AccessGranted Continuous Pentest im Monatsabo
Automatisierter Pentest eurer Angriffsfläche im Monatstakt, mit realen Exploit-Versuchen statt Signaturabgleich. Einmal im Monat setzt sich euer Pentester mit euch hin, geht die Ergebnisse durch und priorisiert mit euch, was als Nächstes zählt.
Als Ergänzung zum Jahres-Pentest oder als Einstieg ins Pentesting, wenn der große Test noch warten muss.Zum Monatsende
Euer Pentester geht die Ergebnisse mit euch durch, ordnet sie ein und priorisiert.
wiederholt sich jeden Monat
Wer schon jährlich testet, deckt mit Continuous die Monate dazwischen ab. Wer noch nicht so weit ist, fängt damit an.
Die Ergänzung
Der Jahres-Pentest geht zu einem festen Termin in die Tiefe. Continuous testet in den Monaten dazwischen weiter, prüft eure Behebungen nach und hält den Draht zu eurem Pentester.
Der Einstieg
Weil das Budget gerade nicht reicht oder weil noch umgebaut wird. Mit Continuous fangt ihr trotzdem jetzt an: jeden Monat ein automatisierter Pentest mit echten Exploits und ein Review mit eurem Pentester.
Zwei Sätze, die wir oft hören
„Für einen großen Pentest haben wir gerade kein Budget.“
„Wir bauen gerade noch um. Den Pentest machen wir, wenn alles fertig ist.“
Wir haben oft erlebt, dass ein Pentest verschoben wird. Das Budget ist für dieses Jahr verplant, das ISMS ist noch nicht fertig, die Migration läuft noch. Das ist nachvollziehbar. Nur warten Angreifer nicht, bis ihr bereit seid. Continuous ist unsere Antwort darauf: echte Exploits jeden Monat, ein Pentester, der die Ergebnisse mit euch durchgeht, und ein Preis, der auch in ein knappes Budget passt.
Etwas zu tun ist besser als nichts zu tun.
Continuous ersetzt keine manuelle Tiefenprüfung. Es sorgt dafür, dass eure Systeme bis dahin nicht ungeprüft bleiben.
Ein Pentest. Die Plattform versucht den Exploit, statt nur die Versionsnummer zu melden.
Ausnutzbar? Unbekannt.
Ein Schwachstellenscanner gleicht Signaturen ab. Er erkennt eine Softwareversion, sucht die passenden CVE-Nummern und schreibt sie in eine Liste. Ob die Lücke in eurer Umgebung tatsächlich ausnutzbar ist, bleibt offen.
Ausnutzbar? Beantwortet.
Unsere Testplattform geht den Schritt weiter. Sie führt reale Exploit-Versuche aus, verfolgt Privilege-Escalation-Pfade, etwa in eurer Active-Directory-Umgebung, und dokumentiert, ob und wie weit ein Angreifer käme. Am Ende wisst ihr, welche Schwachstellen bei euch wirklich zählen.
Externe Endpunkte werden monatlich getestet. Den Takt für interne Exploit-Läufe, insbesondere im Active Directory, legen wir im Scoping-Gespräch mit euch fest, je nach Umfang und Kritikalität auch etwas seltener.
Euer Pentester geht die Ergebnisse persönlich mit euch durch – im monatlichen Rhythmus.
Die Plattform liefert Findings.
Was sie für euer Unternehmen bedeuten, klärt sich im Gespräch.
Deshalb gehört zu jedem Zyklus ein Termin mit einem Pentester von AccessGranted: ein fester Ansprechpartner, der eure Umgebung mit der Zeit kennt und einschätzen kann, welches Finding bei euch wirklich kritisch ist.
Viele Scan- und Attack-Simulation-Plattformen enden beim Dashboard.
Rückfragen laufen über ein Ticket oder einen Chatbot.
Bei uns sitzt euch jemand gegenüber, der die Ergebnisse kennt und euch antwortet.
So läuft das Review-Meeting
Was ist neu, was ist behoben, was ist wieder aufgetaucht.
Ein CVSS-Wert kennt eure Prozesse nicht. Der Pentester bewertet, was ein Finding in eurer Umgebung bedeutet.
Was eure IT als Nächstes anpackt und was warten kann.
Eure IT fragt, der Pentester antwortet. Im Gespräch, mit Blick auf eure Systeme.
Damit der nächste Zyklus zeigt, ob die Maßnahmen gewirkt haben.
„Florian stand uns jederzeit als kompetenter Ansprechpartner zur Verfügung, hat Fragestellungen schnell und fundiert beantwortet und uns bei der Priorisierung und Umsetzung geeigneter Maßnahmen unterstützt.“
Die Plattform testet weiter, ihr seht jederzeit den Stand, und behobene Findings werden im nächsten Zyklus automatisch nachgeprüft.
nächster Zyklus
Status jederzeit live in app.access-granted.de
Status, Findings und Verlauf jederzeit über eure bestehende Kundenplattform app.access-granted.de, nicht erst im finalen Report.
Jede behobene Schwachstelle wird im nächsten Zyklus erneut geprüft. Ohne Zusatzangebot, ohne Nachbeauftragung.
Derselbe Pentester, den ihr aus dem Review-Meeting kennt, bleibt euer Ansprechpartner.
ASM prüft automatisch, was von außen sichtbar ist: Subdomains, offene Ports, Zertifikate und Domains, die eurer eigenen zum Verwechseln ähnlich sehen. Das ergänzt die Exploit-Tests um die Außensicht zwischen den Zyklen.
Subdomains, offene Ports und laufende Dienste werden automatisch erfasst, auch die, von denen niemand mehr weiß, dass sie noch online sind.
Ablaufende Zertifikate, exponierte Konfigurationsdateien und im Code vergessene API-Schlüssel fallen auf, bevor sie zum Vorfall werden.
Automatisch einmal pro Woche und Domain. Das reicht, um neue Subdomains, ablaufende Zertifikate oder frisch registrierte Fake-Domains rechtzeitig zu bemerken.
Buchbar als Zusatz zu Continuous oder komplett eigenständig, ganz ohne externe oder interne Endpunkte.
Endpunkte und ASM-Domains eingeben, Laufzeit wählen, Ergebnis in Echtzeit. Die Servicepauschale deckt Plattform, Reporting und das monatliche Review-Meeting ab.
Bitte zunächst Endpunkte und Laufzeit auswählen, damit wir euch ein passendes Angebot erstellen können.
Extern erreichbare Systeme, z.B. Webserver, VPN-Gateways, Mailserver.
Interne Endpunkte inkl. Active-Directory-Umgebung. Die Testtiefe (z.B. AD-Exploit-Läufe) stimmen wir im Scoping-Gespräch mit euch ab, ggf. in reduziertem Takt je nach Umfang.
Überwachte Domains für Attack Surface Management. Auch ohne externe/interne Endpunkte buchbar.
Vertragslaufzeit
Fällig einmalig bei Buchung mindestens eines internen Endpunkts, nicht Teil der monatlichen Rate.
Alle Preise verstehen sich netto zzgl. gesetzlicher USt. Dieses Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB.
Ein klassischer Jahres-Pentest ist eine fundierte Tiefenprüfung zu einem festen Zeitpunkt – für viele Anforderungen genau richtig. Continuous verteilt diese Tiefe auf den ganzen Jahresverlauf und ergänzt sie um Re-Tests und ein monatliches Gespräch.
Klassischer Jahres-Pentest1× pro Jahr, dafür in voller Tiefe
AccessGranted Continuous12× pro Jahr, automatisiert
Klassischer Jahres-PentestAuf Wunsch als eigenes Projekt
AccessGranted ContinuousInklusive, jeden Zyklus
Klassischer Jahres-PentestPDF-Report per E-Mail
AccessGranted ContinuousMonatliches Meeting mit eurem Pentester
Klassischer Jahres-PentestVollständige Tiefenprüfung zum vereinbarten Termin
AccessGranted ContinuousExploit und Privilege Escalation, jeden Monat neu
Klassischer Jahres-PentestIm Report zum Projektabschluss
AccessGranted ContinuousLive über app.access-granted.de
Testumfang, Systeme, Rahmenbedingungen: 30 Minuten, die den Rest planbar machen.
Zugänge und Freigaben für die automatisierte Testplattform einrichten.
Vollständiger Baseline-Test inklusive Report und gemeinsamer Erstbesprechung.
Zu Testtakt, Ausfallrisiko, NIS2, Laufzeit und Einstieg.
Externe Endpunkte werden automatisiert im monatlichen Rhythmus getestet. Für die interne Testtiefe, insbesondere Active-Directory-Exploit-Läufe, stimmen wir den genauen Takt im Scoping-Gespräch mit euch ab. Je nach Umfang und Kritikalität kann hier ein leicht reduzierter Rhythmus sinnvoll sein.
Unabhängig vom Takt gilt: Bereits gemeldete Findings werden im jeweils nächsten Zyklus automatisch erneut verifiziert (Re-Test), ohne dass ihr das gesondert beauftragen müsst.
Wir gehen kontrolliert vor. Vor dem ersten Testzyklus definieren wir gemeinsam Rules of Engagement: kritische Systeme, Wartungsfenster und Eskalationswege. Unsere automatisierte Testplattform ist auf Stabilität ausgelegt und nutzt Safety-Checks, bevor riskantere Aktionen wie Privilege-Escalation-Versuche ausgeführt werden.
Ein Restrisiko lässt sich bei realer Exploit-Simulation nie vollständig ausschließen. Deshalb stimmen wir Testtiefe und -umfang im Scoping-Gespräch bewusst auf euer Umfeld ab, statt ungefiltert alles auf allen Systemen auszuführen.
AccessGranted Continuous liefert euch regelmäßige, dokumentierte Testergebnisse und Reports, die als Baustein für den Nachweis kontinuierlicher Wirksamkeit eurer Sicherheitsmaßnahmen dienen können, etwa im Kontext von NIS2 (Art. 21) oder § 30 BSIG. Für Betreiber kritischer Anlagen sind sie eine Grundlage für den Nachweis nach § 39 BSIG, der selbst per Sicherheitsaudit, Prüfung oder Zertifizierung erfolgt. Einmal im Jahr stellen wir euch zusätzlich eine Bescheinigung aus, die bestätigt, dass der Pentest durchgehend über das gesamte Jahr durchgeführt wurde.
Ob und in welcher Form das für euren konkreten Compliance-Nachweis ausreicht, hängt von eurer individuellen Situation ab. Wir empfehlen, das im Erstgespräch mit uns und ggf. mit eurem Rechtsberater abzustimmen. Wir ersetzen keine Rechtsberatung.
Ihr startet standardmäßig mit 1 Jahr Laufzeit, ohne Rabatt. Bucht ihr 3 Jahre, sinkt eure monatliche Rate um 5%, bei 5 Jahren um 10%. Der Rabatt gilt ausschließlich auf die wiederkehrende monatliche Rate, nicht auf die einmalige Einrichtungsgebühr bei internen Endpunkten.
Welche Laufzeit sich für euch lohnt, hängt davon ab, wie sicher ihr euch über euren Bedarf in den nächsten Jahren seid. Bei wachsenden Unternehmen mit sich änderndem Endpunkt-Bestand ist oft 1 Jahr flexibler, bei stabilem Bestand rechnet sich der Rabatt über die Laufzeit deutlich. Wir beraten euch dazu gerne im Erstgespräch.
Nein, und dafür ist es auch nicht gedacht. Ein manueller Pentest geht bei ausgewählten Systemen in eine Tiefe, die ein automatisierter Test nicht erreicht. Physical, Social Engineering und Red Teaming bleiben ohnehin eigene Tests.
Continuous ist die laufende Ergänzung dazu oder euer Einstieg, solange ein großer Pentest noch nicht drin ist. Kommt er später dazu, läuft Continuous als Absicherung zwischen den Tests weiter.
Wir raten davon ab, bis dahin zu warten. Während eines Umbaus laufen alte und neue Systeme oft parallel, und Übergangslösungen bleiben länger als geplant. Genau solche Stellen nutzen Angreifer. Continuous zeigt euch schon in dieser Phase, was von außen und im internen Netz ausnutzbar ist, und die Findings fließen direkt in den Umbau ein, statt hinterher nachgebessert zu werden.
Welche Systeme schon während des Umbaus in den Test gehören, klären wir im Scoping-Gespräch. Den großen Pentest plant ihr, wenn alles steht.
Unverbindliches Erstgespräch: wir schauen gemeinsam, ob Continuous bei euch als Ergänzung oder als Einstieg passt, und zeigen euch, wie ein Review-Meeting aussehen würde.
