blog

Interner Penetrationstest 2026: Strategien gegen Insider-Threats und Ransomware

johannes@xplt.com (Johannes Schönborn) — Wed, 08 Jul 2026 11:06:03 GMT

Was nützt Ihnen die massivste Firewall, wenn der Gegner bereits im Haus ist? Ein einziger unbedachter Klick auf einen Phishing-Link reicht oft aus, um Ihren gesamten Perimeter wertlos zu machen. Im Jahr 2026 ist die Frage nicht mehr, ob ein Angreifer eindringt, sondern wie schnell er sich von einem einfachen Endpunkt zum Domänen-Administrator hochstufen kann. Ein professioneller Interner Penetrationstest ist unter diesen Vorzeichen kein optionaler Luxus mehr. Er ist die notwendige Verteidigungslinie vor der totalen Verschlüsselung durch Ransomware.

OWASP AISVS: Der Standard für sichere KI-Anwendungen

johannes@xplt.com (Johannes Schönborn) — Tue, 07 Jul 2026 21:45:08 GMT

73 Prozent der produktiven KI-Deployments sind im Jahr 2026 anfällig für Prompt Injection. Diese Zahl ist kein Zufall; sie ist das Resultat einer rasanten Entwicklung, die methodische Sicherheit oft als optionales Hindernis betrachtet hat. Sie stehen vor der Herausforderung, Ihre Systeme gegen reale Angreifer zu härten und gleichzeitig die strengen Anforderungen des EU AI Acts zu erfüllen, der ab dem 2. August 2026 für Hochrisiko-Anwendungen verbindlich wird. Die Sorge vor Datenlecks und intransparenten Algorithmen bleibt begründet, solange kein messbarer technischer Maßstab existiert.

Pentest 2026: Mythos vs. Realität professioneller Penetrationstests

johannes@xplt.com (Johannes Schönborn) — Tue, 07 Jul 2026 20:57:41 GMT

Ein automatisierter Schwachstellenscan ist kein Pentest; er ist lediglich eine digitale Beruhigungspille ohne echte Schutzwirkung. Während Scanner bekannte Signaturen abgleichen, scheitern sie kläglich an der kreativen Zerstörungskraft eines menschlichen Angreifers. Sie spüren den Druck der Geschäftsführung, Kosten zu optimieren, während regulatorische Rahmenbedingungen wie DORA und TIBER-DE seit Januar 2025 unmissverständliche Anforderungen an Ihre Cyber-Resilienz stellen. Die Angst vor unentdeckten Lücken bleibt trotz grüner Dashboards in den Scannern bestehen. Das ist kein Zufall, sondern ein methodisches Defizit.

Von Null auf Domain Admin: Neue YouTube-Serie zu Active Directory Hacking mit Kali Linux und GOAD

johannes@xplt.com (Johannes Schönborn) — Tue, 07 Jul 2026 18:34:39 GMT

Active Directory ist der Kern jedes Unternehmens-IT-Betriebs im deutschsprachigen Raum. Und trotzdem ist AD-Hacking oft eine Spezialisierung, mit der man nichts zu tun haben will.

Aber so kompliziert ist es ja gar nicht.

In dieser Serie arbeiten wir uns durch Game of Active Directory (GOAD)- das derzeit anspruchsvollste öffentliche AD-Lab - und zeigen nicht nur die Angriffe, sondern die Denkweise. Was passiert unter der Haube? Warum funktioniert dieser Angriff hier und nicht in der nächsten Umgebung? Was übersieht ein Junior-Pentester, und was macht ein Senior-Operator anders?

Das ist kein OSCP-Cheatsheet-Content. Das ist der Kurs, den ich mir selbst vor zehn Jahren gewünscht hätte.

Was ist GOAD

Game of Active Directory ist ein Open-Source-Lab, das eine Game of Thrones-themed Multi-Domain-Windows-Umgebung nachbaut: mehrere Domain Controller, Member Server, MSSQL-Instanzen, ADCS-Certificate-Services, Cross-Domain-Trusts, Kerberos-Delegation-Konfigurationen: alles was du in einer echten Corporate-Umgebung findest, verpackt in eine Vagrant-basierte Infrastruktur, die auf deinem eigenen Rechner läuft.

Der Clou: GOAD ist absichtlich verwundbar auf realistische Weise. Keine CTF-Tricks. Keine künstlichen Backdoors. Nur die Misskonfigurationen, die auch in echten Kundenumgebungen existieren — LLMNR aktiv, Passwörter im Description-Feld, Constrained Delegation auf privilegierte Konten, Kerberoastable Service Accounts. Wer GOAD durcharbeitet, versteht den echten Angriffsalltag im internen Pentesting sehr viel besser.

Was dich in Staffel 1 erwartet

Wir starten mit dem Sub-Domain `north.sevenkingdoms.local` — der Nordwelt aus Game of Thrones nachempfunden, mit Winterfell als Domain Controller und Castle Black als MSSQL-Member-Server. Über die Staffel arbeiten wir uns systematisch durch den gesamten Kill Chain:

- Recon ohne Credentials - was verrät dir eine Windows-Domain, bevor du überhaupt authentifiziert bist?
- LLMNR-Poisoning mit Responder - die immer noch produktivste Initial-Access-Technik in internen Netzen
- AS-REP Roasting und Kerberoasting - Offline-Cracking von Kerberos-Tickets, sauber erklärt
- SYSVOL Credential Hunting - der Ort, an dem alte Admin-Skripte für immer ruhen
- SAM- und LSA-Dump - was steht da wirklich drin, und welcher dieser Werte ist Gold wert
- Constrained Delegation Abuse - die S4U2self/S4U2proxy-Kombination, die stille Domain Admins produziert
- Silver und Golden Tickets - Kerberos-Ticket-Forgery als Persistenz-Layer
- Cross-Domain-Pivoting - von der Sub-Domain zur Forest-Root

Jede Episode ist so gebaut, dass sie eigenständig funktioniert — aber die Serie ergibt einen zusammenhängenden Angriffspfad, wenn du sie in Reihenfolge schaust.

Wir sprechen über mehrere Pfade zum selben Ziel

Castle Black lässt sich in unserer Serie über **drei komplett unabhängige Angriffspfade** kompromittieren: über Jeor Mormonts nested-group-Membership, über die MSSQL-Instanz per `sql_svc`-Credentials, und über Silver-Ticket-Forgery mit dem Machine-Account-Hash.

Die Frage ist nicht „welcher Pfad ist der richtige" — sondern „welcher Pfad ist für dein aktuelles Engagement der richtige". Stealth versus Geschwindigkeit versus Persistenz. Diese Entscheidung ist das, was du als Operator dem Kunden verkaufst.

Wir bauen die Verteidiger-Sicht immer mit ein

Jede Angriffs-Episode endet mit einem Defender Lens - was hätte diese Attacke verhindert, welche Detection-Möglichkeiten gibt es, und was macht der Angriff für ein Blue Team so schwer zu erkennen. Denn ein Pentester, der die Verteidigerseite nicht versteht, schreibt schlechte Berichte.

Ransomware braucht keine Malware mehr.

johannes@xplt.com (Johannes Schönborn) — Tue, 07 Jul 2026 18:15:08 GMT

Sicherheitsteams verteidigen arbeiten mit veralteten Playbooks. Aktuelle Analysen zeigen einen KI-generierten Blueprint für "Browser-Only" Ransomware. Dieser Ansatz benötigt keine ausführbaren Dateien, keine Root-Rechte, keine klassischen Exploits und keine lokalen Installationen.

AI LLM Penetration Test: Offensive Security für die künstliche Intelligenz 2026

johannes@xplt.com (Johannes Schönborn) — Mon, 06 Jul 2026 10:33:04 GMT

73 Prozent aller KI-Implementierungen weisen im Jahr 2026 mindestens eine kritische, ausnutzbare Schwachstelle auf. Diese Zahl markiert kein statistisches Rauschen, sondern das systemische Versagen herkömmlicher Sicherheitskonzepte gegenüber probabilistischen Systemen. Klassische Infrastruktur-Scans versagen dort, wo ein spezialisierter AI LLM Penetration Test ansetzt, um Prompt Injection oder System Prompt Leakage zu identifizieren. Wer KI-Modelle ohne offensive Validierung betreibt, agiert im Blindflug.

Penetration Test 2026: Strategische Offensive Security für Unternehmen

johannes@xplt.com (Johannes Schönborn) — Sun, 05 Jul 2026 13:23:36 GMT

Hält Ihre Verteidigung den Anforderungen eines realen Angriffs stahnd oder ist sie lediglich eine Ansammlung von Mindestvorgaben einer Compliance-Checkliste? Im Jahr 2026 ist die Antwort auf diese Frage überlebenswichtig für die Kontinuität der Geschäftsprozesse. Angreifer nutzen heute gezielt die Komplexität von Cloud-nativen Umgebungen und Schatten-KI aus, während viele Unternehmen noch mit veralteten Sicherheitskonzepten operieren. Ein professioneller Penetrationstest darf kein bloßes Abhaken von Standard-Checks sein; er muss die methodisch Sicherheitslücken aufdecken, die den Betrieb gefährden.

Hacker werden lernen: Der ultimative Guide zum Ethical Hacker [2026]

johannes@xplt.com (Johannes Schönborn) — Sat, 04 Jul 2026 12:13:08 GMT

Bis 2026 fehlen in Deutschland über 106.000 Experten für Cybersicherheit. Ein massives Defizit. Wer heute fundiert hacker werden lernen möchte, sieht sich oft einer Wand aus Tools und Plattformen gegenüber, die mehr verwirren als helfen. Professionalität entsteht nicht durch das bloße Auswendiglernen von Metasploit-Befehlen. Sie entsteht durch methodische Exzellenz und das tiefe Verständnis komplexer Infrastrukturen unter realem regulatorischem Druck wie der NIS2-Richtlinie.

TIBER-DE 2026: Wenn's ein wenig mehr sein darf als "nur" ein Pentest. Threat Intelligence-based Red Teaming

johannes@xplt.com (Johannes Schönborn) — Thu, 02 Jul 2026 12:15:17 GMT

Hält Ihre Verteidigung einem Angriff stand, der exakt auf Ihre Schwachstellen zugeschnitten ist? Die meisten Institute wiegen sich in trügerischer Sicherheit, bis ein TIBER-DE Assessment die Realität offenlegt. Der regulatorische Druck durch BaFin und EZB lässt keinen Raum für Mittelmäßigkeit. Sie wissen, dass Standard-Audits nicht ausreichen, um den TIBER-Rahmenbedingungen und der DORA-Compliance wirklich gerecht zu werden. Die Sorge vor Betriebsunterbrechungen während einer Simulation ist verständlich, darf aber nicht zur Lähmung führen.

One-Off vs. Managed Pentesting: Was Finanzinstitute wissen müssen

johannes@xplt.com (Johannes Schönborn) — Sat, 26 Jul 2025 08:43:59 GMT

Banken und große Unternehmen bestehen längst nicht mehr nur aus einer Website oder einer App.
Eine moderne Bank betreibt oft Hunderte von vernetzten Services – von Kundenportalen und mobilen Banking-Apps über APIs bis hin zu Gebäudeleittechnik und IoT-basierten CCTV-Systemen. Jeder dieser Services ist ein potenzielles Einfallstor für Angreifer – und jeder muss im Rahmen der Compliance-Anforderungen getestet werden.

Die Frage lautet: Reicht ein einmaliger Pentest aus – oder braucht es ein Managed Pentesting Service (MPS), um den Überblick zu behalten?

Die Grenzen von einmaligen Pentests

Ein klassischer Pentest ist eine Momentaufnahme. Ein Dienstleister wird beauftragt, ein bestimmtes System oder eine Anwendung zu prüfen, erstellt einen Bericht – und das war’s.
Für Unternehmen mit komplexen Infrastrukturen hat dieses Modell jedoch klare Schwächen:

Fehlender Kontext: Ein One-Off-Test beleuchtet nur einen einzelnen Ausschnitt – nicht das gesamte Angriffsszenario.
Hoher Koordinationsaufwand: Für jede neue Prüfung müssen Sie mit verschiedenen Anbietern angebote einholen und mit internen und externen Teams Release-Zyklen abstimmen.
Compliance-Lücken: Vorschriften wie NIS2, ISO27001, NIST, DORA oder TIBER-EU erfordern regelmäßige Tests kritischer Assets. Ohne zentrale Planung verliert man schnell den Überblick, ob alle Anforderungen erfüllt werden.
Kein Follow-up: Wer prüft, ob die Findings wirklich umgesetzt und behoben wurden? Hier fehlen oft Prozesse zur Integration der Ergebnisse in Risk-, GRC- oder Entwicklerteams.

Was ein Managed Pentesting Service anders macht

Ein Managed Pentesting Service (MPS) geht weit über den klassischen „Scan-und-Report“-Ansatz hinaus. Er ist ein kontinuierliches Sicherheitsprogramm, das die gesamte IT-Landschaft und regulatorische Anforderungen abdeckt.

Die wichtigsten Vorteile von MPS:

1. Risikobasierte Priorisierung

Nicht alle Systeme sind gleich kritisch.
Eine Core-Banking-Anwendung erfordert z. B. jährliche oder quartalsweise Tests, während eine interne Facility-Lösung alle zwei bis drei Jahre geprüft werden kann. MPS priorisiert nach Kritikalität und Compliance-Vorgaben.

2. Zentrale Koordination

Schluss mit dem Jonglieren von 800 Ansprechpartnern.
Ein Managed Service übernimmt:

Abstimmung der Testfenster mit Entwicklerteams.
Planung entlang von Release-Zyklen (z. B. neue Major-Versionen).
Vendor-Management für Drittanbietersysteme.

3. Kontinuierliches Testing & Retesting

Gefundene Schwachstellen werden nicht nur dokumentiert, sondern regelmäßig nachgeprüft – ein Feature, das bei Einmaltests oft teuer dazugekauft werden muss.

4. Compliance-gerechte Reports

Standards wie ISO 27001, PCI DSS, DORA oder TIBER-EU erfordern strukturierte Dokumentationen. Ein Pentest as a Service liefert:

Auditfertige Reports nach regulatorischen Vorgaben.
SLA-basierte Testzyklen entsprechend der Asset-Kritikalität.
Evidenz für interne und externe Audits.

5. Integration in GRC und Risikomanagement

Statt eines isolierten Berichts werden Ergebnisse direkt verknüpft mit:

Risikoregister und GRC-Prozessen.
Management-Summaries für die Führungsebene.
Automatisierter Nachverfolgung und Remediation.

Ein Praxisbeispiel: Eine Bank mit 800 Services

Eine europäische Bank betreibt:

50+ Kundenanwendungen (Web & Mobile Banking).
200+ interne Systeme.
100+ Gebäude- und IoT-Systeme (CCTV, Zutrittskontrollen).
Hunderte von APIs und Microservices.

Brauchen all diese Assets jährliche Tests?
Nein, aber alle müssen nach einem kritikalitätsbasierten Rhythmus geprüft und dokumentiert werden.

Mit einem One-Off-Ansatz bedeutet das:

Unzählige Einzelverträge.
Manuelles Tracking und Chaos bei Release-Absprachen.
Getrennte Berichte und fehlende Übersicht.

Mit einem Managed Service eines Managed Security Service Provider (MSSP) bedeutet es:

Ein zentraler Partner (Exploit Labs) koordiniert alle Tests.
Dynamische Priorisierung – kritische Systeme werden häufiger geprüft.
Dashboards & KPIs für Board-Reports und Compliance.

Wann ist der richtige Zeitpunkt für Tests?

Ein Pentest sollte nicht nur nach Zeitplan erfolgen, sondern auch bei Veränderungen in der Infrastruktur:

Neue Versionen oder Major Releases.
Cloud-Migrationen.
Compliance Deadlines oder Audits.

Ein MSSP überwacht diese Trigger automatisch, damit keine sicherheitskritische Änderung ungetestet bleibt.

Wie Exploit Labs Managed Pentesting liefert

Exploit Labs kombiniert erstklassige Red-Teaming & Pentest-Expertise mit skalierbaren Pentesting-Operations.

Unser Ansatz:

Adversary Emulation: Realistische Angriffs-Szenarien basierend auf aktuellen Bedrohungsdaten.
Risk-Based Testing: Fokus auf die Systeme, die Angreifer zuerst ins Visier nehmen.
Purple-Team-Integration: Ergebnisse fließen direkt an Blue Teams für Sofortmaßnahmen.
Compliance Mapping: Alle Findings sind mit DORA, ISO 27001 & TIBER-EU verknüpft.
Globaler Scope: Wir arbeiten für regulierte Unternehmen in der EU, GCC und weltweit.

One-Off vs. Managed Pentesting – im Vergleich

Feature	One-Off Pentest	Managed Pentesting Service
Umfang	Einzelnes System	Gesamte Infrastruktur mit Priorität
Frequenz	Einmalig	Kontinuierlich & SLA-basiert
Compliance	Nur bedingt	Voll integriert
Integration	Manuell	Automatisiert & zentralisiert
Retesting	Zusatzkosten	Inklusive Lifecycle-Testing

Fazit

Einmalige Pentests sind taktisch – Managed Pentesting ist strategisch.
Für Banken, Versicherungen und kritische Infrastrukturen sind kontinuierliche, compliance-konforme Tests unverzichtbar.

Exploit Labs bietet genau diese Integration von Red Teaming und Pentesting – als vollwertiger Offensive Security Partner.

Bereit, auf Managed Pentesting umzusteigen?

Kontaktieren Sie Exploit Labs und erfahren Sie, wie wir Ihre Tests optimieren und Compliance sicherstellen.