NIS2 verlangt Nachweise der Wirksamkeit
Mehr erfahren
Sicherheit, die Sie belegen können.
Laufend.
Mehr als ein Schwachstellenscan: Wir finden die Wege in Ihre Systeme und beweisen, welche davon wirklich funktionieren.
Danach stellen wir sicher, dass jede Behebung hält – dokumentiert in einem Nachweis-Dossier, mit dem Ihre Auditoren arbeiten können.
Auditoren fragen nach Nachweisen.
Haben Sie sie parat?
Jährliche Momentaufnahme
Ein Test, einmal im Jahr.
Befunde isoliert bewertet.
Kein Beleg, dass die Behebung wirkt.
Nachweis veraltet beim nächsten Release.
Mit Tracer
Nur, was wirklich ausnutzbar ist.
Verknüpft wie bei einem echten Angriff.
Ein Beweis für jeden Befund.
Jede Behebung erneut getestet.
Wann wurde Ihre Angriffsfläche zuletzt geprüft?
Bei den meisten Unternehmen: vor Monaten.
Ein jährlicher Pentest oder ein Audit belegt, was am Tag der Prüfung galt. Jedes Release, jede Abhängigkeit und jede neue Schwachstelle danach bleibt bis zum nächsten Mal ungeprüft.
Jährlicher Pentest
Tage seit der letzten Prüfung
Seitdem Dutzende Releases. Keines davon geprüft.
Mit Tracer
Tage seit der letzten Prüfung
Nachgeprüft im festen Takt – und nach jedem Release.
Tracer findet den Weg hinein, bevor Angreifer es tun.
Und beweist, dass er geschlossen ist.
Tracer arbeitet mit KI-Modellen, die für offensive Sicherheitsarbeit trainiert sind. Es nutzt eigens gebaute Werkzeuge, erinnert sich an jeden früheren Zyklus und lernt aus jedem Ergebnis – und ein zertifizierter Tester prüft alles, was es findet.
01
Jeden Weg hinein finden
Domains, Subdomains, Logins, APIs und Code von Drittanbietern – alles, was von außen erreichbar ist, in jedem Zyklus neu erfasst, damit nichts Neues durchrutscht.
02
Beweisen, was wirklich funktioniert
Schwachstellen werden zu Angriffspfaden verknüpft, jeder Pfad wird mit einem kontrollierten Exploit validiert. Sie erhalten einen Beweis und eine klare Priorität – nie eine Vermutung.
03
Sicherstellen, dass die Behebung hält
Nach Ihrer Behebung läuft derselbe Angriff erneut. Ein Befund schließt erst, wenn er nicht mehr funktioniert – mit dem Ergebnis in Ihrem Dossier.
Tracer findet, was da ist.
Und erfindet nie, was nicht da ist.
Drei Tracer-Läufe auf drei sehr unterschiedlichen Systemen. Jeder dauerte Minuten, jedes Ergebnis kam mit Nachweis, und auf Live-Systemen hat ein Mensch jeden eingreifenden Schritt freigegeben.
Live-Anwendung
3
Befunde in einer gehärteten Live-Anwendung: 1 mittel, 2 niedrig
Alles andere wurde getestet und als sauber dokumentiert. Keine aufgeblasenen Alerts, kein Füllmaterial.
Gehärteter Server
9
Befunde in einer verwundbaren Anwendung, 1 davon kritisch
Der gut konfigurierte Server darunter wurde korrekt als sauber bewertet – starke und schwache Stellen sauber unterschieden.
Testsystem
Minuten
vom ersten Blick bis zum vollständigen Nachweis auf einem bewusst schwachen Testsystem
Wenn es einen Weg gibt, geht es ihn ganz – von Anfang bis Ende, mit einem Nachweis für jeden Schritt.
So sieht ein echter Lauf aus.
Jeder Befund mit Beweis.
23
Befunde nach Konsolidierung
13
verifizierte Positiv-Kontrollen
17
priorisierte Maßnahmen, P1–P3
100 %
der Befunde mit Nachweis belegt
Referenzbefund 01
BESTÄTIGT · MITTEL
Unvollständige Zertifikatskette
Der Server liefert nur das Leaf-Zertifikat aus. Clients, die Zwischenzertifikate nicht selbst nachladen, scheitern an der Validierung – Integrationen brechen.
3
Client-Familien scheitern an der Validierung
Referenzbefund 02
BESTÄTIGT · MITTEL
Zahlungsskript ohne Integritätsprüfung
Der Checkout lädt ein Zahlungs-SDK eines Drittanbieters ohne Subresource Integrity – ein Lieferketten-Pfad zum Abgreifen von Kartendaten.
0
Integritätsprüfungen am Zahlungsskript
Referenzbefund 03
LEAD · NICHT VALIDIERT
Admin-API im Scope
Öffentliche Metadaten zeigen einen Admin-API-Scope beim Identity Provider. Nur ein authentifizierter Test kann ihn bestätigen oder ausschließen.
T3
an menschengeführten Test übergeben
Alles andere, was wir getestet haben, hat gehalten – und das Dossier listet genau auf, was getestet wurde. Die nächsten Fragen liegen hinter dem Login: Zahlungsstatus, Autorisierung, Admin-Zugriff. Genau dort setzt Tracer Deep Dive an.
Ein Scanner sagt Ihnen, was falsch sein könnte.
Tracer beweist, was es ist.
Scanner gleichen Softwareversionen mit Listen ab. Ein jährlicher Pentest geht in die Tiefe – einmal. Wir gehen in jedem Zyklus in die Tiefe und belegen jeden Befund mit einem Beweis.
Frage
Schwachstellenscanner
Jährlicher Pentest
Tracer
Wie oft getestet wird
Laufend, aber oberflächlich
Ein- bis zweimal im Jahr
In jedem Zyklus – und nach jedem Release
Ist das Risiko bewiesen?
Nein, es ist eine Vermutung
Ja, am Tag der Prüfung
Ja, mit einem validierten Exploit
Schwachstellen verknüpft
Nein
Manchmal
Ja, zu echten Angriffspfaden
Was bei Ihrem Team ankommt
Tausende Alerts
Ein langer Report
Eine kurze Liste, gereiht nach echtem Risiko
Wird die Behebung geprüft?
Eher nicht
Beim nächsten Test
Erneut getestet, dann geschlossen
Nachweis für Auditoren
Rohe Exporte
Ein Report pro Jahr
Ein Dossier, das aktuell bleibt
Sehen Sie den Unterschied an Ihrer eigenen Domain.
Kostenlos starten.
So tief gehen, wie Sie es brauchen.
Jede Stufe baut auf der vorherigen auf: Tracer Check zeigt, was sichtbar ist, Tracer Continuous beweist, was ausnutzbar ist – und in Tracer Deep Dive gehen unsere Tester so weit, wie ein Angriff gehen kann.
T1
Kostenlos
Tracer Check
Die Außensicht: was jeder im Internet über Ihre Domain sehen kann. Kein Aufwand auf Ihrer Seite.
TLS, Zertifikate und Kryptografie
Security-Header und CSP
Exponierte Hosts und Dienste
Login- und Identity-Oberfläche (passiv)
Kostenlos · eine Domain · einmalig
T2
Laufend
Tracer Continuous
Tracer testet Ihre Angriffsfläche im festen Takt, validiert, was ausnutzbar ist, und testet jede Behebung erneut.
Exploits validiert, mit Beweis
Maßnahmen gereiht von P1 bis P3
Erneuter Test nach jeder Behebung
Nachweis-Dossier in jedem Zyklus
Monatlich oder quartalsweise · Festpreis
T3
Menschengeführt
Tracer Deep Dive
Unsere zertifizierten Tester führen die tiefsten Pfade weiter: Zahlungsabläufe, Autorisierung und Geschäftslogik, von Anfang bis Ende.
Authentifizierte Tests
Business-Logik und Zahlungsintegrität
Komplette Angriffsketten, durchgängig
Unterzeichneter Report für Auditoren
Umfang je Projekt
Zuerst beheben, was zählt.
Belegen, dass es wirkt.
Sehen Sie an Ihrer eigenen Domain, wie wir priorisieren und Behebungen nachprüfen.
Befunde · gereiht P1–P3
3 gereiht
P1
Zahlungsskript ohne Integritätsprüfung
Kartendaten-Pfad über Fremdcode
P1
Unvollständige TLS-Zertifikatskette
Integrationen scheitern an der Validierung
P2
Veraltete OAuth-Flows aktiv
Größere Token-Exponierung
01
Mit dem Exponiertesten beginnen.
Jeder Befund wird von P1 bis P3 danach eingestuft, was tatsächlich erreichbar ist – nicht nach einem generischen Schweregrad.
Bestätigte Befunde und Leads werden nie vermischt
Jeder Befund trägt seinen Nachweis mit
Eine Priorität, die Sie vor der Geschäftsführung vertreten können
Maßnahme · TLS-Kette
Behoben
ssl.conf
41
SSLCertificateFile shop.crt
42
+ SSLCertificateChainFile chain.crt
43
SSLProtocol -all +TLSv1.2 +TLSv1.3
Verantwortlich · IT-Dienstleister
Umfang · ein Host
02
Die genaue Behebung, in klaren Worten.
Jede Priorität kommt mit einer konkreten Maßnahme, die Ihr Team oder IT-Dienstleister umsetzen kann: die Einstellung, der Header, das Zertifikat.
Geschrieben für die Verantwortlichen des Systems
Erst P1 beheben – die Liste sagt, was folgt
Ihr Team setzt die Änderung um – wir verändern Ihre Systeme nicht.
Nachprüfung · derselbe Test, wiederholt
Kette verifiziert
Gleiche Prüfung
Kettenprüfung
Dossier-Eintrag
Nach der Behebung erneut geprüft:
vollständige Kette ausgeliefert.
Befund geschlossen, Nachweis protokolliert.
03
Geschlossen heißt: Nachprüfung bestanden.
Nicht, dass ein Ticket geschlossen wurde. Wir lassen dieselbe Prüfung gegen das behobene System laufen und halten das Ergebnis im Nachweis-Dossier fest.
Dieselbe Prüfung, nach der Behebung wiederholt
Ergebnis und Datum manipulationssicher protokolliert
Ein Befund schließt nur, wenn die Nachprüfung besteht
Jede Fläche, die Sie nach außen zeigen.
Geprüft in Ihrem Takt.
Sie wählen den Takt. Jedes Release, jede Infrastrukturänderung und jede Behebung wird zusätzlich nachgeprüft.
Was wir prüfen
Webanwendungen
Identity & Login
TLS & Zertifikate
Header & CSP
DNS & Subdomains
Drittanbieter-Skripte
Wann wir prüfen
In Ihrem Takt
Monatlich
Quartalsweise
Individuell
Und bei jeder Änderung
Jedes Release
Jede Infrastrukturänderung
Jede Behebung, nachgeprüft
Autonome Tests.
Innerhalb der Grenzen, die Sie ziehen.
Autorisierter Scope
Domains und Grenzen schriftlich bestätigt, bevor die erste Anfrage rausgeht.
Den vereinbarten Scope, schriftlich
Freigabe durch Menschen
Jeder Report wird von einem zertifizierten Security-Experten geprüft.
Geprüfte und freigegebene Befunde
Prüfbare Nachweise
Jede Prüfung, jeder Befund und jede Behebung in einem manipulationssicheren Dossier protokolliert.
Eine Dokumentation für Ihren Auditor
Kontrollierte Ausnutzung
Exploits laufen nur im vereinbarten Scope, Schritt für Schritt und protokolliert. Kein Denial-of-Service, nichts bleibt zurück.
Beweise, ohne bleibende Änderungen
Verifizierte Behebung
Eine Behebung zählt, wenn die Nachprüfung besteht – nicht, wenn ein Ticket geschlossen wird.
Ein Nachprüfungsergebnis für jede Behebung
Wer dahintersteht
Verantwortet von David Lott
OSCP-zertifizierter Penetrationstester, Dozent an der Hochschule Harz und ISO-27001-CISO. Die Menschen, die Tracer bauen, testen in Tracer Deep Dive von Hand.
01
Ist das nur ein Schwachstellenscan?
Nein. Ein Scanner gleicht Softwareversionen mit einer Liste bekannter Probleme ab und hört dort auf. Tracer, unser KI-System, ist für offensive Sicherheitsarbeit trainiert: Es verknüpft Schwachstellen zu Angriffspfaden, validiert jeden davon mit einem kontrollierten Exploit, erinnert sich an frühere Zyklen und testet jede Behebung erneut. Ein zertifizierter Tester prüft jedes Ergebnis, bevor es Sie erreicht.
02
Was brauchen Sie von uns für den kostenlosen Tracer Check?
03
Kann die Analyse unsere Systeme stören?
04
Wie hilft das bei NIS2?
05
Was bekommt unser Team?
06
Was kostet das?
Sehen Sie, was das Internet sieht.
Kostenlos, für eine Domain.
Nennen Sie uns Ihre Domain. Innerhalb weniger Werktage erhalten Sie einen Kurzreport mit Ihren wichtigsten Befunden und den ersten Maßnahmen – unverbindlich.
Keine Installation, keine Zugangsdaten, kein Netzwerkzugriff
Eine Domain, ausschließlich von außen analysiert
Von einem zertifizierten Tester geprüft, bevor er Sie erreicht
Nichts läuft, bevor Ihre Berechtigung verifiziert ist
Richten Sie Tracer auf Ihre Domain.
Sehen Sie, was ein Angreifer finden würde.
Laufende Security-Assurance, zugeschnitten auf Ihre Systeme. Starten Sie mit dem kostenlosen Tracer Check – danach sprechen wir über Umfang und Takt.