Hacktor – der automatisierte Pentest
Hält Ihre IT einem Angriff wirklich stand? Hacktor prüft Ihre Systeme aus der Sicht eines Angreifers – automatisiert, wiederholbar und über alles hinweg, was eine IP-Adresse hat. Wir werten die Ergebnisse für Sie aus und schließen die Lücken.
Hacktor ist die Pentest-Komponente der deutschen Cybersecurity-Plattform Enginsight. Als Enginsight-Partner setzen wir sie für Sie ein: Ein Testagent läuft in Ihrem Netz, greift die von Ihnen freigegebenen Ziele kontrolliert an – Portscan, CVE-Abgleich, Passwort-Bruteforce, Prüfung auf Fehlkonfigurationen – und liefert einen Bericht mit konkreten Handlungsempfehlungen. Weil der Test automatisiert läuft, ist er wiederholbar statt einmalig.
Ein Test im Jahr sagt wenig über den Rest des Jahres
Ein manueller Penetrationstest ist gründlich und findet Angriffswege, auf die keine Software kommt. Sein Problem ist die Haltbarkeit: Er beschreibt einen Zustand an einem Tag. Zwei Wochen später ist ein Server dazugekommen, eine Freigabe geöffnet, ein Update ausgeblieben – und das Ergebnis stimmt nicht mehr.
Der automatisierte Pentest schließt genau diese Lücke. Er kostet pro Durchlauf keinen zusätzlichen Aufwand und kann deshalb monatlich laufen. Er prüft konsequent alles, was erreichbar ist – auch die Geräte, die in keiner Dokumentation stehen: den Drucker im Lager, die Kamera am Tor, das NAS in der Buchhaltung.
Fünf Phasen, wie ein echter Angriff
Der Testagent geht denselben Weg, den ein Angreifer nimmt – nur dokumentiert und in einem Zeitfenster, das Sie festlegen.
Zuerst wird gesammelt, was von außen und von innen überhaupt sichtbar ist: offene Ports, Dienste, HTTP-Header, Webanwendungen, SSH, RDP, VNC, Telnet, SNMP und mDNS. Genau dieses Bild macht sich auch ein echter Angreifer, bevor er den ersten Versuch startet.
Die erkannte Software wird gegen die Datenbank bekannter Sicherheitslücken abgeglichen. Ergebnis ist eine Liste konkret betroffener Systeme statt einer allgemeinen Warnung – auf Wunsch mit hinterlegten Zugangsdaten, was die Treffgenauigkeit deutlich erhöht.
Gefundene Dienste werden mit Benutzernamen- und Passwortlisten angegriffen: SSH, RDP, FTP, SMB, SNMP, HTTP-Anmeldungen sowie Datenbanken wie MySQL, MS SQL, PostgreSQL, MariaDB, MongoDB und Redis. Wo ein Standardpasswort noch steht, fällt es hier auf.
Die Dienste werden auf typische Fehlkonfigurationen geprüft – schwache SSL/TLS-Einstellungen, fehlende Authentifizierung, zu weite Zugriffsrechte, unsichere HTTP-Header. Das sind die Lücken, die kein Hersteller patchen kann, weil sie hausgemacht sind.
Für Sonderfälle ergänzen wir eigene Prüfungen in Python, Ruby oder Bash – etwa für Branchensoftware, Maschinensteuerungen oder interne Vorgaben, die kein Standardtest kennt.
Was geprüft wird
Ziel ist alles, was im Netz erreichbar ist – einzelne IP-Adressen, ganze Bereiche oder das automatisch erfasste Inventar.
Windows- und Linux-Server, Hosts und virtuelle Maschinen – von innen wie von außen.
Router, Switches, VPN-Endpunkte und Firewall-Regeln auf tatsächliche Wirkung geprüft.
Clients und Notebooks, inklusive Diensten, die dort niemand vermutet.
Portale, Shops und Kundenbereiche auf webbasierte Angriffe getestet.
Netzwerkspeicher gehören zu den am häufigsten angegriffenen Geräten im Mittelstand.
Drucker, Kameras, Telefonanlagen, Zeiterfassung, Gebäudetechnik – auch die vergessenen Geräte.
In fünf Schritten zum Ergebnis
Der Aufwand auf Ihrer Seite beschränkt sich auf die Freigabe der Ziele und das Gespräch über die Ergebnisse.
Gemeinsam bestimmen wir Umfang, Intensität und Zeitfenster – empfindliche Systeme werden bewusst ausgenommen oder nur passiv geprüft.
Der Testagent wird in Ihrem Netz bereitgestellt. Ein Zugang von außen ist dafür nicht nötig.
Der Pentest läuft im vereinbarten Fenster – automatisiert, protokolliert und ohne Handarbeit auf Ihrer Seite.
Wir gehen den Bericht durch, sortieren Fehlalarme aus und übersetzen die Funde in eine Maßnahmenliste nach Dringlichkeit.
Wir schließen die Lücken – und der nächste Lauf belegt schwarz auf weiß, dass sie geschlossen sind.
Automatisierter und manueller Pentest
| Kriterium | Manueller Pentest | Hacktor – automatisiert |
|---|---|---|
| Häufigkeit | Ein- bis zweimal jährlich | Monatlich oder öfter |
| Abdeckung | Ausgewählte Systeme | Alle erreichbaren Ziele |
| Tiefe | Kreative Angriffswege | Definierter Testkatalog |
| Verlauf | Einzelne Momentaufnahmen | Vergleich über die Zeit |
| Kosten je Durchlauf | Projektaufwand | In der Monatspauschale enthalten |
Wir empfehlen die Kombination: Hacktor für die laufende Kontrolle, ein manueller Penetrationstest in größeren Abständen für die Tiefenprüfung.
Warum der automatisierte Pentest
Ein Test im Jahr beschreibt einen Zustand, den es zwei Wochen später nicht mehr gibt. Automatisiert wird monatlich geprüft.
Jeder Lauf wird mit dem vorigen verglichen. Sie sehen, ob Ihre Maßnahmen wirklich gewirkt haben.
Regelmäßige, dokumentierte Prüfung ist genau das, was Auditoren und Cyberversicherer sehen wollen.
Sie bekommen keine 200-seitige Rohliste, sondern eine priorisierte Maßnahmenliste in verständlicher Sprache.
Was ein automatisierter Pentest nicht leistet
Hacktor prüft technisch. Er ruft niemanden an und gibt sich nicht als IT-Abteilung aus – Social Engineering, der in der Praxis häufigste erfolgreiche Angriffsweg, bleibt außen vor. Dafür gibt es die Awareness-Kampagne.
Er ersetzt auch keine laufende Angriffserkennung. Ein Test zeigt, wo Türen offen stehen; ob gerade jemand hindurchgeht, sieht das Managed SOC. Und er ersetzt kein Backup – die Frage, wie schnell Sie nach einem erfolgreichen Angriff wieder arbeiten, beantwortet Managed Backup.
Was er dagegen zuverlässig leistet: Er findet die bekannten, längst behebbaren Lücken, über die die überwiegende Mehrheit der Angriffe im Mittelstand tatsächlich läuft.
Hacktor – Fragen & Antworten
Was ist der Unterschied zwischen Hacktor und einem klassischen Penetrationstest?+
Wie oft sollte der automatisierte Pentest laufen?+
Kann der Test unsere Systeme lahmlegen?+
Was genau wird geprüft?+
Brauchen wir dafür einen Internetzugang von außen?+
Hilft das bei NIS2 oder einer Cyberversicherung?+
Was kostet der automatisierte Pentest?+
Der automatisierte Pentest gehört zu unserem Leistungsbereich IT-Sicherheit. Die Einordnung in ein Gesamtbild liefert das IT-Sicherheitsaudit, die Tiefenprüfung der Penetrationstest. Gefundene Lücken schließen wir über Managed Firewall, Managed Client und Managed Server; laufend überwacht wird mit dem Managed SOC. Für den Nachweis gegenüber Auftraggebern und Behörden ist das NIS2-Audit der passende Rahmen.