Cybersecurity Blog | Access Granted

27.07.2026 18 min

Die Legende: Wie Angreifer Identitäten konstruieren – und warum euer Team sie nicht erkennt

Keine Schadsoftware. Kein Exploit. Nur eine gelbe Warnweste, ein ausgedruckter Wartungsauftrag und drei Tage OSINT – und unser Pentester war 23 Minuten unbegleitet auf dem Gelände. Pretexting ist die Methodik hinter den meisten Social-Engineering-Angriffen: die Konstruktion einer falschen Identität, die so überzeugend ist, dass niemand sie prüft. Dieser Post erklärt, wie eine Legende aufgebaut wird – Schicht für Schicht.

#Awareness #Gebäudesicherheit #OSINT #PhysicalPentest #Pretexting #RedTeam #SocialEngineering #Vishing

20.07.2026 17 min

LLM Pentest & AI Security: Prompt Injection, Jailbreaks und Agentic AI – was euer KI-System wirklich gefährdet

Ein interner KI-Agent, angebunden an CRM, Ticketsystem und Wissensdatenbank. Vier Stunden in einem Red-Team-Engagement: vollständige Datenexfiltration via indirekter Prompt Injection – ohne einen einzigen Alert. Kein Penetrationstest hatte das aufgedeckt. Denn keiner hatte nach LLM-Angriffsvektoren gesucht.

#AgenticAi #AISecurity #LLMPentest #PromptInjection #RedTeam

13.07.2026 15 min

50.000 Euro für den CTO. 500 Euro für die Reinigungskraft. Wer sagt Nein?

Einen CTO zu bestechen kostet 50.000 Euro und scheitert sofort. Dieselbe Frage an die Reinigungskraft eines Subunternehmers kostet 500 Euro – und niemand weiß, was passiert. Weil niemand es je getestet hat. Dieser Post zeigt, warum der physische Supply-Chain-Angriff die ökonomisch rationalste Option für einen Angreifer ist, belegt durch echte Fälle von Oracle bis Mandiant.

#Awareness #Gebäudesicherheit #InsiderThreat #KRITIS #NIS2 #PhysicalPentest #RedTeam #SocialEngineering #SupplyChain

06.07.2026 15 min

Rubber Ducky, O.MG Cable & LAN Turtle: Warum dein USB-Blocker die gefährlichsten Geräte nicht stoppt

Der USB-Stick lag auf dem Firmenparkplatz. 17 Minuten später war eine PowerShell offen – obwohl USB-Ports gesperrt waren. Kein Massenspeicher, kein Alarm: Das Gerät meldete sich als Tastatur an. USB-Sicherheit wird in den meisten Unternehmen strukturell falsch gedacht.

#Awareness #Endpoint #HIDAngriff #LANTurtle #OMGCable #PhysicalPentest #RedTeam #RubberDucky #USBSecurity

29.06.2026 17 min

Quishing: Warum der harmloseste Scan des Tages euer Netzwerk kompromittiert

Hannover, November 2024: professionell gestaltete EasyPark-Aufkleber auf Parkautomaten, nahezu identische Phishing-Seite, Kreditkartendaten weg. Mittlerweile bundesweit. Dieselbe Technik landet seit 2023 in Unternehmens-Postfächern – als QR-Code im PDF-Anhang, im Konferenzraum-Schild, in der gefälschten HR-E-Mail. Und als Werkzeug des nordkoreanischen Geheimdienstes Kimsuky gegen Think Tanks und Regierungsstellen. Dieser Post erklärt, warum Quishing dort funktioniert wo Phishing scheitert – und

#Awareness #CyberSecurity #NIS2 #Phishing #PhysicalPentest #QRCode #Quishing #RedTeam #SocialEngineering

22.06.2026 15 min

ISO 27001 Audit vs. Physical Pentest: Warum Compliance-Zertifikate bei echten Angriffen versagen

Das Zertifikat hing noch an der Wand. Drei Monate nach dem ISO-Audit stand ein Red-Team-Tester im Serverraum – in 31 Minuten, ohne einen einzigen Exploit. ISO 27001 ist kein schlechter Standard. Aber er beantwortet die falsche Frage.

#CISO #Compliance #ISO27001 #KRITIS #NIS2 #PhysicalPentest #RedTeam #Resilienz

15.06.2026 15 min

Was ein Breach wirklich kostet: Produktionsausfall, IR-Kosten, Kundenverlust und persönliche Haftung

Montagmorgen, 06:14 Uhr. ERP verschlüsselt, MES offline, Produktion steht. Um 11 Uhr aktiviert der Kunde alternative Lieferanten – nicht aus Böswilligkeit, sondern weil sein Band leer läuft. Was ein Breach wirklich kostet, steht selten in der Lösegeldrechnung.

#BreachKosten #CISO #DSGVO #KRITIS #NIS2 #PhysicalPentest #Produktionsausfall #Ransomware

08.06.2026 14 min

OT-Pentest: Warum SCADA, SPS und Industrieanlagen eine andere Sicherheitslogik brauchen

Die SPS lief seit 22 Jahren. Nie gepatcht, nie geprüft – aber seit drei Jahren über einen VPN-Tunnel erreichbar. In vier Stunden passiver Analyse hatten wir vollen Schreibzugriff auf die Ventilsteuerung eines Wasserversorgers. OT-Sicherheit ist kein IT-Thema mit anderem Namen.

#ICS #IndustrieSicherheit #KRITIS #Modbus #NIS2 #OTPentest #PhysicalPentest #RedTeam #SCADA #SPS

01.06.2026 15 min

Bevor er landet, kennt er jeden Winkel: Drohnen als Recon-Werkzeug im Physical Pentesting

Ein Pharmaunternehmen in Bayern. Ein Dienstagmorgen. Eine Drohne, die niemand bemerkt hat – und drei Wochen später ein spurloser Einbruch über genau die Stelle, die auf der Thermalkamera als blinder Fleck erschienen war. Drohnen sind kein Zukunftsszenario. Sie sind das Recon-Werkzeug der Gegenwart.

#CER #Drohne #Gebäudesicherheit #KRITIS #OSINT #PhysicalPentest #RedTeam #RemoteRecon

26.05.2026 16 min

Shoulder Surfing 2.0: Wie Wärmebildkameras, Teleobjektive und ein Smartphone-Foto deine Zutrittskontrolle aushebeln

Dein PIN-Code leuchtet noch acht Minuten nach Eingabe auf einer Wärmebildkamera. Dein Badge-Foto steckt in drei Klicks in einem Farbdrucker. Wie visuelle Exposition zum vollständigen Angriffsvektor wird – und welche Policies das verhindern.

#BadgePolicy #PhysicalPentest #RedTeam #ShoulderSurfing #ThermalAngriff

$Willkommen im Haus: Wie Angreifer das Besuchermanagement als Einfallstor nutzen$

18.05.2026 16 min

Willkommen im Haus: Wie Angreifer das Besuchermanagement als Einfallstor nutzen

Er war um 9:30 Uhr als Besucher angemeldet. Um 9:47 Uhr stand er im Serverraum. Kein Ausweis wurde verlangt, kein Escort durchgesetzt, kein Logbuch ausgewertet. Visitor Management ist in den meisten Unternehmen als Serviceprozess konzipiert – freundlich, reibungslos, gastfreundlich. Genau darin liegt das Problem.

#Awareness #CER #Gebäudesicherheit #KRITIS #NIS2 #PhysicalPentest #Pretexting #RedTeam #SocialEngineering

11.05.2026 15 min

Strom aus, Schloss auf: Was mit deiner Zutrittskontrolle passiert, wenn der Strom ausfällt

Eine Sicherung raus, vier Sekunden, offene Tür – kein Badge, kein Exploit, kein Alarm. Warum Fail-Safe in Deutschland gesetzlich vorgeschrieben ist, gleichzeitig einen vollständigen Angriffsvektor öffnet und wie du beides in den Griff bekommst.

#Brandschutz #FailSafe #FailSecure #Gebäudesicherheit #PhysicalPentest

04.05.2026 18 min

Was ist ein Penetrationstest? Definition, Ablauf, Kosten und der Unterschied zum Vulnerability Scan

Firewall, SIEM, EDR – und trotzdem kompromittiert. Ein Penetrationstest ist die einzige Methode die empirisch beweist ob deine Sicherheitsmaßnahmen unter echten Angriffsbedingungen halten. Alles was du wissen musst: Definition, Arten, Ablauf, Kosten und KI 2026.

#CyberSecurity #KRITIS #NIS2 #Penetrationtest #Pentest #Pentesting #RedTeam #VulnerabilityScan

27.04.2026 15 min

Der Mann, der nie da war: Warum verwaiste Zugänge die gefährlichste Lücke in deiner Sicherheitsarchitektur sind

Ein Badge eines seit zwei Jahren ausgeschiedenen Mitarbeiters. Noch aktiv. Noch gültig. Noch unbemerkt. Offboarding-Versagen ist kein HR-Problem – es ist ein vollständiger Zugriffsvektor, der sich durch Badge, AD, Cloud und VPN zieht.

#ActiveDirectory #IdentityLifecycle #KRITIS #NIS2 #Offboarding #PhysicalPentest #RedTeam

21.04.2026 13 min

Durch die Wand: Warum deine Zäune wertlos sind, wenn die Hintertür offen steht | CER & Pentest

Zäune sind großartig – für das Foto im Jahresbericht. In der Realität scheitert physische Sicherheit oft an vergessenen Dachluken oder schlichter menschlicher Höflichkeit. Erfahre, warum deine Gebäudehülle mehr „Hacker-Autobahnen“ hat, als du denkst, und wie die neue CER-Richtlinie physische Resilienz zur Pflicht macht.

#CER #Gebäudesicherheit #KRITIS #PhysicalPentest #Resilienz #Tailgaiting

13.04.2026 12 min

Bevor er die Tür aufmacht, kennt er bereits dein Gebäude: Remote Recon to Physical Breach

Ein Angreifer braucht keine Brechstange. Er braucht LinkedIn, Shodan und 48 Stunden. Wie OSINT zum gefährlichsten Werkzeug im Physical Pentesting wird – und was du dagegen tun kannst.

#Gebäudesicherheit #OSINT #PhysicalPentest #RedTeam #RemoteRecon #Sicherheitsaudit #SocialEngineering

07.04.2026 15 min

REX-Sensor Blind Spot: Warum deine Notausgänge die gefährlichsten Eingänge deines Gebäudes sind

Du sicherst den Haupteingang mit Biometrie und Mantrap – und lässt dabei die Hintertür durch einen schlecht kalibrierten Bewegungsmelder sperrangelweit offen. Wie ein 4-Sekunden-Laserpointer-Angriff auf einen REX-Sensor ganze Sicherheitsarchitekturen aushebelt.

#Gebäudesicherheit #PhysicalPentest #PIRSensor #RedTeam #RequestToExit #REXSensor

30.03.2026 14 min

Endstation Wiegand: Warum physische Sicherheit mehr ist als nur ein sicheres Schloss

Wenn über 3 Millionen Schlösser weltweit per Mausklick entwertet werden können, liegt das Problem tiefer als bei einem einzelnen Hersteller. Wir analysieren die gesamte Kette der physischen Zutrittskontrolle – von den kryptografischen Schwachstellen alter MIFARE-Chips bis hin zum unverschlüsselten Wiegand-Protokoll – und zeigen dir, wie eine moderne, gehärtete Sicherheitsarchitektur im Jahr 2026 aussehen muss.

#MIFARE #OSDP #PhysicalPentest #Proxmark #RFID #Saflok #Wiegand

25.03.2026 15 min

NIS2, KRITIS-Dachgesetz & physische Sicherheit: Was Betreiber kritischer Infrastruktur konkret umsetzen müssen

NIS2 gilt seit Dezember 2025, das KRITIS-Dachgesetz folgte im Januar 2026. Beide fordern erstmals nachweisbare physische Sicherheitsmaßnahmen – mit persönlicher Haftung der Geschäftsleitung. Ein Fahrplan für betroffene Betreiber.

#CER #Compliance #KRITIS #NIS2 #PhysicalPentest #Resilienz

18.03.2026 11 min

10 Minuten für 100 Millionen – Die Psychologie hinter dem MGM-Hack

Ein Millionen-Budget für IT-Security rettet dich nicht, wenn dein Helpdesk am Telefon überrumpelt wird. Wir analysieren den MGM-Hack, die Psychologie hinter dem Social Engineering und zeigen dir, wie du dein Team gegen Vishing wetterfest machst.

#Awareness #Helpdesk #ITSecurity #MGMHack #Pentesting #SocialEngineering #Vishing

Aktuelle Beiträge