Finanzsektor · DORA-Nachweis nach Art. 24/25

DORA-Pentest für Banken, Versicherer und Zahlungsdienstleister

Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 unmittelbar für den gesamten Finanzsektor in der EU und hat für DORA-pflichtige Unternehmen die BaFin-Rundschreiben BAIT, VAIT, ZAIT und KAIT abgelöst. Art. 24/25 DORA schreibt allen betroffenen Unternehmen regelmäßige Sicherheitstests vor. Für Institute, die die Aufsicht als bedeutend einstuft, kommt zusätzlich ein Threat-Led Penetration Test nach Art. 26/27 hinzu, mindestens alle drei Jahre und ausschließlich auf echten Produktivsystemen. Wir liefern den strukturierten Basistest für den Regelfall und die Vorbereitung, mit der ein späterer TLPT nicht zur bösen Überraschung wird.

DORA-Sicherheitscheck anfragen Abhängigkeitskarte ansehen
  • Art. 24/25 DORA abgedeckt
  • TIBER-DE-orientiertes Vorgehen
  • Kostenloses Erstgespräch

E-01

Art. 28 DORA · Register der IKT-Drittdienstleister

Was steht still, wenn ein Dienstleister steht?

Art. 28 DORA verlangt ein laufend gepflegtes Register aller Verträge mit IKT-Drittdienstleistern, das mindestens jährlich an die Aufsicht geht (bei der BaFin bis 31. März). Das Register beantwortet aber nur die halbe Frage. Die andere Hälfte lautet: welche eurer kritischen Funktionen hängen an diesem einen Eintrag und stehen still, sobald er ausfällt oder kompromittiert ist. Die Karte zeigt diesen Zusammenhang für ein fiktives Institut mit vier kritischen Funktionen und sechs Dienstleistern im Register.

Institut vier kritische Funktionen Kontoführung Zahlungsverkehr Online-Banking Aufsichtsmeldungen D1 Kernbanksystem D2 Zahlungsdienstleister D3 Rechenzentrum D4 Cloud-Plattform D5 Identitätsdienst D6 Marktdaten
Beispielhafte Registerstruktur, keine echten Kundendaten. Welche Dienstleister bei euch kritisch sind, klären wir im Scoping.

Die Karte geht die Einträge von selbst durch. Ein Klick auf einen Eintrag hält sie an und ihr lest in Ruhe.

  1. Trägt: Buchungslogik, Kontostammdaten, Auftragsverarbeitung

    Steht mit still Kontoführung, Zahlungsverkehr und Aufsichtsmeldungen zugleich

    Was wir dort prüfen

    Historisch gewachsene Schnittstellenprotokolle, Batch-Zugänge, Dienstkonten mit weitreichenden Rechten und die Frage, ob eine Testumgebung mit Echtdaten am selben Netz hängt.

    Art. 25 DORAMehr erfahren

  2. Trägt: Anbindung an Clearing und Massenzahlungsverkehr

    Steht mit still Zahlungsverkehr

    Was wir dort prüfen

    Die Strecke zwischen eurem Haus und dem Dienstleister: Zertifikate, Signaturprüfung, Wiedereinspielbarkeit von Aufträgen und die Trennung zwischen Freigabe und Erfassung.

    Art. 25 und 28 DORAMehr erfahren

  3. Trägt: Betrieb der Server, auf denen alles andere läuft

    Steht mit still alle vier Funktionen, weil darunter nichts mehr liegt

    Was wir dort prüfen

    Fernwartungszugänge, Sprungserver, Netzsegmentierung zwischen Mandanten sowie die physische Zutrittskontrolle zu den Bereichen, in denen eure Systeme stehen.

    Art. 25 DORAMehr erfahren

  4. Trägt: Kundenportal, Dokumentenablage, Auswertungen

    Steht mit still Online-Banking und Aufsichtsmeldungen

    Was wir dort prüfen

    Rollen- und Rechtemodell des Mandanten, Schlüsselverwaltung, öffentlich erreichbare Speicher und die Frage, wer beim Anbieter administrativ auf eure Umgebung kommt.

    Art. 25 und 28 DORAMehr erfahren

  5. Trägt: Anmeldung von Kunden und Mitarbeitenden

    Steht mit still Online-Banking und Kontoführung

    Was wir dort prüfen

    Durchsetzung der Mehr-Faktor-Anmeldung, Wiederherstellungswege, Sitzungsverwaltung und die Übergänge zwischen Kundenanmeldung und interner Anmeldung.

    Art. 25 DORAMehr erfahren

  6. Trägt: Zulieferung für Bewertung, Risikorechnung und Meldungen

    Steht mit still Aufsichtsmeldungen

    Was wir dort prüfen

    Integrität der gelieferten Daten, Authentizität der Lieferstrecke und die Frage, ob eine manipulierte Lieferung im Haus überhaupt auffallen würde.

    Art. 25 und 28 DORAMehr erfahren

E-02

Angriffsfläche Finanzsektor

Wo Angreifer bei Banken und Versicherern wirklich ansetzen

Die Karte oben zeigt, woran etwas hängt. Dieser Eintrag zeigt, wo jemand von außen tatsächlich ansetzt. Vier Bereiche tauchen bei Finanzinstituten regelmäßig auf, und keiner davon ist dem Haus unbekannt. Unbekannt ist meist nur, wie weit man von dort aus kommt.

  1. 01

    Kernbanksysteme und Zahlungsverkehr

    Historisch gewachsene Core-Banking-Plattformen und Zahlungsverkehrs-Schnittstellen mit Protokollen, die selten neu bewertet werden. Was vor fünfzehn Jahren als internes Protokoll gedacht war, liegt heute oft an einem Netz, das deutlich größer geworden ist.

    Unser Zugriff darauf

    Infrastruktur-Pentest gegen die Systeme selbst, inklusive der Frage, welche Konten die Schnittstellen bedienen und was mit einem davon möglich wäre.

    Art. 25 DORA
  2. 02

    Online-Banking und Banking-APIs

    Kundenportale und Schnittstellen sind das direkteste Ziel und zugleich das System mit dem größten Schaden bei erfolgreichem Zugriff. Typisch ist weniger die spektakuläre Lücke als eine Berechtigungsprüfung, die zwischen zwei Kundenkonten nicht sauber trennt.

    Unser Zugriff darauf

    Web-App-Pentest nach OWASP-Standard, erweitert um die Fehlerbilder, die im Finanzsektor wiederkehren, etwa fehlende Objektberechtigungen zwischen Konten.

    Art. 25 DORA
  3. 03

    Filialnetz

    Publikumsverkehr, Kassenbereiche und Besprechungsräume mit Netzwerkzugang. Eine physische Angriffsfläche, die in der reinen IT-Betrachtung oft fehlt, weil sie in keinem Systeminventar steht.

    Unser Zugriff darauf

    Physical Pentest in einer abgestimmten Filiale plus die Prüfung, wie weit das Filialnetz vom Zentralnetz getrennt ist.

    Art. 25 DORA
  4. 04

    IKT-Drittdienstleister und Lieferkette

    Outsourcing-Partner, Cloud-Anbieter und Zahlungsdienstleister, die DORA in Art. 28 als eigenes Risiko definiert. Kritische IKT-Drittdienstleister können sogar direkt unter die Aufsicht der europäischen Aufsichtsbehörden fallen.

    Unser Zugriff darauf

    Prüfung der Zugänge, die ihr Dritten eingeräumt habt: Fernwartung, Schnittstellen, Dienstkonten und die Frage, ob sie beim Weggang eines Partners tatsächlich geschlossen werden.

    Art. 28 DORA

Welche dieser Bereiche in euren Test gehören, entscheidet das Scoping. Ein Basistest muss nicht alles auf einmal abdecken, er muss nur belegen, dass die kritischen Funktionen geprüft wurden.

E-03

Der Unterschied, den DORA macht

Grundlegende Sicherheitstests oder TLPT: Was gilt für euch?

DORA kennt keine Einheitslösung. Für die breite Masse der Finanzunternehmen reicht ein strukturierter Sicherheitstest nach Art. 24/25. Nur für Institute, die die Aufsicht als bedeutend einstuft, kommt der deutlich aufwendigere Threat-Led Penetration Test nach Art. 26/27 hinzu. Die Übersicht zeigt, worin sich beide wirklich unterscheiden, und an welcher Stelle unsere Leistung endet.

Kriterium Grundlegende Sicherheitstests (Art. 24/25 DORA) TLPT (Art. 26/27 DORA)
Betrifft wenJedes DORA-pflichtige Finanzunternehmen, ausnahmslosNur von der Aufsicht bestimmte Finanzunternehmen, u. a. G-SIIs/O-SIIs oder Zahlungs- und E-Geld-Institute mit über 150 Mrd. € Zahlungsvolumen in jedem der zwei Vorjahre
HäufigkeitMindestens jährlichMindestens alle drei Jahre
TestumgebungTest- oder Produktivsysteme, je nach ScopingAusschließlich echte Produktivsysteme im Live-Betrieb
ProjektdauerTypischerweise wenige WochenMindestens 12 Wochen nach TIBER-DE-Ablauf
Wer darf testenEin erfahrenes Pentest-Team reicht ausNur Tester, die die Anforderungen nach Art. 27 DORA erfüllen (Zertifizierung durch eine Akkreditierungsstelle oder Bindung an einen Verhaltenskodex, Versicherung, Nachweise), TIBER-DE-Rahmen der Bundesbank
AufwandÜberschaubar und planbar, ein abgegrenztes ProjektSehr hoch, ein spezialisiertes Team über Monate plus behördliche Begleitung
RechtsgrundlageArt. 24/25 der Verordnung (EU) 2022/2554Art. 26/27 derselben Verordnung, in Deutschland über TIBER-DE ausgestaltet
Unser BeitragVollständig als eigenständiges Projekt abgedecktNur die Vorbereitung. Den TLPT selbst führen wir nicht durch.

TIBER-DE ist der deutsche Rahmen für TLPT: operativ von der Bundesbank betreut, fachlich von der BaFin beaufsichtigt. Wer unsicher ist, ob die eigene Institutsgröße schon in Richtung TLPT geht, klärt das am schnellsten in einem kurzen Erstgespräch mit uns.

E-04

Selbstcheck

Auf welchem Pfad seid ihr?

Vier Fragen, die die Richtung vorgeben. Beantwortet sie der Reihe nach, das Ergebnis unten aktualisiert sich mit. Die verbindliche Einstufung nimmt die Aufsicht vor, nicht ihr selbst.

  1. 01Hat euch die Aufsicht als bedeutendes Institut im Sinne von Art. 26/27 DORA eingestuft?

    eher Pfad B: TLPT-Pflicht, mindestens alle drei Jahre auf Produktivsystemen

    Pfad A reicht: Basistest nach Art. 24/25, mindestens jährlich

  2. 02Seid ihr ein Zahlungs- oder E-Geld-Institut mit mehr als 150 Mrd. € Zahlungsvolumen in jedem der letzten zwei Geschäftsjahre?

    eher Pfad B: das ist eines der Kriterien für die Einstufung als bedeutend

    Pfad A reicht, sofern kein anderes Einstufungskriterium greift

  3. 03Seid ihr als systemrelevantes Institut geführt oder liegt euer Versicherungsgeschäft über 1,5 Mrd. € Bruttoprämien bei zugleich über 10 Mrd. € Rückstellungen?

    eher Pfad B: auch das gehört zu den Kriterien, über die die Aufsicht die Bedeutung bemisst

    Pfad A reicht, der Basistest deckt eure Testpflicht ab

  4. 04Ist ein TLPT-Termin nach TIBER-DE bereits absehbar?

    eher Pfad B: der Test selbst dauert mindestens 12 Wochen, die Vorbereitung braucht Vorlauf

    Pfad A reicht, jährlich wiederholt

E-05

Zwei Pfade, ein Ziel

Pfad A oder Pfad B: So läuft es bei euch ab

Je nach Einstufung eures Instituts scopen wir das Projekt entweder als Basistest nach Art. 24/25 oder als Vorbereitung auf einen künftigen TLPT. Beide Pfade haben einen klaren Ablauf, unterscheiden sich aber in Tiefe, Vorlauf und Ergebnis.

Welcher Pfad gilt für euch?

Pfad A · Basistest (Art. 24/25)Für jedes DORA-pflichtige Finanzunternehmen, in der Regel mindestens jährlich (Kleinstunternehmen risikobasiert).

Pfad B · TLPT-Readiness (Art. 26/27)Für Institute, die die Aufsicht als bedeutend einstuft oder absehbar einstufen wird.

Unsicher? Der Selbstcheck darüber hilft bei der Einordnung.

Pfad A · Art. 24/25 DORA

Der strukturierte Basistest

Für die überwiegende Mehrheit der Finanzunternehmen ist das der relevante Nachweis. Wir liefern ihn als klar abgegrenztes, wiederholbares Projekt.

Was passiert

  1. Scoping und Einstufung

    Wir klären gemeinsam, ob ein Basistest ausreicht, und legen fest, welche Kernsysteme, Online-Banking-Komponenten, Filialen und Drittanbieter-Anbindungen in den Scope gehören. Grundlage dafür ist euer Register nach Art. 28, weil dort bereits steht, woran eure kritischen Funktionen hängen.

  2. Reconnaissance und Testdurchführung

    Öffentlich verfügbare Informationen, Netzwerkaufklärung und anschließend die manuelle Prüfung nach vereinbartem Scope, auf Test- oder Produktivsystemen, je nach Absprache. Jeder Schritt ist protokolliert, damit im Bericht nachvollziehbar bleibt, wann was getan wurde.

  3. Risikobewertung und DORA-gemappter Bericht

    Jeder Fund wird nach Schweregrad und Ausnutzbarkeit eingeordnet und dem passenden DORA-Artikel zugewiesen. Der auditfähige Abschlussbericht mit Management-Summary ist direkt für BaFin-Prüfungen verwendbar.

Ergebnis: dokumentierter Nachweis nach Art. 24/25 DORA, jährlich wiederholbar.

Zur DORA-Seite

Pfad B · Art. 26/27 DORA

TLPT-Readiness statt böser Überraschung

Werdet ihr absehbar als bedeutendes Institut eingestuft, bereiten wir Systeme und Prozesse gezielt auf einen künftigen TLPT vor, ohne den TLPT selbst durchzuführen.

Was passiert

  1. Threat-Intel-informiertes Scoping

    Wir leiten aus öffentlich verfügbaren Informationen und dem Bedrohungsbild eures Instituts realistische Angriffsszenarien ab, einschließlich möglicher Vishing-Pretexte, so wie es die Threat-Intelligence-Phase eines TLPT später verlangt.

  2. Produktionssichere Probe der TIBER-DE-Phasen

    Wir spielen die Phasen eines TLPT kontrolliert durch, mit klaren Abbruchkriterien und ohne Risiko für den Live-Betrieb, und prüfen, ob eure Prozesse, Ansprechpartner und Detektion dem standhalten.

  3. Lückenliste vor dem TLPT

    Ihr bekommt eine priorisierte Liste der Lücken, die ein TLPT-Testerteam finden würde, plus Maßnahmenplan, damit der spätere, deutlich teurere TLPT nicht an vermeidbaren Basics scheitert.

Ergebnis: Readiness-Bericht und Lückenliste als Grundlage für den nächsten TLPT-Zyklus, mindestens alle drei Jahre.

Den TLPT selbst führen wir nicht durch. Dafür schreibt Art. 27 DORA Tester mit besonderen Nachweisen vor (Zertifizierung oder Verhaltenskodex, Berufshaftpflicht, Erfahrung); der Test selbst wird operativ von der Bundesbank begleitet und von der BaFin beaufsichtigt.

Mehr erfahren

E-06

Art. 25 Abs. 1 DORA

Eine gute Vishing-Kampagne ist Test und Nachweis zugleich

Art. 25 Abs. 1 DORA nennt szenariobasierte Tests ausdrücklich als zulässige Testmethode, und Art. 13 Abs. 6 verpflichtet euch zu Sensibilisierungsprogrammen. Eine Vishing-Kampagne bedient beides. Praktisch heißt das: Ein kontrollierter Anruf, der sich als IT-Support, Filialleitung oder externer Dienstleister ausgibt, zeigt, ob Mitarbeitende Zugangsdaten preisgeben oder eine Überweisung freigeben würden, und erzeugt dabei genau das dokumentierte Testartefakt, das ihr für euren DORA-Nachweis braucht. Wir planen jede Kampagne mit klar abgestimmten Szenarien, Eskalationsstufen und einem Debriefing, das sich direkt in euren Compliance-Ordner einsortieren lässt.

Ergänzend zu klassischem Phishing per E-Mail bildet Vishing gezielt den Angriffsweg ab, den die Aufsicht als einen der relevantesten Einstiegsvektoren einstuft, mehr dazu im nächsten Eintrag.

Social Engineering und Vishing Mehr erfahren

E-07

Kein Einzelfall, sondern ein Muster

Was die Aufsicht zu Vishing-Angriffen berichtet

Belastbare, öffentlich dokumentierte Einzelfälle mit Namen und Schadenshöhe sind im Finanzsektor rar. Institute gehen mit Vorfällen naturgemäß zurückhaltender um als in mancher anderen Branche. Die BaFin schreibt aber in ihren „Risiken im Fokus 2026“, dass Social-Engineering-Angriffe wie Phishing und Vishing als die relevantesten Einstiegsvektoren gelten und deshalb in TLPTs am häufigsten getestet werden.

Sektorweite Beobachtung der Aufsicht, keine Fallstudie zu einem einzelnen Unternehmen. Access Granted war an keiner der berichteten Kampagnen beteiligt.

Woran ihr merkt, dass es euch betrifft

  • Der Anruf kommt von einer Nummer, die zu einem eurer Dienstleister passt.
  • Er bezieht sich auf ein Projekt, das tatsächlich läuft und öffentlich bekannt ist.
  • Er endet mit einer Handlung, die im Alltag üblich wäre, nur eben etwas eiliger.
Mehr erfahren

E-08

Pfad A in der Praxis

So sieht ein Basistest-Bericht aus

Ein Auszug, wie er am Ende von Pfad A steht: jeder Fund mit Schweregrad, Maßnahme und dem DORA-Artikel, auf den er sich bezieht. Das Mapping ist der Grund, warum der Bericht in einer Prüfung ohne Übersetzungsarbeit verwendbar ist.

Finanzsektor-Pentest Report · Beispielhafter Auszug Muster
Befund Schwere Bezug
Vishing-Simulation: Kundenservice gibt Zugangsdaten nach Autoritäts-Pretext preis (Beispielwert)HochArt. 25 Abs. 1 DORA
Online-Banking-API: schwache Autorisierungsprüfung zwischen Kundenkonten (BOLA)KritischArt. 25 DORA
Drittanbieter-VPN: Zugang ohne Multi-Faktor-AuthentifizierungHochArt. 28 DORA
Kernbanksystem: veraltetes Schnittstellenprotokoll ohne VerschlüsselungHochArt. 25 DORA
Filiale: Netzwerkdose im Kundenbereich ohne Port-Absicherung erreichbarMittelArt. 25 DORA
Active Directory: fehlende Netzwerksegmentierung zwischen Filiale und ZentraleHochArt. 25 DORA
6 Findings · Maßnahmenplan inklusive DORA-Mapping Art. 24/25 und 28

Beispielhafte Darstellung, keine echten Kundendaten.

E-09

Relevante Module

Diese Tests decken euren DORA-Nachweis ab

Art. 24 bis 28 DORA verlangen unterschiedliche Nachweise. Wir decken den Teil ab, der sich technisch testen lässt. So setzen wir sie bei Finanzunternehmen zusammen. Welche Module ihr braucht, hängt davon ab, welche kritischen Funktionen im Register stehen und woran sie hängen.

DORA und TLPT für den Finanzsektor: eure Fragen

Der Basistest nach Art. 24/25 DORA betrifft alle Finanzunternehmen und läuft mindestens jährlich, meist auf Test- oder Produktivsystemen. Der Threat-Led Penetration Test (TLPT) nach Art. 26/27 ist deutlich aufwendiger: Er läuft ausschließlich auf echten Produktivsystemen, dauert mindestens 12 Wochen und ist nur für von der Aufsicht als bedeutend eingestufte Institute verpflichtend.

Weil der Gesetzgeber das bewusst so geregelt hat: Nach § 28 Abs. 6 BSIG gelten die zentralen Pflichten des BSIG (§§ 30, 31, 32, 35, 36, 38 und 39) nicht für Finanzunternehmen im Sinne von DORA, DORA geht hier als Spezialregelung (lex specialis) vor. Risikomanagement, Meldepflichten und Sicherheitstests richten sich für euch also nach DORA, nicht nach dem BSIG.

Wir stimmen vorab Zielgruppe, Pretexte und Eskalationsgrenzen mit euch ab, zum Beispiel ob ein Anruf bis zur Aufforderung einer Überweisung gehen darf oder vorher gestoppt wird. Die Anrufe selbst laufen kontrolliert und protokolliert. Im Anschluss erhaltet ihr eine Auswertung inklusive Rückmeldeverhalten und, wo sinnvoll, gezielten Awareness-Empfehlungen für einzelne Teams.

Nein, den vollständigen TLPT unter TIBER-DE führen wir bewusst nicht selbst durch, dafür schreibt Art. 27 DORA spezialisierte Testerteams mit besonderen Nachweisen vor. Was wir anbieten, ist die Vorbereitung darauf: ein TLPT-Readiness-Assessment, das Lücken vorab aufdeckt, damit der spätere, deutlich teurere TLPT nicht an vermeidbaren Basics scheitert.

Die Einstufung nimmt die Aufsicht vor, nicht ihr selbst, anhand von Kriterien wie systemischer Relevanz oder Transaktionsvolumen, unter anderem ab rund 150 Mrd. € verarbeitetem Zahlungsverkehr pro Jahr oder ab 1,5 Mrd. € Bruttoprämien bei zugleich über 10 Mrd. € Rückstellungen im Versicherungsgeschäft. Seid ihr unsicher, ob eure Größe in diese Richtung geht, klären wir das im kostenlosen Erstgespräch anhand eurer konkreten Kennzahlen.

Das hängt vom Scope ab: Anzahl der Systeme und Filialen, ob Vishing und Physical Testing eingeschlossen sind, ob es um einen reinen Basistest oder eine TLPT-Readiness-Vorbereitung geht. Nach dem kostenlosen Erstgespräch kennen wir euren Umfang und ihr bekommt ein transparentes Festpreisangebot.

Ein Basistest nach Art. 24/25 dauert je nach Scope typischerweise wenige Wochen, von der Terminfindung bis zum fertigen Bericht. Für ein TLPT-Readiness-Assessment braucht ihr meist etwas mehr Vorlauf, weil mehr Systeme und Stakeholder eingebunden sind. Der vollständige TLPT selbst dauert unter TIBER-DE mindestens 12 Wochen.

Indirekt ja: Art. 28 DORA verpflichtet euch als Bank, ein Register aller IKT-Drittparteien zu führen und deren Risiko zu bewerten. Das Register geht mindestens jährlich an die Aufsicht, bei der BaFin bis zum 31. März. Kritische Dienstleister können sogar direkt unter Aufsicht der europäischen Aufsichtsbehörden fallen. Wir prüfen im Rahmen unseres Pentests deshalb auch, wie eure Drittanbieter-Zugänge und -Schnittstellen abgesichert sind.

Die BaFin kann Auflagen erteilen, den Geschäftsbetrieb einschränken oder Bußgelder verhängen. DORA selbst nennt keine Beträge, sondern überlässt sie den Mitgliedstaaten. In Deutschland stehen bis zu 5 Mio. € auf eine unterlassene Meldung schwerwiegender Vorfälle und auf einen nicht durchgeführten TLPT, bis zu 500.000 € auf die übrigen Verstöße (§ 56 Abs. 5e in Verbindung mit Abs. 6 KWG). Seit 2026 ist die frühere Kulanzphase vorbei, die Aufsicht prüft aktiv.

Ja, aber nicht in derselben Tiefe. Art. 4 DORA sieht ausdrücklich einen Proportionalitätsgrundsatz vor: Umfang und Intensität der Anforderungen richten sich nach Größe, Risikoprofil sowie Art und Komplexität eurer Dienstleistungen. Die Verordnung erfasst laut ihrem Erwägungsgrund 3 rund 22.000 Finanzunternehmen in der EU, vom Großinstitut bis zum kleinen Zahlungsinstitut. Der Testumfang wird risikobasiert skaliert, die Pflicht selbst entfällt nicht.

Bereit für euren DORA-Nachweis?

In 30 Minuten klären wir, ob bei euch ein Basistest reicht oder eine TLPT-Readiness-Vorbereitung sinnvoll ist, und ihr bekommt ein unverbindliches, kostenloses Angebot.

Kostenloses Erstgespräch buchen Anfrage per Kontaktformular
Diese Seite als druckbaren Flyer (PDF) mitnehmen

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

Netzwerke & Vertrauenszeichen
Vertrauenszeichen des Bundesverbands IT‑Sicherheit (TeleTrusT)
Teilnehmer der Allianz für Cyber-Sicherheit
© AccessGranted X GmbH Zuletzt aktualisiert: 23.09.2026