SEKurity GmbH

Offensive Security · Deutschland · BSI-Methodik

Wir denken wieAngreifer.Damit Sie nicht die Nächsten sind.

Die SEKurity GmbH liefert echte, wiederholbare Angriffsszenarien — von der Einzel-Anwendung bis zur unternehmensweiten Simulation. Kein Checklisten-Test, kein generischer Report. Ergebnisse, die Ihre Resilienz messbar verändern.

Erstgespräch anfragen Leistungen ansehen
live engagement logLIVE

[+] 03:41 lateral movement — tier-1 admin hash obtained

[+] 03:58 SAP RFC callback — SYSTEM session landed

[!] 04:12 detection gap: 41 min to first analyst ack

[~] 04:13 handing over to blue team for debrief

20+
Jahre kombinierte Offensive-Security-Erfahrung im Kernteam
Senior-led
jedes Engagement — keine Junioren im Alleingang
Reproduzierbar
PoC zu jedem Finding — kein bloßer CVSS-Score

01 — Leistungen

Vier Disziplinen. Ein Ziel: Ihre Angriffsfläche ehrlich kennen.

Adversary Simulation

Red Team Engagements, TLPT nach DORA-Vorgabe, zielgerichtetes Information Gathering. Wir reproduzieren das Vorgehen realer Bedrohungsakteure unter Ihren tatsächlichen Verteidigungsbedingungen.

Simulation planen

Penetration Testing

Web, Mobile, Perimeter, interne Infrastruktur, Active Directory, SAP. Manuelle, auditierbare Tests — keine Scanner-Reports, keine False-Positive-Friedhöfe.

Test anfragen

Security Awareness

Phishing-Kampagnen mit realistischen Pretexts und messbaren KPIs. Trainings, die Nutzer nicht belehren, sondern befähigen.

Kampagne entwerfen

Compliance

NIS-2 und DORA sind keine Checkbox-Übung. Wir übersetzen regulatorische Anforderungen in technische Testpläne — und liefern Prüfspuren, die auditfest sind.

Anforderung prüfen

02 — Vorgehen

Ein Projekt ohne Überraschungen — außer denen, die wir finden.

  1. STEP · 01

    Scope & Threat Model

    Gemeinsames Threat Modeling, belastbare Zielvereinbarung, klarer Rules-of-Engagement-Rahmen. Kein Zeit-gegen-Material-Vertrag.

  2. STEP · 02

    Execution

    Zweier-Team-Prinzip, 4-Augen-Review vor jeder Eskalation. Tägliches Status-Update an Ihren technischen Ansprechpartner.

  3. STEP · 03

    Reporting & Debrief

    Executive-Zusammenfassung für die Leitung, technischer Bericht mit reproduzierbaren Proof-of-Concepts, Live-Debrief mit Fragerunde.

  4. STEP · 04

    Retest & Continuous

    Optionaler Retest geschlossener Findings, sauber dokumentiert. Auf Wunsch: begleitende Engagements über mehrere Quartale.

03 — Vertrauen

Zertifiziert. Branchenerprobt. Unabhängig.

Unsere Experten halten branchenübliche Zertifikate und arbeiten täglich an realen Mandaten:

  • OSCP
  • CRTO
  • CRTL
  • GPEN
  • GWAPT
  • CISSP
  • CEH

04 — Branchen

Fünf Muster, nach denen sich der Prüfumfang richtet.

Wir sortieren nicht nach Wirtschaftszweig, sondern nach dem, was den Test tatsächlich bestimmt: welche Systeme exponiert sind, wer daran arbeitet und welche Regulierung mitredet. Fünf Muster begegnen uns quer durch Branchen und Länder so regelmäßig, dass wir sie im Scoping von vornherein ansprechen.

  1. 01

    Produktion & OT

    Maschinenbau, Fertigung, Automotive-Zulieferer. Gewachsene Netze, in denen Office-IT und Produktion nie sauber getrennt wurden: Den Umfang bestimmen Segmentierung, Fernwartungszugänge und die Frage, was im laufenden Betrieb angefasst werden darf.

  2. 02

    Regulierte Betreiber

    Stadtwerke, Energieversorger, Wasser und Abwasser, Kliniken, Banken und Versicherer. Hier geben KRITIS, NIS-2 und DORA Prüftiefe und Nachweisform vor — was davon gefordert ist, gehört vor das Angebot und nicht in den Bericht.

  3. 03

    Öffentlicher Sektor

    Kommunen, Behörden, Hochschulen und ihre IT-Dienstleister. Viele Fachverfahren von vielen Herstellern, Bürgerdaten und enge Wartungsfenster: Der Test folgt den Schnittstellen zwischen diesen Verfahren, nicht dem Organigramm.

  4. 04

    Digitale Produkte & SaaS

    Softwarehäuser und Plattformbetreiber, deren Produkt selbst die Angriffsfläche ist. Mandantentrennung, Authentifizierung und API-Berechtigungen bestimmen den Umfang; mit dem CRA kommt der Nachweis über den gesamten Produktlebenszyklus dazu.

  5. 05

    Viele Standorte & Lieferkette

    Handel, Logistik, Kanzleien und alle mit vielen Niederlassungen oder Dienstleistern im Netz. Der kürzeste Weg hinein ist hier selten die Webanwendung, sondern ein Zugang, den jemand anderes verwaltet.

Die Liste grenzt niemanden aus: Der Prüfumfang folgt der Angriffsfläche, nicht dem Wirtschaftszweig. Steht Ihr Fall hier nicht, ordnen wir ihn im Erstgespräch ein.

05 — Nächster Schritt

Bereit, Ihre Angriffsfläche ehrlich zu sehen?

Ein unverbindliches Erstgespräch dauert 30 Minuten. Danach wissen Sie, was sinnvoll ist — und was nicht.

Erstgespräch anfragen