Ein Pentest ist
die Schlossprüfung
für Ihre digitale Tür.

Die Hausanalogie

Bevor Sie in ein neues Zuhause einziehen, prüfen Sie die Schlösser, Fenster und die Alarmanlage. Ein Pentest macht genau das — aber für Ihre Website, Anwendung und Ihr Netzwerk.

Kontrollierter Angriff

Unsere Spezialisten greifen Ihre Infrastruktur genauso an, wie es ein echter Hacker tun würde — aber unter Vertrag, ohne Schaden und mit einem vollständigen Bericht am Ende.

Bericht + Behebung

Sie erhalten einen detaillierten Bericht: was wir gefunden haben, wie gefährlich es ist, wie man es behebt. Kein Füllmaterial — nur Maßnahmen.

ohne Pentest

Sie erfahren von der Lücke after den Einbruch

⚠ Leck von Kundendaten
⚠ Betriebsausfall zu Spitzenzeiten
⚠ Bußgelder von Aufsichtsbehörden
⚠ Reputationsschaden

Risikostufe

92%

mit Pentest

Sie schließen die Lücken before den Angriff

✓ Schwachstellen gefunden und behoben
✓ Team weiß, wie zu reagieren ist
✓ Konformität mit Sicherheitsstandards
✓ Vertrauen von Kunden und Partnern

Risikostufe

14%

Interne Medianwerte aus unseren Projekten, 2024–2026; n = 120+. „Risiko“ ist ein zusammengesetzter Wert, bei dem jeder offene Befund nach Schweregrad und Ausnutzbarkeit gewichtet wird; gemessen bei der Berichtübergabe und erneut einen Monat nach der Behebung.

So funktioniert es.
Fünf Schritte zu einer sicheren Infrastruktur.

01

Umfang & Briefing

Wir besprechen, was getestet werden soll, welche Systeme kritisch sind und wo die Grenzen liegen. Wir unterzeichnen ein NDA und einigen uns auf die Rules of Engagement.
1–3 days
02

Recon & Mapping

Wir kartieren die Angriffsfläche: welche Dienste exponiert sind, welche Technologien verwendet werden und wo die schwachen Einstiegspunkte liegen.
3–5 days
03

Ausnutzung

Wir nutzen Schwachstellen sicher aus: Wir untersuchen, wie weit ein echter Angreifer realistisch in Ihre Systeme vordringen könnte.
5–14 days
04

Berichterstattung

Wir liefern einen zweistufigen Bericht: eine Executive Summary für die Führung und technische Details für das Engineering-Team.
3–5 days
05

Re-Test & Support

Nach Ihren Korrekturen führen wir einen Nachtest durch, um zu bestätigen, dass die Lücken geschlossen sind. Wir stehen für Fragen weiterhin zur Verfügung.
2–3 days

Der Spielplatz.
Versuchen Sie, es selbst anzugreifen.

Vier praktische Demos, die zeigen, wie Angreifer Schwachstellen finden — und wie viel davon in Sekunden geschieht. Jede ist sicher, läuft in Ihrem Browser und ist zu 100 % harmlos.

Round 1 / 10 Score 0/10 easy

So wird gespielt

Zehn reale Code-Schnipsel von leicht bis schwer über PHP, Python, Node.js, Rust, Go und SQL. Einige verbergen eine klassische Schwachstelle, einige sind nur knifflige Logik, einige sind tatsächlich sauber. Markieren Sie, was Sie erkennen — ein Punkt pro richtiger Einschätzung.

Scoring

9–10/10 — Sie würden ein Senior-AppSec-Interview bestehen.
6–8/10 — solider Prüfer, Raum zur Verbesserung.
3–5/10 — die Grundlagen sind da, die subtilen entgehen Ihnen.
0–2/10 — durchsuchen Sie Ihr Repo nach md5() tonight.

Worauf zu achten ist

Injection (SQL, Command, NoSQL) · fehlerhafte Authentifizierung · hartkodierte Geheimnisse · IDOR · SSRF · Path Traversal · schwache Kryptografie · Race Conditions · unsichere Deserialisierung · fehlende Authentifizierungsprüfungen.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

Was gerade passiert ist

Ein klassischer Credential-Stuffing-Angriff. Der Angreifer wirft eine Wortliste mit 100.000 Passwörtern auf gängige Benutzernamen. Wenn ein 403 zurückzukehren beginnt — meist durch Rate-Limiting — rotiert das Tool durch einen Proxy-Pool und macht weiter.

Das Warnsignal

keine WAF · kein Rate-Limit · keine Anomalieerkennung

Tausende fehlgeschlagene Anmeldungen von rotierenden IPs sollten jedes Dashboard aufleuchten lassen. Hier wird nichts ausgelöst. Schließlich one Passworttreffer.

Defense

Begrenzen Sie die Rate pro Konto (nicht IP), fügen Sie MFA hinzu, alarmieren Sie bei geografischen Anomalien, sperren Sie bekannte Proxy-Pools und verlangen Sie CAPTCHA nach N Fehlversuchen.

Round 1 / 10 Score 0/10

10 moderne Phishing-Köder

Zehn Szenarien basierend auf den wichtigsten 2025–2026 beobachteten Techniken: OAuth-Device-Code, QR-Code-Quishing, Missbrauch von Google Calendar/Meet/Forms, AiTM-Reverse-Proxys, klassisches BEC, KI-Stimmenklon-Vishing mit VoIP-Anrufer-ID-Spoofing und mehr. Eine Runde = ein reales Muster.

Scoring

9–10/10 — diese würden Sie in der Produktion erkennen.
6–8/10 — solide Instinkte, Raum zur Verbesserung.
3–5/10 — ein phishing-resistentes MFA-Deployment steht auf Ihrer Roadmap.
0–2/10 — Ihr Postfach ist ein Sicherheitsvorfall, der nur darauf wartet zu passieren.

Die neue Realität

Phishing ist nicht mehr nur E-Mail. Stimme kann aus 3 Sekunden geklont werden an Audio. Die Anrufer-ID lässt sich trivial über VoIP (Twilio, 3CX, Asterisk) spoofen. KI-generierte Phishing-Versuche haben eine 60 % höhere Klickrate. Die Prüfung der Absenderdomäne reicht heute nicht mehr aus.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

Dev-Teams pushen Code schnell und vergessen manchmal aufzuräumen. Wählen Sie einen vergessenen Pfad und sehen Sie, was ein Angreifer dahinter findet.

dev.acme-corp.com

// click a path above to probe it

Was los ist

Jeder Pfad ist eine reale Leak-Kategorie. Angreifer setzen Tools ein wie dirsearch or ffuf die Tausende davon in Sekunden ausprobieren — wenn ein Treffer 200 OK ist das Spiel vorbei.

Die Folge

Ein einzelner exponierter .git Ordner ermöglicht es einem Angreifer, Ihre gesamte Quellcode-Historie zu rekonstruieren — einschließlich gelöschter Commits mit Geheimnissen.

Defense

Blockieren Sie Dotfiles & Dev-Pfade am Edge (nginx / WAF), führen Sie automatisierte Leak-Scanner in der CI aus, erzwingen Sie saubere Build-Artefakte.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

Der erste Schritt des Angreifers

Vor allem anderen kartiert ein Pentester Ihre Angriffsfläche. Jede vergessene Subdomain ist ein potenzieller Einstiegspunkt — ein Staging-Server, ein altes internes Tool, ein Wiki.

So funktioniert es

subfinder > dnsx > httpx > nuclei

Certificate-Transparency-Logs, DNS-Brute-Forcing und passive Quellen fördern Subdomains zutage, an deren Veröffentlichung sich niemand erinnert.

Achten Sie auf

Alles, was gekennzeichnet ist als dev, staging, test, old, or admin. Sie verfügen selten über die Sicherheitshärtung Ihrer Hauptseite.

mobscan :: static analysis (.apk / .ipa) MOBSF

Wählen Sie eine App zum Scannen

keine App ausgewählt

// pick an app above and press "Start scan" to begin static analysis

Was dies tatsächlich tut

Echte Mobile-Pentester entpacken .apk / .ipa Archive (es sind nur ZIP-Dateien), dekompilieren den Bytecode mit Tools wie jadx, apktool, or MobSF und durchsuchen Sie anschließend den dekompilierten Quellcode nach Geheimnissen, Endpunkten und unsicheren Mustern.

Warum es wichtig ist

Laut Zimperiums Mobile Threat Report 2025 enthalten nahezu die Hälfte der mobilen Apps noch immer hartkodierte Geheimnisse, 60 % der iOS-Apps haben keinen Reverse-Engineering-Schutz, und 1 von 3 Android-Apps sensible Daten leaken.

Wonach wir suchen

Hartkodierte API-Schlüssel & Tokens · AWS/Stripe/Firebase-Geheimnisse · private Backend-Endpunkte · aktiv gelassene Debug-Flags · deaktiviertes Certificate Pinning · fehlende Rate-Limit-Header · allowBackup="true" · exported="true" activities.

Services.
Für jede Angriffs fläche.

01

Web-Pentest

Web-Anwendungs- & API-Tests nach der OWASP-Methodik. SQLi, XSS, IDOR, SSRF, Logikfehler — alles, was ein Angreifer ausnutzen könnte.

— OWASP Top 10 + Business Logic
— Authentifiziert & unauthentifiziert
— API / GraphQL / WebSocket
— Manuelle + automatisierte Analyse

beliebt

02

Netzwerk-Pentest

Externer und interner Perimeter. Wir untersuchen, wie weit ein Angreifer vordringen kann — aus dem Internet oder bereits im Büro.

— Extern & Intern
— AD / Domänen-Kompromittierung
— Privilege Escalation
— Lateral Movement

03

Red Team

APT-Simulation mit vollem Umfang. Social Engineering, Phishing, physischer Zugang — wir testen nicht nur Systeme, sondern auch Ihre Mitarbeiter.

— MITRE ATT&CK TTPs
— Phishing & Vishing
— Physisches Eindringen
— Purple-Team-Zusammenarbeit

Warum PWN-ALL.

Wir sind kein Schwachstellenscanner. Wir sind ein Team, das wie ein Angreifer denkt. Jeder Einsatz wird von Ingenieuren mit echter Red Team- und Bug Bounty-Erfahrung geleitet.

95%
der kritischen Befunde treten innerhalb der ersten 2 Wochen zutage: 120+
Unternehmen haben uns ihre Infrastruktur anvertraut: 340+
in unseren Berichten dokumentierte kritische Sicherheitslücken: 72h
maximale Reaktionszeit für dringende Anfragen

Risiko vs. Zeit — nach dem Pentest

highmedlow

W0

W1

W2

W3

W4

W6

W8

ohne Pentest Risiko bleibt durchgehend hoch — nach unserem Audit sinkt es innerhalb eines Monats im Median um 78 %.

Interne Medianwerte aus unseren Projekten, 2024–2026; n = 120+. „Risiko“ ist ein zusammengesetzter Wert, bei dem jeder offene Befund nach Schweregrad und Ausnutzbarkeit gewichtet wird; gemessen bei der Berichtübergabe und erneut einen Monat nach der Behebung.

Bereit zu sehen
Ihre Infrastruktur durch die Augen eines Angreifers?

Schreiben Sie uns direkt — kein Formular, kein Aufwand. Kostenlose 30-minütige Beratung, Scoping und Zeitplanschätzung innerhalb eines Werktags.

✓ Wir unterzeichnen zuerst die NDA
✓ Kein Spam, keine Kaltakquise
✓ Antwort innerhalb von 24 Stunden

// pick_a_channel

email hello@pwn-all.com pgp

signal Verschlüsselter Kanal

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

Die Hausanalogie

Kontrollierter Angriff

Bericht + Behebung

Umfang & Briefing

Recon & Mapping

Ausnutzung

Berichterstattung

Re-Test & Support

—

—

Risiko vs. Zeit — nach dem Pentest

Bereit zu sehenIhre Infrastruktur durch die Augen eines Angreifers?

Bereit zu sehen
Ihre Infrastruktur durch die Augen eines Angreifers?