Reale Angriffsfläche
Extern erreichbare Anwendungen, APIs oder digitale Kernprozesse.
RED Assessment
Der erste Angriff gehört Ihnen.
Wir klären gemeinsam, welche Systeme betrachtet werden dürfen, welche Grenzen gelten und welche Evidenz Ihr Team wirklich braucht. Vertraulich und ohne technische Aktion vor schriftlicher Freigabe.
Klare Grenzen
Benannte Ziele, erlaubte Aktionen, Budgets und Stop-Regeln.
Belastbare Evidenz
Validierte Findings, Priorisierung und ein definierter Retest.
Was betrachtet werden kann
Die Systeme, über die Ihr Geschäft erreichbar ist.
Der erste Scope bleibt absichtlich klein. Nicht maximale Breite, sondern ein klarer, reproduzierbarer Erkenntnisgewinn ist das Ziel.
Webanwendungen
Kundenanwendungen, SaaS-Produkte und geschäftskritische Weboberflächen.
Portale
Kunden-, Partner-, Händler- und Mitarbeiterportale mit Rollen und Workflows.
APIs
Öffentliche oder gezielt bereitgestellte Schnittstellen und deren Geschäftslogik.
Externe Cloud-Dienste
Ausgewählte, internetseitig sichtbare Dienste innerhalb eines eindeutigen Eigentumsnachweises.
Ob ein System geeignet ist, wird vor jeder technischen Aktion geprüft. Öffentliche Erreichbarkeit ist niemals eine Autorisierung.
Was Sie erhalten
Von der Freigabe bis zum verifizierten Fix.
Kein statischer Bericht, der am Tag seiner Übergabe veraltet. Das Ziel ist ein nachvollziehbarer Find–Fix–Verify-Zyklus für technische Teams und Entscheider.
Scope- und Kontrollplan
Ziele, Ausschlüsse, erlaubte Aktionen, Budgets, Zeitfenster, Ansprechpartner und Stop-Verfahren.
Validierte Findings
Nur reproduzierte Ergebnisse mit Angriffspfad, Wirkung und technischer Evidenz.
Zwei Ebenen Reporting
Management-Einordnung für Entscheidungen und technische Details für die Behebung.
Retest
Gezielte Nachprüfung behobener Findings und dokumentierter Abschlussstatus.
Der Unterschied
Scanner, klassischer Pentest oder RED?
KriteriumScannerKlassischer Pentestmindprio RED
Taktungkontinuierlichpunktuellon demand → kontinuierlich
Angriffspfadebegrenzttief, aber zeitgebundenautonom verfolgt
EvidenzSignaleExpertennachweisunabhängig reproduziert
Retesterneuter Scannach VereinbarungTeil des Zielprozesses
KontrolleKonfigurationRules of EngagementPolicy außerhalb des Modells
Technischer Stand
Erst im eigenen Labor beweisen. Dann zum Kunden.
Der aktuelle Prototyp hat seinen externen Kontrollrahmen ausschließlich gegen ein unveröffentlichtes, eigenes Mehrdienst-Ziel durchlaufen. Das ist ein Engineering-Nachweis – noch kein Beleg für allgemeine Kundenreife.
Was im Erstgespräch passiert
30 Minuten, um den sinnvollen nächsten Schritt festzulegen.
Angriffsfläche
Welche Systeme sind geschäftskritisch und grundsätzlich prüfbar?
Risikoprofil
Welche Folgen hätte ein erfolgreicher Angriff und wo liegen harte Ausschlüsse?
Assessment-Design
Welcher kleine, kontrollierte Scope kann schnell belastbare Erkenntnis liefern?
RED Signal
Was Angreifer, Agenten und Verteidiger gerade lernen.
Editorial Prototype
Geplant als täglich kuratierter Feed für Website, Newsletter, YouTube und Social – mit Quellenprüfung vor Veröffentlichung.
Wenn Angriffe mit Compute skalieren, reicht ein jährlicher Termin nicht mehr.
Was autonome Agenten an Geschwindigkeit, Parallelität und Ausdauer verändern – und welche Kontrollen Verteidiger jetzt brauchen.
Format in Vorbereitung ↗Ein CVE ist noch kein Angriff. Der Pfad entscheidet.
Warum verkettete Schwächen, Identitäten und Geschäftslogik wichtiger sind als die bloße Zahl offener Findings.
Format in Vorbereitung ↗Was eine KI behauptet, ist noch lange kein bestätigtes Finding.
Wie unabhängige Reproduktion, technische Evidenz und Retests aus einem Signal eine belastbare Entscheidung machen.
Format in Vorbereitung ↗Vertrauliche Anfrage
Passt RED zu Ihrer Situation?
Schicken Sie uns nur die Informationen, die für ein Erstgespräch nötig sind. Keine Zugangsdaten, keine internen Geheimnisse und keine Freigaben über dieses Formular.
- Antwort durch einen technischen Ansprechpartner
- Keine automatische Testausführung
- Scope und Autorisierung immer separat
Häufige Fragen
Vor dem ersten Gespräch.
Ist die Anfrage bereits eine Autorisierung?
Nein. Eine technische Prüfung beginnt ausschließlich nach separater schriftlicher Autorisierung, eindeutigem Scope und vereinbarten Stop-Regeln.
Ist RED schon für Kundensysteme freigegeben?
Die Website zeigt das geplante Produkt- und Serviceerlebnis. Der technische Reifegrad und zulässige Einsatzbereich werden im Gespräch transparent eingeordnet; unautorisierte oder öffentliche Tests finden nicht statt.
Bekommen wir eine lange Scanner-Liste?
Das Ziel sind wenige belastbare, priorisierte und reproduzierbare Angriffspfade. Ohne Evidenz wird ein möglicher Fund nicht als bestätigtes Finding ausgegeben.
Was kostet ein Assessment?
Der Leistungsumfang und damit die Preislogik werden aktuell validiert. Ein öffentliches Standardangebot wird erst nach belastbarer Pilotierung veröffentlicht.