TIBER-DE
DORA Art. 24 verlangt bedrohungsgeleitete Penetrationstests. Die Plattform unterstützt das Szenariodesign, liefert die technische Fläche über OpenVAS, ZAP, SQLMap und Metasploit und dokumentiert revisionssicher für BaFin-Prüfungen — SHA-512-signierte Berichte mit zehn Jahren Aufbewahrung.
- TIBER-DE-konformes Szenario-Rahmenwerk
- Red-Team-Playbooks (Sandworm, Lazarus, FIN7) vordefiniert
- Spezifische Prüfungen nach SWIFT CSP
- Zuordnung zu MaRisk AT 7.2 und BAIT im Bericht
- Zehn Jahre Aufbewahrung, signiert
Versicherungen: VAIT, DORA und DSGVO Art. 9
Versicherer arbeiten mit besonders schützenswerten Daten — Gesundheit, Biometrie, Finanzstatus. Die Plattform hält solche Mandanten strikt getrennt, prüft Leistungssysteme auf Missbrauchspfade und erstellt VAIT-konforme Dokumentation.
- Mandantenfähig ab dem ersten Tag, auch für Konzernstrukturen
- Anonymisierung von Gesundheitsdaten in Testläufen
- Simulation von Betrugspfaden in der Leistungsbearbeitung
- Zuordnung zu VAIT 8.1 bis 8.5 im Bericht
- Zusatzmaßnahmen nach DSGVO Art. 9 dokumentiert
KRITIS & Stadtwerke: § 8a BSIG, IT gegen OT
KRITIS-Betreiber müssen Penetrationstests nach § 8a BSIG nachweisen. Die Plattform prüft die IT klassisch, bindet OT-Telemetrie ausschließlich passiv an — kein Störrisiko an der Leittechnik — und liefert die zweistufige BSI-Meldekette automatisch, sofern Befunde kritisch sind.
- Prüfzyklus nach § 8a BSIG mit Nachweis alle zwei Jahre
- OT-Netze nur passiv über SPAN-Port
- IT-Sicherheitskatalog der BNetzA abgebildet
- Berichtsprofile B3S Strom und Wasser
- Gegenprüfung nach IEC 62443 und ISO 27019
SaaS & Tech: DevSecOps-tauglich
Für SaaS-Anbieter ist Sicherheit ein Vertriebsthema — Enterprise-Kunden wollen Pentest-Berichte sehen. Die Plattform prüft bei jedem Deployment, liefert Kundenauditberichte auf Knopfdruck und blockt riskante Releases automatisch in der Pipeline.
- Anbindung an GitLab- und GitHub-CI ohne Zusatzarbeit
- Deltascan nach jedem Merge auf den Hauptzweig
- Kundenauditbericht als White-Label-PDF
- OWASP API Top 10 eigens geprüft
- Nachweissammlung für SOC 2 und ISO 27001
Drei Stufen, nach Umfang und Takt.
Starter
Der Einstieg für eine überschaubare Umgebung mit regelmäßigem Rhythmus.
- Preisab 1.500 €/mon.
- Systemebis 50
- Prüftaktmonatlich
- Erster Report< 72 std.
Professional
Für gewachsene Umgebungen, in denen regelmäßig ausgeliefert wird.
- Preisab 5.000 €/mon.
- Systemebis 500
- Prüftaktwöchentlich
- Zusätzlichprüfung nach deployment
Enterprise
Für regulierte Umgebungen mit durchgehender Prüfung.
- Preisab 15.000 €/mon.
- Systemeunbegrenzt
- Prüftaktkontinuierlich
- Berichtsprofiledora · tiber-de · §8a
72 Stunden Proof-of-Value.
Kick-off-Call
30 minGespräch mit einem Pentest-Architekten: Was soll geprüft werden, was ausdrücklich nicht.
AVV & Scope
vorabAuftragsverarbeitungsvertrag unterzeichnet, Whitelist festgelegt. Erst danach läuft etwas.
Safe-Active-Scan
48 std.Prüfung im Standardmodus — harmlose Anfragen, keine Exploitation ohne gesonderte Freigabe.
Attack-Chain-Replay
im berichtDie Kette entlang MITRE ATT&CK, nicht als CVE-Liste.
Readout-Call
60 minDurchsprache mit Ihrem Team: Was ist kritisch, was kann warten.
Datenort
durchgehendIhre Daten bleiben on-premises in Deutschland — auch während des Proof-of-Value.
Wir melden uns innerhalb eines Werktags für den Kick-off-Call. Wenn es eilt: 09571 873149.
Häufige Fragen zur Plattform.
/01Was ist das Autonomous Red Team?+
/02Ersetzt das einen externen Pentest?+
/03Wird gegen Produktivsysteme getestet?+
/04Was kostet die Plattform?+
/05Wie schnell liegt der erste Bericht vor?+
/06Hinterlassen die Tests Spuren im System?+
/07Deckt das NIS2 oder DORA ab?+
/08Läuft die KI wirklich on-premises?+
/09Was ist Attack-Chain-Replay?+
/10Was ist Proof-of-Exploit?+
/11Eignet sich das für TIBER-DE und DORA?+
/12Testen Sie auch das Insider-Szenario?+
Passt zusammen mit dem Betrieb.
Cyber Security
Die ganze Architektur: fünf Kontroll-Schichten und zehn Bausteine, in die sich der Pentest einfügt.
dienstleistungManaged SOC · 24/7
Gefundene Lücken sind das eine — laufende Überwachung das andere.
plattformKI-SOC-Plattform
Dieselbe Idee auf der Verteidigungsseite: mehrere Engines, die sich gegenseitig kontrollieren.
lösungWazuh SIEM
Die Erkennungsschicht, die anschlägt, wenn jemand die gefundene Lücke tatsächlich nutzt.
Kostenfrei: 72-Stunden-Proof-of-Value.
- Kick-off-Call (30 min) mit Pentest-Architekt
- AVV-Unterzeichnung und Scope-Whitelist
- Safe-Active-Scan über 48 Stunden
- Attack-Chain-Replay mit MITRE ATT&CK
- Readout-Call (60 min) mit Ihrem Team
- Ihre Daten bleiben on-prem in Deutschland
Finden Sie Ihre Schwachstellen, bevor es ein Angreifer tut.
Prüfung besprechen.
Umfang, Zeitpunkt und Tiefe legen wir vorher gemeinsam fest — samt der Frage, wer die Befunde danach abarbeitet. Das Formular oben ist der direkte Weg.
ISO/IEC 27001 zertifiziert · Zertifikat 202787