JERVIS AEGIS

Ihre Schwachstellen. Gefunden, bevor jemand anderes sie findet.

Pentest mit schriftlich fixiertem Scope und Rules of Engagement. Priorisierter Findings-Report mit CVSS-Schweregraden (Kritisch bis Niedrig), Management Summary und optionalem Re-Test. Kein Sofort-Checkout, weil das rechtlich und technisch nicht möglich ist.

Pentest anfragen → Wie läuft das ab?

Klar definierter Scope · Nur freigegebene Systeme · Priorisierter Report

Scope vor dem Start Rules of Engagement CVSS-Risikobewertung Management Summary Optional Re-Test Preis nach Tier und Umfang, festgelegt im Scoping-Gespräch

Warum AEGIS? Ein Pentest zeigt Ihnen die echten Schwachstellen in Ihren Systemen, bevor ein Angreifer sie findet, und liefert einen priorisierten Findings-Report mit konkreten Behebungsempfehlungen als Ergebnis. Der Name stammt aus der griechischen Mythologie: der Schild von Zeus und Athene. Der Pentest prüft, ob Ihr Schild tatsächlich hält.

Für wen AEGIS passt: Sie haben Kundendaten, Bestellprozesse oder kritische Systeme und wollen wissen, was ein Angreifer tatsächlich ausnutzen könnte, mit klar fixiertem Scope und Rules of Engagement. Suchen Sie laufenden Schutz mit Firewall und Monitoring statt eines punktuellen Tests, passt JERVIS MOAT im Autopilot PROTECT besser. Wollen Sie zuerst einen allgemeinen Website-Befund zu SEO, Technik und Barrierefreiheit, ist der JERVIS Audit der richtige Einstieg.

Das Problem

Einbrüche bleiben monatelang unentdeckt. Prüfen Sie, bevor es jemand anderes tut.

Kundendaten, Bestellprozesse, interne Systeme. Wenn ein Angreifer schneller ist als Ihr IT-Team, wird aus einem technischen Problem ein Geschäftsproblem. IBM zeigt: im Schnitt dauert es 204 Tage, bis ein Einbruch entdeckt wird, plus weitere 73 Tage bis zur Eindämmung. Ein Pentest zeigt, was jetzt offen ist.

204

Tage dauert es im Schnitt, bis ein Einbruch überhaupt entdeckt wird.

IBM Cost of a Data Breach Report, 2023

weitere Tage dauert es im Schnitt, bis ein entdeckter Einbruch eingedämmt ist. Zusammen 277 Tage von Einbruch bis Eindämmung.

IBM Cost of a Data Breach Report, 2023

31%

der Angriffe starten über Schwachstellen-Exploitation, ein Anstieg von rund 5% im Jahr 2023. Damit in den DBIR-Ausgaben 2023 bis 2026 erstmals der häufigste Erstzugriffsvektor.

Verizon DBIR, Ausgaben 2023 und 2026

Ein Pentest liefert keine Garantie. Aber er liefert Klarheit über das, was jetzt offen ist. Was AEGIS prüft →

Leistungen

Was AEGIS liefert.

Kein Pauschalangebot ohne Scope. Was geprüft wird, welche Systeme freigegeben werden und in welchem Zeitfenster der Test läuft: alles schriftlich fixiert. Drei Tierstufen →

📝

Scope-Definition

Scope ist eine Vereinbarung, keine Richtlinie. Was im Scoping-Gespräch schriftlich fixiert wurde, wird geprüft. Nichts anderes. Systeme, Endpunkte und Angriffsvektoren: festgelegt, bevor der erste Test läuft.

⚖️

Rules of Engagement

Zeitfenster, erlaubte Methoden, Ansprechpartner, Notfall-Protokoll. Alles geregelt, bevor der erste Test läuft. Ohne Rules of Engagement kein Test.

📊

Findings-Report

Alle Schwachstellen mit CVSS-Risikobewertung (Kritisch, Hoch, Mittel, Niedrig), Reproduktionsschritt, Auswirkung und konkreter Behebungsempfehlung.

📄

Management Summary

Klare Sprache ohne Fachbegriffe. Was auf dem Spiel stand, was gefunden wurde, was als nächstes zu tun ist. Für Geschäftsführung und Versicherungen direkt verwendbar.

✅

Re-Test (optional)

Nach der Behebung prüfen wir auf Wunsch gezielt nach, ob die identifizierten Schwachstellen wirklich geschlossen sind.

Tierstufen

Drei Intensitätsstufen. Eine klare Abgrenzung.

Je nach Risikolage, Budget und Compliance-Anforderung wählen wir gemeinsam die passende Tierstufe. Jeder Tier baut auf dem vorherigen auf. Der Preis richtet sich nach Tier und Umfang und wird im Scoping-Gespräch festgelegt.

Vereinfacht gesagt: Tier 1 ist eine automatisierte Breitenprüfung Ihrer sichtbaren Angriffsfläche, Tier 2 eine gezielte manuelle Prüfung der kritischen Pfade wie Anmeldung und Schnittstellen, Tier 3 ein simulierter echter Angriff über mehrere kombinierte Schwachstellen hinweg.

Reconnaissance & Surface Scan

Angriffsfläche kartieren

Automatisierte Erkennung und Bewertung der extern sichtbaren Angriffsfläche. Keine aktiven Angriffsversuche, aber klare Aussage darüber, was ein Angreifer von außen sieht.

Port-Analyse und Service-Fingerprinting
WAF- und CDN-Erkennung
TLS-Konfiguration und Zertifikatsstatus
DNS-Analyse inkl. Subdomain-Ermittlung
Header- und Konfigurationsprüfung

Ergebnis: Angriffsflächen-Report mit Risikobewertung aller exponierten Endpunkte und priorisierten Handlungsempfehlungen.

Vulnerability Assessment

Schwachstellen gezielt analysieren

Gezielte Tiefenanalyse auf Basis der Tier-1-Ergebnisse. Aktive Tests auf bekannte Schwachstellenmuster in Applikation, Schnittstellen und Authentifizierung. Baut auf Tier 1 auf.

Web-Applikations-Tests inkl. Formular- und Session-Handling
API-Sicherheitsprüfung (REST, GraphQL)
Authentifizierungs- und Autorisierungslogik
OSINT: öffentlich verfügbare Informationen, Leaks, Supply-Chain-Checks
Konfigurationsschwächen in Cloud- und Serverumgebungen

Ergebnis: Priorisierter Findings-Report mit CVSS-Bewertung je Schwachstelle, Impact-Analyse und konkreter Behebungsempfehlung.

Full Pentest (Kill Chain)

Vollständiger Angriffsversuch

Simulierter, realer Angriff innerhalb des vereinbarten Scopes. Mehrere Schwachstellen werden kombiniert, um den maximalen erreichbaren Schaden zu belegen.

Exploit-Verkettung: mehrere Schwachstellen kombiniert
Business-Logic-Tests auf kritische Geschäftsprozesse
Post-Exploitation-Analyse (was wäre nach einem Einbruch möglich)
Privilege-Escalation-Szenarien
Laterale Bewegung im freigegebenen Scope

Ergebnis: Detaillierter Report mit Reproduktionsschritten je Angriffspfad, Nachweis des erreichbaren Schadens und Management Summary für Geschäftsführung und Versicherung.

Egal welcher Tier, jeder Report enthält:

CVSS-Risikobewertung (Kritisch, Hoch, Mittel, Niedrig)

Reproduktionsschritte je Finding

Impact-Analyse: was wäre im Ernstfall passiert

Konkrete Handlungsempfehlung je Schwachstelle

Management Summary ohne Fachsprache

Optional: Re-Test nach Behebung

Klarheit über Grenzen

Was AEGIS nicht macht.

Ein seriöser Pentest hat Grenzen. Diese Grenzen sind keine Schwäche, sondern Voraussetzung für belastbare Ergebnisse.

Kein automatisches Fixing

AEGIS findet und priorisiert Schwachstellen. Die Behebung liegt beim Entwicklungsteam des Kunden. Auf Wunsch begleiten wir den Prozess, aber der Code-Fix kommt von Ihrer Seite.

Keine Vollständigkeitsgarantie

Kein Pentest der Welt kann garantieren, dass alle Schwachstellen gefunden wurden. AEGIS liefert eine Momentaufnahme des definierten Scopes. Was außerhalb des Scopes liegt, bleibt unbekannt.

Kein Test ohne Scoping-Gespräch

Vor jedem Test steht ein Scoping-Gespräch. Scope, Zeitfenster, erlaubte Methoden und Ansprechpartner werden schriftlich fixiert. Ohne das läuft kein Test, aus rechtlichen und technischen Gründen.

Kein Test auf nicht freigegebene Systeme

Tests laufen ausschließlich auf Systemen, die im Scoping-Gespräch schriftlich freigegeben wurden. Kein Test außerhalb des vereinbarten Scopes, ohne Ausnahme.

So läuft’s ab

Vier Schritte. Kein Pentest ohne Vorbereitung.

Tests auf freigegebenen Systemen nach schriftlich fixiertem Scope. JERVIS prüft. Sie nehmen ab.

Pentest anfragen

Sie schildern kurz, was geprüft werden soll. Kein Formular-Overload, kein Sofort-Checkout.

Scoping-Gespräch

Scope, Rules of Engagement und Zeitfenster werden verbindlich festgelegt. Ohne das läuft kein Test.

JERVIS prüft

JERVIS führt den Pentest auf JERVIS-Technologie durch. Sie haben einen festen Ansprechpartner, kein anonymes Freelancer-Netzwerk.

Report & Abnahme

Sie erhalten den Findings-Report mit Risikobewertung und Management Summary. Auf Wunsch folgt ein Re-Test nach der Behebung.

Methodik und Qualitätsstandard

Wie AEGIS vorgeht.

Ein Pentest ist nur so gut wie die Methodik dahinter. AEGIS orientiert sich an etablierten Standards und macht das Vorgehen transparent.

Orientierung an OWASP Testing Guide und PTES. Das Vorgehen folgt den Prüfpunkten des OWASP Testing Guide (Webanwendungen und APIs) und den Phasen des Penetration Testing Execution Standard. Kein eigenwilliges Vorgehen, keine Blackbox ohne Methodik.

OWASP Testing Guide v4.2 / PTES

Jellyfish.media liefert AEGIS aktuell, mit dokumentierter Kill-Chain-Methodik und schriftlicher Einwilligung vor jedem Test. Alexander Mompo Handen ist direkter Ansprechpartner für jeden Test. Kein Freelancer-Pool, kein anonymes Netzwerk.

Jellyfish.media GmbH, Freiburg

Beispiel: Findings nach Schweregrad

Kritisch

15%

Hoch

30%

Mittel

40%

Niedrig

15%

Illustratives Beispiel. Verteilung variiert je nach Scope und System. Kein echter Messwert.

Häufige Fragen

Häufig gestellte Fragen

Warum gibt es keinen Sofort-Checkout für AEGIS?

Ein Pentest ohne vorheriges Scoping ist rechtlich und technisch nicht durchführbar. Scope, Systeme, Zeitfenster und Rules of Engagement müssen vor dem ersten Test schriftlich fixiert sein. Wer das überspringt, liefert kein Produkt.

Was kostet ein Pentest mit AEGIS?

Erst nach dem Scoping-Gespräch, abhängig von Tier und Umfang. AEGIS hat keinen Listenpreis, weil Scope und Aufwand je Projekt unterschiedlich sind. Preisübersicht → Was kostet ein Pentest →

Garantiert AEGIS, dass meine Systeme danach sicher sind?

Nein. Kein Pentest kann Sicherheit garantieren. AEGIS findet und priorisiert die Schwachstellen, die zum Zeitpunkt des Tests im definierten Scope vorhanden sind. Ein Pentest ist eine Momentaufnahme. Was gefunden wurde, steht im Report. Was nicht geprüft wurde, bleibt unbekannt.

Welche Systeme können geprüft werden?

Web-Applikationen, APIs, Netzwerk-Infrastruktur und Cloud-Umgebungen nach Absprache. Der Scope wird im Scoping-Gespräch verbindlich festgelegt. Tests laufen ausschließlich auf freigegebenen Systemen.

Was ist im Findings-Report enthalten?

Alle Schwachstellen mit CVSS-Risikobewertung (Kritisch, Hoch, Mittel, Niedrig), Reproduktionsschritt, Auswirkung, Behebungsempfehlung und eine Management Summary ohne Fachsprache. Auf Wunsch Re-Test nach der Behebung.

Wer führt den Pentest durch?

JERVIS. Sie haben einen festen Ansprechpartner, kein anonymes Freelancer-Netzwerk. Liefermodell erklärt →

Welcher Tier passt zu meinem Projekt?

Klären wir im Scoping-Gespräch. Als Orientierung: Tier 1 vor einem Relaunch oder Infrastrukturwechsel, wenn Sie wissen wollen, was von außen sichtbar ist. Tier 2 bei Compliance-Anforderungen oder gezielter Applikationsprüfung. Tier 3 bei Versicherungsanforderungen oder kritischer Infrastruktur: simulierter realer Angriff mit Kill-Chain-Analyse. Tiers können kombiniert werden.

Schwachstellen finden, bevor jemand anderes sie findet.

Ein kontrollierter Angriff auf Ihre Systeme, bevor es ein echter tut: Report mit bewiesenen Lücken.

Pentest anfragen → Alle Produkte ansehen

Von Tier 1 bis Tier 3, passend zu Risiko und Budget.

Thomas Stibenz

Antwort innerhalb von 24 Stunden. Keine Wartezeit.

Bewiesen, nicht vermutet. Der Report zeigt, was wirklich offen ist.