VAPT (Schwachstellenanalyse und Penetrationstest)
Automatisierte Scans plus manuelle Tests durch zertifizierte Tester. Jeder Fund mit sicherem Proof of Concept belegt, nach CVSS bewertet und mit Lösung erklärt.
Angebot anfragen →Sicherheit
Finden Sie die Schwachstellen, bevor Angreifer es tun.
Manuelle Penetrationstests zuerst, 24/7-Überwachung und Compliance-Vorbereitung, mit unserem Security-Partner Dravincon. Berichte, mit denen Entwickler arbeiten und die Manager verstehen können.
Zusammenfassung der Prüfung
Retest bestanden
1
Kritisch
3
Hoch
7
Mittel
12
Niedrig
Beispiel zur Veranschaulichung. Jeder Fund behoben und geprüft.
- Führungserfahrung in NOC und Security Operations
- ~20 Jahre
- Führungserfahrung in NOC und Security Operations
- SOC-Überwachung und Incident Response
- 24/7
- SOC-Überwachung und Incident Response
- kritische Logikfehler bei einem Luftfahrtkunden gefunden und behoben
- 40+
- kritische Logikfehler bei einem Luftfahrtkunden gefunden und behoben
- Tests zuerst, jeder Fund sicher belegt
- Manuell
- Tests zuerst, jeder Fund sicher belegt
Was wir tun
Schwachstellen finden
- VAPT für Web, API, Mobile und Netzwerk
- Red Teaming: zielgerichtete Angriffssimulation
- Kostenloser Website-Scan: HTTPS, Header, Cookies
Erkennen und reagieren
- Managed Detection and Response (MDR)
- SOC-Betrieb: Überwachung rund um die Uhr
- Incident Response und Forensik
Compliance erreichen
- Vorbereitung auf ISO 27001
- Einhaltung des DPDP-Gesetzes
- Risikobewertung und Richtlinien
Sicher betreiben
- Härtung von Servern und Cloud
- Uptime- und Sicherheitsüberwachung mit Servertorch
- Verwaltete Server und Infrastruktur
Ihr Team erweitern
- Dedizierte Security Engineers
- Sichere Softwarebereitstellung
- Sicherheitsprüfung jedes Cruzetec-Launches
Security-Leistungen im Detail
Penetrationstest für Webanwendungen
Login, Sessions, Zugriffskontrolle, Zahlungen und Geschäftslogik geprüft nach OWASP Top 10:2025 und OWASP ASVS.
Angebot anfragen →API-Sicherheitstests
REST- und GraphQL-APIs geprüft auf fehlerhafte Autorisierung, Datenpreisgabe und fehlende Rate-Limits (OWASP API Security Top 10).
Angebot anfragen →Penetrationstest für mobile Apps (Android und iOS)
App-Binaries, lokaler Speicher, Certificate Pinning und die APIs dahinter, nach OWASP MASVS.
Angebot anfragen →Sicherheitsbewertung von Netzwerk und Cloud
Externe und interne Netzwerke, Firewalls und AWS-, Azure- oder GCP-Konfiguration geprüft nach CIS-Benchmarks.
Angebot anfragen →ISO-27001-Einführung und Audit-Vorbereitung
Gap-Analyse, Risikoregister, Erklärung zur Anwendbarkeit und Richtlinien für ISO/IEC 27001:2022, damit Sie vorbereitet ins Audit gehen.
Angebot anfragen →Einhaltung des DPDP Act 2023
Einwilligung, Hinweise, Datenverzeichnis, Aufbewahrung und Reaktion auf Datenpannen für Indiens Digital Personal Data Protection Act und seine Regeln.
Angebot anfragen →Vorbereitung auf SOC 2 und PCI DSS
Kontrollen, abgebildet auf die SOC-2-Kriterien oder PCI DSS v4.0.1, mit den Nachweisen, die Ihr Auditor verlangt.
Angebot anfragen →CERT-In-Compliance und Incident Response
Logging, Zeitsynchronisation und die 6-Stunden-Meldepflicht der CERT-In Directions 2022, plus ein getesteter Reaktionsplan.
Angebot anfragen →Red Teaming und Social Engineering
Zielgerichtete Angriffe, die technische und menschliche Schwachstellen kombinieren, wie ein echter Angreifer.
Angebot anfragen →Quellcode-Review
Manuelle und automatisierte (SAST) Prüfung Ihres Codes auf Injection, Geheimnisse und unsichere Logik vor dem Release.
Angebot anfragen →24/7-SOC-Überwachung und MDR
Erkennung und Reaktion rund um die Uhr, mit Warnungen in verständlicher Sprache.
Angebot anfragen →So läuft ein VAPT-Auftrag ab
-
01
Umfang
Kostenloses Gespräch, Rules of Engagement, ein Festpreisangebot. Zuerst wird die NDA unterschrieben.
-
02
Aufklärung
Wir kartieren Ihre Angriffsfläche aus Sicht eines Außenstehenden: Domains, APIs, Cloud und Menschen.
-
03
Ausnutzung
Manuelle, OWASP-konforme Tests. Jeder Fund mit einem sicheren Proof of Concept belegt.
-
04
Bericht
Management-Zusammenfassung plus eine Fix-Anleitung für Entwickler, live mit Ihrem Team besprochen.
-
05
Retest
Wir prüfen die Korrekturen und stellen eine Bestätigung aus.
- Testzeitfenster im Voraus vereinbart
- Keine zerstörerischen Payloads in Produktion
- Funde nur mit benannten Ansprechpersonen geteilt
- Nachweise nach dem Retest gelöscht
Standards, gegen die wir testen und vorbereiten
ISO/IEC 27001:2022
OWASP Top 10:2025
PCI DSS v4.0.1
HIPAA Security Rule
SOC 2
NIST CSF 2.0
CERT-In Directions 2022
DPDP Act 2023
RBI IT Governance
SEBI CSCRF
IRDAI
GIGW 3.0
Zertifizierungen des Teams
CC (ISC2)
EJPT
CAP
CNSP
CCNP (Cisco)
ITIL 4 Foundation
SAFe
Branchen
Behörden
Gesundheitswesen
Pharma und Fertigung
E-Commerce
Callcenter
Logistik und Luftfahrt
Banken, Versicherungen und Fintech
Medizinisches BPO für die USA
Aktuelle Projekte
Luftfahrt und Logistik
Grace Aviation
Red Teaming an großen Logistikstandorten. Über 40 kritische Logikfehler gefunden und behoben.
Medizinische Transkription
IDS Argus
Dringende AWS-Forensik und HIPAA-Vorbereitung für medizinische Server-Cluster im Ausland.
E-Commerce und Einzelhandel
The Amber Studios
VAPT- und DPDP-Arbeit zum Schutz großer Transaktionsvolumen und personenbezogener Kundendaten.
Organisationen, die vom Dravincon-Sicherheitsteam geschützt werden. Es sind Kunden von Dravincon, nicht von Cruzetec.
Jubilee Group
Grace Aviation
Grace Aviation
Everest Transportation
IDS Argus
5-Tek
Nufab Green
Nufab Green
Tadpoledz
Purba Travels
Purba Travels
Reisen & Tourismus
The Amber Studios
InnovaCaptab
Health Elevate
Health Elevate
Medizin & Wellness
Darisham
Darisham
Fragen zu VAPT und Compliance
Was ist VAPT?
Vulnerability Assessment and Penetration Testing. Die Analyse findet bekannte Schwachstellen mit Scannern; beim Penetrationstest versucht ein zertifizierter Tester, sie wie ein Angreifer auszunutzen, und belegt, welche echt sind.
Was kostet ein VAPT?
Das hängt vom Umfang ab: Anzahl der Anwendungen, APIs, Benutzerrollen und IP-Adressen. Wir klären den Umfang in einem kostenlosen Gespräch und senden innerhalb eines Werktags ein Festpreisangebot, ohne Überraschungen.
Wie lange dauert ein Penetrationstest?
Eine typische Webanwendung braucht 5 bis 10 Arbeitstage Tests, dann folgt der Bericht. Der Retest nach Ihren Korrekturen dauert meist 1 bis 3 Tage.
Wird der VAPT-Bericht für ISO-27001-, SOC-2- oder RBI-Audits akzeptiert?
Der Bericht folgt dem Format, das Auditoren erwarten: Umfang, Methode, Funde mit CVSS-Werten, Nachweise, Korrekturen und Retest-Ergebnisse, plus eine Bestätigung. Die endgültige Anerkennung entscheidet immer Ihr Auditor.
Was verlangt der DPDP Act von meiner Website?
Klare Hinweise und Einwilligung vor der Erhebung personenbezogener Daten, keine optionalen Tracker vor der Einwilligung, eine Möglichkeit zum Widerruf und zur Ausübung von Rechten, angemessene Sicherheitsmaßnahmen und Meldung von Datenpannen. Unser kostenloser Website-Check prüft die Grundlagen in 30 Sekunden.
Testen Sie auf der Produktionsumgebung?
Nur wenn Sie es wünschen, in vereinbarten Zeitfenstern und ohne zerstörerische Payloads. Die meisten Kunden geben uns für tiefere Tests eine Staging-Kopie.
Wissen Sie, wo Sie stehen.
Sagen Sie uns, was Sie betreiben. Wir legen den Testumfang fest, unterschreiben eine NDA und senden innerhalb eines Werktags ein Festpreisangebot.
Erbracht mit unserem Security-Partner Dravincon.