Social Engineering
Social Engineering ist die Kunst der systematischen Arbeit mit Menschen. Wir setzen dies ein, um Sie besser auf mögliche Angriffe vorzubereiten. Ein Social-Engineering-Angriff kann über verschiedenste Medien und Arten erfolgen. Entsprechend vielseitig ist hier auch unser Angebot.
Gemein haben die folgenden Assessments, dass im Vorfeld eine genaue Abstimmung der Ziele und Nicht-Ziele als auch der Einschränkungen zum Schutz der Mitarbeitenden erfolgt. Da diese Tests darauf ausgelegt sind, neue Sicherheitslücken zu entdecken, ist ein klares Nicht-Ziel, etwaiges Fehlverhalten im Zuge des Projektes personenbezogen festzuhalten. Wir stellen uns klar gegen negative Folgen für Einzelpersonen aus diesen Assessments, anonymisieren Inhalte und Bildmaterial so gut wie möglich und setzen uns für eine transparente und gerechte Aufarbeitung von Ergebnissen ein.
Als gute Basis für das Testdesign eignen sich bestehende internen Schulungsunterlagen zur Erkennung von Angriffen. Auf diesen aufbauend können wir die Assessments so gestalten, dass sie neben dem Trainieren aktueller, realistischer Gefahren, auch die Inhalte Ihrer eigenen Schulungen abdecken und diese weiter unterstützen.
Gezielte Phishing-Tests
Bei diesen Assessments erarbeiten wir mit Ihnen auf Basis der aktuellen Trends und Ihrer eigenen Anforderungen, welche Szenarien am sinnvollsten für das Training Ihres Personals sind. Dies können generische Texte sein bis hin zu E-Mails, die auf Ihr Unternehmen oder Personengruppen (Spear Phishing) maßgeschneidert sind mit Links und/oder Anhängen, welche von uns vorbereiteten Code enthalten. Jedes Assessment ist einzigartig und genau auf Ihre Bedürfnisse zugeschnitten.
Test der technischen Phishing-Schutzmaßnahmen
In diesem Assessment testen wir, ob Ihre technischen Schutzmaßnahmen ausreichend gut gegen Phishing-E-Mails schützen. Auf dem Prüfstand stehen Spam-Filter, Antiviren-Lösungen auf den E-Mail-Gateways und Clients, Endpoint-Protection-Software als auch Data Leakage Prevention Software.
Voice-Phishing-Tests
Mit dem Anstieg der Häufigkeit von gefälschten Telefonanrufen, die zum Ziel haben, Personen zur Herausgabe von Informationen oder Installation von Schadsoftware zu überreden, ist es wichtig geworden, Mitarbeitende auf derartige Gefahren vorzubereiten. Mit gefälschten Absendernummern und AI-generierten Stimmenimitaten trainieren wir Ihr Personal auf mögliche Szenarien.
CEO-Fraud Simulationen
Als CEO-Fraud werden Angriffe bezeichnet, in welchen Mitarbeitende unter Vorgabe von gefälschter Identität von Angreifenden unter Druck gesetzt werden, um Geld an unbekannte Bankkonten zu überweisen. Abhängig von Ihren Kommunikationsprozessen umfasst diese Simulation einen Mix an unterschiedlichen Social-Engineering-Formen und Medien wie beispielsweise E-Mail, WhatsApp, MS Teams oder Anrufe.
USB / Media-Dropping
In USB-Geräten, aber auch USB-Kabeln, kann sich mittlerweile Schadsoftware verstecken. Mit diesem Assessment trainieren wir die Reaktion Ihres Personals, wenn diese oder ähnliche Medien wie CDs, finden und helfen Ihnen, die damit verbundenen Gefahren besser zu verstehen.
Mystery Guest / Physical Awareness Engagements
Als sogenannter Mystery Guest besuchen wir Ihr Unternehmen und versuchen, die mit Ihnen vereinbarten Ziele wie den Zugriff auf spezielle Dokumente oder IT-Systeme, zu erreichen ohne, dass wir spezielle IT-Hacking- oder physische Angriffe durchführen. Der Fokus liegt auf Social Engineering und dem Sicherheitsbewusstsein des Personals gegenüber betriebsfremden Personen. Während des Assessments machen wir unsere Präsenz immer mehr bemerkbar bis wir entdeckt werden. So erhalten Sie einen Überblick über jene Maßnahmen, die bereits gut implementiert sind und gelebt werden. Und auch die Mitarbeitenden gehen am Ende mit einem positiven Erlebnis und Lernerfolg aus dem Assessment.
Internes ISMS Audit 2025
Als Unternehmen unterziehen wir uns in Hinblick auf unser ISMS (Information Security Management System) selbst ebenfalls regelmäßigen Audits. Diese werden durch ein externes Unternehmen durchgefü...
Zukunftssichere Talente: Unterricht an der FH Hagenberg
Die Förderung junger Talente ist uns ein Anliegen, denn die Cyber-Security-Branche bleibt nur stark, wenn es engagierten Nachwuchs gibt. Deshalb sind unser Teammitglieder regelmäßig als Vortragen...
BCM Planspiel 2025
Ein leistungsfähiges Notfall- und Krisenmanagement hilft bei der Vorbereitung auf den Ernstfall. Deswegen führen wir unter anderem auch regelmäßig Planspiele im Zuge unseres Business Continuity Manage...
References & Case Studies
Energy 
Die Tücken von Cross-Site Request Forgery
Energy
Für eine Unternehmen im Energiesektor wurden zwei Webapplikationen überprüft. Der Fokus lag dabei auf Angriffsmöglichkeiten, die sowohl interne als auch externe Accounts in diesen Webapplikation haben könnten.
Während des Tests wurden mehrere Cross-Site-Request-Forgery-Schwachstellen identifiziert. Mit CSRF-Angriffen können Befehle im Kontext des Opfers durchgeführt werden, sollte das Opfer auf einen manipulierten Link klicken. Somit kann ein CSRF-Angriff, auf interne als auch auf extern registrierte User, zur Änderung des Account-Passworts durchgeführt werden. Dies hätte zur Folge, dass der Account des Opfers vollständig kompromittiert wird.
Um CSRF-Attacken zu verhindern, darf es nicht möglich sein, eine gültige Anfrage an die Webapplikation bereits im Vorfeld vorzubereiten. Meist wird dies mit einem Zufallswert sichergestellt, der sich mit jedem Aufruf ändert und auf Serverseite mit jeder erhaltenen Anfrage validiert wird.
Health 
Wie vergessene Funktionalität die Datensicherung gefährden können
Health
Für ein Unternehmen im Gesundheitsbereich führten wir eine Sicherheitsüberprüfung der internen Backupinfrastruktur durch. Ziel dieses Tests war es die Konfiguration der Dienste sowie die Server, die der Backupinfrastruktur angehören, zu überprüfen.
Während der Überprüfung wurde der Port 161/tcp identifiziert auf dem ein SNMP-Endpunkt lief. Zusätzlich war es möglich, den Community String „public“ zu verwenden, um Informationen über Accountnamen, die laufenden Dienste sowie über das Betriebssystem herauszufinden. Die identifizierte Betriebssystemversion war Microsoft Windows CE Version 6.0 (Build 0). Diese Embedded Version des Betriebssystems Windows wurde 2006 released und ist seit 2022 End-of-Life. In Zusammenhang mit anderen offenen Ports und damit verbundenen Schwachstellen wurde ein erhöhtes Risiko für dieses System konstatiert. Da es sich um ein Festplattenmanagement-System handelte, könnten erfolgreiche Angriffe Zugriff auf schützenwerte Daten des Unternehmens liefern.
Es wurde empfohlen, Dienste, die nicht verwendet werden, abzuschalten. Immer wieder kommt es uns während Penetration Tests unter, dass teilweise Endpunkte, die vor Jahren in Verwendung waren, nicht mehr verwendet werden, jedoch immer noch die gleiche Konfiguration aufweisen. Sollten diese Endpunkte trotzdem verwendet werden, um z.B. Informationen über das System zu eine Monitoring-Anwendung zu schicken, muss der Dienst abgesichert werden, um das Auslesen von Informationen durch Dritte zu verhindern. Zusätzlich empfahlen wir, alle Systeme auf dem aktuellsten Stand zu halten, um bereits bekannte Schwachstellen via Sicherheitspatches zu neutralisieren. Im konkreten Fall wurden auch die Erreichbarkeit der Dienste auf Netzwerkebene eingeschränkt, um das Risiko zu minimieren.
IT Service 
Re-Checks beim Pentesting: Der Schlüssel, um zu finden, was zuvor unentdeckt blieb
IT Service
Für einen globalen Konzern wurde ein Re-Check einer Sicherheitsüberprüfung durchgeführt. Der Fokus lag dabei auf einer Anwendung, die komplexe Datenstrukturen visualisiert.
Bei einem Pentest-Re-Check (oder Retest) wird überprüft, ob die bei einem ersten Penetrationstest festgestellten Sicherheitsschwachstellen behoben wurden. Nachdem das Unternehmen Korrekturen vorgenommen hat, überprüfen die Testenden dieselben Bereiche erneut und überprüfen, ob die zuvor ausgenutzten Schwachstellen behoben wurden . Durch diese erneute Überprüfung wird sichergestellt, dass die Abhilfemaßnahmen wirksam waren und nicht versehentlich neue Schwachstellen eingeführt wurden. Re-Checks sind für die Aufrechterhaltung der Sicherheitslage und der Konformität unerlässlich, da sie bestätigen, dass das Risikoniveau gesenkt wurde. Ohne Re-Checks könnten ungelöste Schwachstellen fortbestehen, die Systeme ungeschützt bleiben und die Ziele und Investitionen der ursprünglichen Sicherheitsüberprüfung zunichtemachen.
Nachdem diese Überprüfung durchgeführt wurde, wurden zusätzlich auch die Teile der Applikation untersucht, die im zuvor durchgeführten Penetrationstest keine Schwachstellen aufwiesen. Hierbei wurden mehrere Schwachstellen durch Reflected Cross-Site Scripting (XSS) identifiziert, welche es Angreifenden erlauben würde, sollten Opfer auf einen manipulierten Link klicken, Operationen im Kontext des Opfers auszuführen. Um Injektions-Schwachstellen wie XSS zu unterbinden, wird empfohlen, jeglichen Input in die Applikation zu verifizieren und die Spezialzeichen zu kodieren.