IT Sicherheit – frischer Wind
IT security – a breath of fresh air
Sécurité informatique – un vent de fraîcheur
Seguridad informática – un soplo de aire fresco
Hacker sind kreativ und finden immer neue Wege in Unternehmen einzudringen. Um Angreifern weiterhin einen Schritt voraus zu sein, braucht es immer wieder neue Ideen.

KALWEIT ITS – Wir bringen frischen Wind.
Hackers are creative and always find new ways to penetrate companies. To stay one step ahead of attackers, new ideas are always needed.

KALWEIT ITS – We bring a breath of fresh air.
Les pirates informatiques sont créatifs et trouvent toujours de nouveaux moyens de s'introduire dans les entreprises. Pour garder une longueur d'avance sur les attaquants, il faut sans cesse de nouvelles idées.

KALWEIT ITS – Nous apportons un vent de fraîcheur.
Los hackers son creativos y siempre encuentran nuevas formas de penetrar en las empresas. Para estar un paso por delante de los atacantes, siempre se necesitan nuevas ideas.

KALWEIT ITS – Traemos un soplo de aire fresco.

Penetrationtest

Die Königsdisziplin

Red Teaming Penetrationtest

IT-Sicherheitsstrategien stehen auf den elementaren Grundsäulen der Prävention, Detektion und Reaktion. IT-Infrastruktur sollte state of the art sein, eine angemessene IT-Sicherheitskultur gepflegt, physische IT‑Sicherheit gewährleistet sein.

Doch halten alle Ihre Sicherheits­strategien einem Angriff stand? Viele Sicherheits­konzepte klingen in der Theorie verlockend, aber scheitern in der Praxis. Welche von ihnen tatsächlich effektiv sind, lässt sich ohne eine praktische Überprüfung selten beurteilen.
Zeit zu prüfen, ob auch Ihre Sicherheits­maßnahmen sich amortisieren.

Angreifer suchen sich zumeist das verwundbarste Glied einer Kette aus – das muss nicht immer die IT sein. Oft können Angriffsvektoren in der physischen IT-Sicherheit oder auch in der Sicherheitskultur des Unternehmens genutzt werden, um an schützenswerte Informationen zu gelangen. Im Rahmen des Red Teaming Penetrationtest überprüfen wir Ihr Unternehmen ganzheitlich – mit jeglichen Mitteln, die einem potenziellen Angreifer auch zur Verfügung stehen könnten.

So erhalten Sie einen realistischen Einblick in die Verteidigungs- und Reaktionsfähigkeit Ihres Unternehmens.

56 Tage können Angreifer durchschnittlich in fremden Unternehmens­netzwerken verbringen, bevor sie entdeckt werden.
(gilt für den EMEA-Wirtschaftsraum)

Wir prüfen ganzheitlich:

Technik Wir führen Angriffe gegen Ihre Unternehmens-IT durch.
Menschen Wir prüfen, wie Ihre Mitarbeiter auf tatsächliche Hacker­angriffe reagieren.
Wird IT-Sicherheit auch wirklich im Rahmen der Unternehmenskultur gelebt?
Physische IT-Sicherheit Wir prüfen, wie Ihr Unternehmens­gebäude, Server­räume sowie weitere relevante Einrichtungen Ihres Unter­nehmens abgesichert sind.
Anerkannte Standards Wir arbeiten nach anerkannten Standards wie ISECOM OSSTMM, PTES, OWASP Testing Guide sowie den Vorgaben und Empfehlungen des TIBER-EU Frameworks der Europäischen Zentralbank. Des Weiteren orientieren sich alle unsere Sicherheitsüberprüfungen an den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik. Darüber hinaus sind unsere Projekte für Vermögensschäden sowie Personen- und Sachschäden versichert.

Penetrationtest

Penetrationtests finden nicht nur Sicherheitslücken, sondern sparen Geld ein.
Die durchschnittlichen Kosten pro Sicherheits­vorfall betrugen 3,86 Millionen Dollar.
(weltweit, Jahr 2018)

Was wir wissen

Wir liefern keine Hypothesen, sondern Klarheit, genau zu wissen, was (noch) zu tun ist. Wir helfen Unter­nehmen dabei, die tatsächliche Sicherheits­lage ihrer IT kompromiss­los und unabhängig zu bestimmen. Dabei agieren wir wie potenzielle Angreifer, indem wir Angriffs­vektoren und Schwach­stellen durch reale Angriffe identifizieren. So erhalten Sie einen realistischen und kompromiss­losen Einblick in die aktuelle Sicherheits­lage ihrer IT.

Deshalb KALWEIT ITS

Das Ziel von Penetration­testing ist das effiziente Eindringen in informations­technische Systeme. Wir agieren wie potenzielle Angreifer, identifizieren Angriffsvektoren und nutzen diese technisch aus. So erhalten Sie einen realistischen Blick in die (Un-)Sicherheiten Ihrer IT-Lösungen und können Sicherheitslücken schließen, bevor Angreifer diese ausnutzen.

Als unabhängiges Beratungsunternehmen mit Spezialisierung auf die Disziplinen der IT-Sicherheit gehört die Durchführung von Penetrationtests zu unserer Königsdisziplin. Unser Anspruch ist die Durchführung von wenig automatisierten Penetrationtests mit transparenter und nachvollziehbarer Herangehensweise. Branchenspezifische Anforderungen aus dem Banken- oder Gesundheitswesen stellen für uns keine Herausforderung dar.

    Wir glauben daran, dass IT-Sicherheit heute anders sein muss. Sicherheit heißt Vertrauen in unabhängige Lösungen. Sicherheit ist eben kein Produkt, sondern ein stetiger Prozess. Genau deshalb arbeiten wir mit holistischen Beratungsmethoden und verstehen Unternehmen als ganzheitlichen Sicherheitsfaktor – so wie es ein Angreifer auch tun würde. Weil ein Konzept noch kein System macht.
    Wir arbeiten nach anerkannten Standards wie beispielsweise PTES, NIST, OWASP Testing Guide, PCI-DSS, Cyber Kill Chain sowie dem Durchführungskonzept für Penetrationtests des Bundesamtes für Sicherheit in der Informationstechnik. Darüber hinaus sind unsere Projekte für Vermögensschäden sowie Personen- und Sachschäden versichert.

Wir unterstützen Sie bei jeglichen Arten von Penetrationtests:

  • Perimetertest
  • Client-Test
  • Innentätertest
  • Tests von Webapplikationen/Anwendungssoftware/mobilen Applikationen
  • Tests von Kernbankensystemen und Einzelhandelsnetzen
  • Security Review
  • Tests von Motorsteuergeräten
  • Tests von IoT-Geräten
  • Tests im Cloud-Umfeld (AWS, Microsoft Azure oder Google Cloud)
  • Tests von Flutter-Lösungen
  • Umfangreiche Projekte mit mehr als 400 Projekttagen im Jahr
  • Starke Expertise in der Durchführung von Penetrationtests im Banken- und Finanzwesen, Gesundheitswesen, Kritischer Infrastrukturen sowie Einzelhandelsunternehmen

Automotive Cybersecurity

Der fortschreitende Prozess der Digitalisierung macht auch vor der Automobilwelt keinen Halt.

Durch die zunehmende Anzahl an ECUs im Automobil, sowie der stärkeren Vernetzung von Fahrzeugen (C2X), steigt auch das Risiko vor nicht autorisierten Zugriffen und der Manipulation von sicherheitskritischen Systemen.

Besonders heutzutage sind Fahrzeuge sowohl intern, als auch zu extern, zahlreich vernetzt. So greifen beispielsweise Navigationsgeräte auf Informationen im CAN-Bus zu und bieten gleichzeitig einen externen Zugriff über Schnittstellen wie Bluetooth, WLAN oder LTE. Aber bereits die vorgeschriebene OBD-II-Schnittstelle stellt einen erheblichen Angriffsvektor dar. Beispielhaft für das Manipulieren automobiler Steuergeräte ist vor allem der Trend der sogenannten „Kennfeldoptimierungen“.
Durch erweiterte Kenntnisse kann jedoch auch Gebrauch von Informationen gemacht werden, die über den CAN-Bus übertragen werden, um verschiedenste Fahrzeugfunktionen zu manipulieren oder zur Funktionserweiterung zu nutzen. Die tiefergehende Vernetzung verschiedenster Steuergeräte im Fahrzeug ermöglicht wegweisende Features, wie autonomes Fahren, Geschwindigkeitsregelanlagen oder auch eine verbesserte Navigation.

Eine klare und präsente Bedrohung

Die Manipulation von Steuergeräten ist also eine klare und präsente Bedrohung für Autofahrer, Werkstätten, Zulieferer und die Automobilhersteller. Sei es die Veränderung des Kilometerstands, eine potenzielle Leistungserhöhung oder gar die Manipulation von Parametern auf dem CAN-Bus.

IT-Security Check

Der IT-Security Check bietet kleinen und mittelständischen Unternehmen eine erste Einschätzung über die generelle IT-Sicherheitslage im eigenen Unternehmen.

 

  • Wo sind wir besonders gut aufgestellt und wo ist noch Nachholbedarf?
  • Klarheit, genau zu wissen, was noch zu tun ist
  • Erkenntnisgewinn, welche Maßnahmen unabdingbar sind und welche von wenig großer Relevanz zeugen
  • 2 Tage Durchführung mit mehreren Beratern
  • Überprüfung der technischen & organisatorischen IT-Sicherheit angelehnt an die VdS 10000
  • QuickCheck der Unternehmenswebpräsenz und externen IPs
  • Empfehlungskatalog für das weitere Vorgehen
  • Management Report (PDF Format)
  • Abschlussgespräch
  • 3 Tage Durchführung mit mehreren Beratern
  • Überprüfung der technischen & organisatorischen IT-Sicherheit angelehnt an die VdS 10000
  • QuickCheck der Unternehmenswebpräsenz und externen IPs
  • Empfehlungskatalog für das weitere Vorgehen
  • Management Report (PDF Format)
  • Abschlussgespräch
  • 4 Tage Durchführung mit mehreren Beratern
  • Überprüfung der technischen & organisatorischen IT-Sicherheit angelehnt an die VdS 10000
  • QuickCheck der Unternehmenswebpräsenz und externen IPs
  • Empfehlungskatalog für das weitere Vorgehen
  • Management Report (PDF Format)
  • Abschlussgespräch

OSINT Recherche

Open Source Intelligence (OSINT) ist ein Begriff aus dem nachrichtendienstlichen Anwendungsfeld und beschreibt eine Recherchemethode, bei der ausschließlich passive Werkzeuge genutzt werden, um frei verfüge Daten unter Berücksichtigung eines bestimmten Anwendungszwecks zu untersuchen.

Im Rahmen der OSINT Recherche identifizieren wir kompromittierte Datensätze wie vertrauliche Dokumente, Anmeldedaten oder nützliche technische Informationen für konkrete Cyber Kill Chain Angriffsversuche. Diese geben ein klares Bild darüber wie die aktuelle IT-Sicherheitslage Ihres Unternehmens zu bewerten ist. Da ausschließlich passive Werkzeuge genutzt werden, kann diese Art von Sicherheitsüberprüfung leicht durchgeführt werden, ohne gesetzliche Bestimmungen (insb. §202a-c, §303a-b) zu verletzen.

OSINT Recherchen können unter anderem als detailreichere Phase der Informationsbeschaffung im Rahmen eines Penetrationtests genutzt werden.

Ablauf der Tests

  • Erstgespräch
  • Gespräch mit allen Beteiligten
  • Durchführung
  • Dokumentation
  • Risikobewertung
  • Ergebnisvorstellungen

Im Rahmen des Erstgespräches lernen wir Sie und Ihr Unternehmen besser kennen. In der zweiten Runde des Gespräches besprechen wir gemeinsam mit allen Entscheidungsträgern das weitere Vorgehen. Dabei wird die anzuwendende Methodik des Penetrationtests bestimmt.

Nachdem im Rahmen des Penetrationtests mögliche Angriffsvektoren identifiziert, und deren Eintrittswahrscheinlichkeit und mögliche Schadenshöhe bestimmt sind, stellen wir Ihnen die Ergebnisse im Rahmen eines Abschlussberichts vor.

Dieser beinhaltet neben einer Management Summary, eine detaillierten Beschreibung der inhärenten Risiken und ein Proof of Concept, sodass Sie die Schwachstellen intern mit eigenen IT-Experten nachvollziehen können.

Kernstück der Dokumentation stellen die umfangreichen Handlungsempfehlungen dar, mit denen Sie einfach und nachvollziehbar eine eigenständige Behebung der Schwachstellen durchführen können.

Unabhängig von einer kostenfreien Nachbesprechung zur Klärung offener Rückfragen oder Unklarheiten bieten wir Ihnen auf Nachfrage gerne auch einen Bestätigung über die erfolgreiche Durchführung eines Penetrationtests zur Verfügung. Diesen können Sie gegenüber Kunden und Geschäftspartner als Nachweis nutzen.

 

 

Der Abschlussbericht enthält folgende Bestandteile:

  • Projektrahmendaten (Projektname, Ansprechpartner, Testzeitraum, Scope)
  • Management Summary
  • Beschreibung der Vorgehensweise und eingesetzte Methoden
  • Zusammenfassung und Bewertung der identifizierten Schwachstellen hinsichtlich deren Kriminalität (inkl. Nennung der CVSS Werte und CVE-Einträge) sowie technisches Proof of Concept
  • Detaillierte technische Beschreibung der identifizierten Schwachstellen / inhärenten Risiken
  • Maßnahmenempfehlung zur Behebung der Schwachstelle sowie Auflistung aller Schwachstellen in tabellarischer Form (Excel).

Ihre Ansprechpartner

Uns erreichen Sie immer persönlich. Weil uns partnerschaftliche Treue weitaus wichtiger ist als kurzfristiger Erfolg.

Dipl-Inf. Georg Koch

Dipl-Inf. Georg Koch

Senior Business Partner

 

+49 40 285 301 252

hello@kalwe.it

Dipl.-Informatiker Georg Koch ist Senior Business Partner bei KALWEIT ITS und verantwortet auf strategischer Ebene internationale wie nationale Projekte im Mittelstands- und Konzernumfeld. Er verfügt über 30 Jahre Berufserfahrung in den Bereichen IT, Telekommunikation und Energie, beispielsweise aus dem mittleren Management mit europäischer Verantwortung bei Sharp Electronics, Philips, Shell Solar sowie als ehem. Geschäftsführer eines IT-Unternehmens (160 Mitarbeiter, über 50 Mio. Euro Umsatz).

 

Philipp Kalweit

Philipp Kalweit

Managing Partner

 

+49 40 285 301 257

hello@kalwe.it

Philipp Kalweit ist erfahrener IT-Sicherheitsberater zu den Themen Security Awareness und offensive IT-Revision. Seit sechs Jahren berät und prüft er Kunden aus dem Mittelstands- und Konzernumfeld, insbesondere EZB- und BaFin-regulierte Organisationen sowie Konzerne im Einzelhandel. Sein Beratungsschwerpunkt liegt in der holistischen IT-Sicherheit. Für seine Arbeit wurde er 2019 durch DIE ZEIT als "Hamburger des Monats" geehrt und im gleichen Jahr in die Forbes "30 under 30 DACH"-Liste aufgenommen.

 

Jetzt unverbindliches Erstgespräch vereinbaren