Das BSI-Gesetz definiert neun kritische Sektoren. Betreiber wesentlicher Anlagen ab definierten Schwellenwerten sind zur regelmäßigen Sicherheitsprüfung verpflichtet.
§ 8a BSIG verpflichtet KRITIS-Betreiber zur Umsetzung angemessener technischer und organisatorischer Maßnahmen. Ein Penetrationstest ist das anerkannte Instrument zum Nachweis.
KRITIS-Betreiber müssen Systeme nach dem Stand der Technik absichern. Ein Pentest belegt, dass diese Anforderung ernst genommen wird.
Die Sicherheitsmaßnahmen sind alle zwei Jahre gegenüber dem BSI nachzuweisen. Ein Pentest-Bericht ist ein zentrales Nachweisdokument.
Um Vorfälle korrekt einordnen und melden zu können, muss die Angriffsfläche bekannt sein. Ein Pentest schafft diese Transparenz.
Physische Zugänge zu Serverräumen, Leitwarten und Technikbereichen sind besonders schützenswert. Wir testen, ob diese Kontrollen standhalten.
Segmentierung von IT und OT, Firewall-Konfigurationen, privilegierte Zugänge: wir prüfen, ob euer Netzwerk eine echte Barriere darstellt.
Social Engineering ist einer der häufigsten Einstiegspunkte. Wir testen, wie gut eure Mitarbeiter Manipulationsversuche erkennen und abwehren.
KRITIS-Pentests erfordern besondere Sorgfalt: klare Scope-Definitionen, enge Abstimmung mit dem Betrieb und lückenlose Dokumentation für den BSI-Nachweis.
Gemeinsame Definition des Testumfangs unter Berücksichtigung betriebskritischer Systeme. Ausschlusszonen und No-Go-Bereiche werden verbindlich festgelegt.
Informationssammlung über öffentlich zugängliche Quellen, Netzwerk-Footprinting und Planung realistischer Angriffspfade auf eure Umgebung.
Manuelle Tests nach vereinbartem Scope. Wir arbeiten eng mit euren Betriebsverantwortlichen zusammen und kommunizieren kritische Findings sofort.
Bewertung jedes Findings nach technischem Schweregrad und operativem Business Impact - mit Fokus auf die Besonderheiten eurer KRITIS-Umgebung.
Vollständige Dokumentation aller Findings mit Handlungsempfehlungen, Management-Summary und BSI-Nachweisdokumentation gemäß § 8a BSIG.
KRITIS-Umgebungen haben besondere Anforderungen. Diese drei Module decken die kritischsten Angriffsvektoren ab und liefern den stärksten BSI-Nachweis.
Leitwarten, Serverräume, Technikbereiche: physischer Zugang ist bei KRITIS-Betreibern oft der unterschätzte Angriffsvektor. Wir prüfen, ob eure Zugangskontrollen standhalten.
Mehr erfahrenIT/OT-Segmentierung, SCADA-Zugänge, Firewall-Konfigurationen, privilegierte Konten: wir testen das Netzwerk ganzheitlich - mit besonderer Rücksicht auf betriebskritische Systeme.
Mehr erfahrenPrivilege Escalation, laterale Bewegungen, schwache Konten: ein kompromittiertes AD in einer KRITIS-Umgebung kann fatale Folgen haben.
Mehr erfahren
Think like an Attacker, Act as a Partner