Autonomous Red Team · made in Germany – OpenVAS, OWASP, SQLMap & Metasploit unter KI-Dirigat.

Die Plattform kombiniert vier etablierte Open-Source-Tools: OpenVAS (Greenbone) für Vulnerability-Scans von Netzwerk und Infrastruktur, OWASP ZAP für Web-Application-Security (Spider, Active Scan, AJAX-Crawler), SQLMap für SQL-Injection-Erkennung und sichere Exploitation, Metasploit Framework für kontrollierte Payload-Tests und Privilege-Escalation-Chains. Die KI orchestriert den Datenfluss zwischen den Tools und filtert False Positives.

Ja. Die vLLM-Engines laufen auf HostSpezial-GPU-Hardware in deutschen Rechenzentren. Keine Kundendaten gehen an OpenAI, Anthropic, DeepSeek oder andere externe Cloud-Anbieter. Die komplette Inferenz – Scope-Analyse, Tool-Auswahl, False-Positive-Filter, Report-Generierung – findet innerhalb des Kunden-Tenants statt. Für KRITIS-Betreiber, NIS2-pflichtige Unternehmen und Banken ist das Grundvoraussetzung.

Ein klassischer Pentest ist eine Momentaufnahme einmal pro Jahr. Zwischen den Tests ändern sich Systeme, neue CVEs werden bekannt, Konfigurationen driften – und niemand merkt es. Die HostSpezial Pentest-Plattform scannt kontinuierlich: monatlich automatisiert, nach Deployments direkt, bei kritischen CVEs sofort. Menschliche Pentester konzentrieren sich auf Business-Logic und komplexe Chains – die Maschine deckt die Fläche ab.

Wenn die Plattform mehrere Schwachstellen findet, rekonstruiert die KI den wahrscheinlichsten Angriffspfad entlang MITRE ATT&CK: welche Recon-Schritte, welche Initial-Access-Vektoren, welche Lateral-Movement-Möglichkeiten, welche Data-Exfiltration-Wege. Das Ergebnis ist kein Katalog einzelner CVEs, sondern eine priorisierte Angriffsgeschichte – genau wie ein echter Angreifer sie bauen würde.

Statt in einem Bericht nur zu behaupten, eine Schwachstelle sei ausnutzbar, zeichnet die Plattform einen kontrollierten Exploit auf – als Terminal-Video mit Zeitstempel und Hash. Der Kunde sieht tatsächlich, wie der Angreifer von Recon zu Code-Execution gelangt. Die Exploits laufen ausschließlich gegen explizit freigegebene Targets, mit Kill-Switch und ohne Persistenz.

Die Plattform kennt drei Modi: Passive (nur Observation, keine Requests), Safe-Active (harmlose Test-Requests, keine Exploitation), Full-Exploit (nur in Staging oder mit expliziter Freigabe). Jedes Target ist Whitelist-basiert – alles außerhalb ist hart geblockt. Es gibt einen Kill-Switch auf Kundenseite, Rate-Limits und Zeitfenster-Scheduling. Metasploit läuft niemals im Full-Exploit-Modus gegen Produktion ohne schriftliche Freigabe.

Ja. Alle Daten bleiben in Deutschland, die KI ist on-prem, Auftragsverarbeitungs-Vertrag (AVV) nach Art. 28 DSGVO wird standardmäßig beigefügt. Für Tests mit personenbezogenen Daten (etwa Datenbanken mit Echtdaten) gibt es Anonymisierungs-Optionen. Die Reports werden verschlüsselt abgelegt, Zugriff über Mandanten-RBAC. Löschfristen sind konfigurierbar.

Ja. Für Banken und Finanzdienstleister unterstützt die Plattform Threat-Intelligence-Led-Tests (TIBER-DE) mit Red-Team-Szenarien und dokumentierten TTPs. Die Reports sind DORA-Artikel-24-konform, inklusive Szenariendesign, Lessons Learned und Remediation-Tracking. Die SHA-512-signierten Berichte sind für BaFin-Prüfungen revisionssicher.

Die Plattform liefert Findings direkt als Tickets nach Jira, GitLab, ServiceNow oder Azure DevOps – mit Priorität, betroffener Komponente, Reproduktionsschritten und empfohlenem Fix. Pipelines können bei CVSS-Findings den Release stoppen. Ein optionaler Slack-/Teams-Connector benachrichtigt das zuständige Team innerhalb von Sekunden nach Entdeckung.

Ja. Ein Assumed-Breach-Szenario startet die Tools innerhalb des Netzwerks, etwa mit Low-Privilege-Credentials. Die KI orchestriert Kerberoasting, ASREP-Roasting, GPO-Abuse-Checks, Zertifikats-Schwächen (ESC1-ESC15) und Active-Directory-Lateral-Movement – alles defensiv dokumentiert, ohne DOS und ohne Persistenz.

Die Plattform ist in drei Paketen verfügbar: Starter (ab 1.500 €/Monat, bis 50 Assets, monatlicher Scan), Professional (ab 5.000 €/Monat, bis 500 Assets, wöchentlicher Scan plus Attack-Chain-Replay), Enterprise (ab 15.000 €/Monat, unbegrenzte Assets, kontinuierliche Scans, dedizierte SOC-Integration, Red-Team-Services). Ein Proof-of-Value ist kostenfrei möglich.