BACKDOOR
Sie hacken Sie für Lösegeld. Wir hacken Sie für den Bericht. Ein Schwarm von AI-Agenten greift Ihre Website von außen an — genau so, wie es echte Angreifer tun würden. Kein Quellcode. Kein Backend-Zugriff. Nur ein realer Angriff, gefolgt von einem Bericht mit Nachweis, Exploits und Lösungen.
Autonome AI für Tempo und kontinuierliche Abdeckung. Manuelle Tests durch Experten für Tiefe und den Bericht, den jemand unterschreiben muss. Was immer Sie exponieren, wir decken es ab – und sagen Ihnen, was Sie wirklich brauchen.
Ein Schwarm von AI-Agenten greift Ihre Website von außen an, Black-Box, und belegt jeden Fund mit einem funktionierenden Exploit. Nichts zu installieren, kein Zugriff auf Ihren Code oder Ihre Server.
Unsere internen Tester nehmen Geschäftslogik, Zugriffskontrolle zwischen Rollen und die Ketten ins Visier, die drei mittlere Funde zu einem kritischen machen – und gehen den Bericht anschließend mit Ihrem Team durch.
Nicht sicher, was Sie brauchen? Beginnen Sie mit dem Scan. Wenn Ihr Fall Menschen erfordert, sagen wir es Ihnen.
Ein AI-Penetrationstest schickt einen Schwarm von AI-Agenten los, die Ihre Systeme so angreifen wie ein echter Angreifer: Sie kartieren Ihre Angriffsfläche, suchen nach Schwachstellen und nutzen sie aus, um die tatsächliche Auswirkung zu beweisen. Ein Scanner meldet, was ein Problem sein könnte. AI-Pentesting beweist, was eines ist — damit Ihr Team ausnutzbare Risiken behebt, statt Fehlalarmen hinterherzujagen.
Läuft als Black-box von außen — nichts zu installieren, kein Zugriff auf Ihren Code oder Ihre Server.
Prüft Websites und Web-Apps, Domains und Subdomains, Server und offene Ports in einem einzigen Scan.
Belegt jeden Fund mit einem funktionierenden PoC. Unsere Regel: Gefunden ≠ verwundbar; verwundbar = ausnutzbar.
Ein Security Engineer von BackDoor prüft jeden Bericht und sortiert Fehlalarme aus.
Echte Angreifer scannen Ihre Website bereits. Lassen Sie unsere Agenten zuerst ran.
Vollständiger Bericht in 5 Stunden.
Ab € 5,100 · Black-box · Keine Datenspeicherung · NDA verfügbar
| Schwachstellen-Scanner | Manueller Pentest | BackDoor Pentest |
|---|---|---|
| Zeit bis zum Ergebnis | ||
| Minuten, aber oberflächlich | 4–6 Wochen | 5 Stunden |
| Nachweis der Auswirkung | ||
| Keiner — nur „mögliche“ Probleme | Ja, wenn die Zeit reicht | Funktionierender PoC für jeden Fund |
| Abdeckung der Angriffsfläche | ||
| Signaturbasiert | Durch Stunden begrenzt | Websites, Domains, Server in einem Durchlauf |
| Fehlalarme | ||
| Hoch | Niedrig | Niedrig — per Exploit belegt, dann von einem Menschen geprüft |
| Häufigkeit | ||
| Auf Anfrage | Ein- bis zweimal im Jahr | Nach Zeitplan, wenn sich Ihr Perimeter ändert |
BackDoor verbindet das Tempo der Automatisierung mit der Tiefe eines echten Angreifers — ohne zwei Wochen Wartezeit und ohne Fehlalarm-Rauschen.
Unser Standard-Scan läuft von außen und ohne Zugangsdaten — aus genau der Position, die ein echter Angreifer am ersten Tag hat. Das ist der richtige Anfang, aber nicht das ganze Bild. Das meiste, was ein Produkt tatsächlich schützt, liegt hinter dem Login.
Die Agenten kartieren Ihren Perimeter und greifen alles an, was im Internet erreichbar ist — ohne Accounts, ohne Insiderwissen, ohne Installation.
Geben Sie den Agenten einen Satz Testaccounts, und derselbe Schwarm macht hinter dem Login weiter — in der Abrechnung, in Admin-Einstellungen und bei den Daten eines Mandanten, die direkt neben denen eines anderen liegen.
Nichts zu installieren, kein Zugriff auf Ihren Code oder Ihre Server — und Zugangsdaten werden nur innerhalb des von Ihnen freigegebenen Testfensters verwendet.
Sprechen Sie mit uns über den Umfangab € 10,000
ab € 5,100
4–6 Wochen
5 Stunden
2–4 Wochen nach dem ersten Gespräch
sofort
Drei Schritte. Dasselbe Playbook, das ein echter Angreifer nutzt. Anderes Ende.
Wir sehen, was ein Angreifer sehen würde.
Formulare, APIs, Admin-Panels, Subdomains.
~30 Min.
Jede Schwachstelle, durch Exploit belegt.
Daten stehlen · Auth umgehen · Zahlungen erreichen · Bugs verketten
~4 Stunden
Erstellt für Ihren CEO und Ihre Entwickler.
Funktionierender PoC · CVSSv3-Score · Schritt-für-Schritt-Lösungen
~30 Min.
Erzählen Sie uns von Ihrem Scope oder stellen Sie eine Frage — wir antworten innerhalb eines Werktags.
Jeder Scan endet mit einem Bericht, mit dem Ihr Team noch am selben Tag arbeiten kann — kein roher Wust an Alerts.
Jeder Fund nach CVSS bewertet und nach Priorität sortiert, damit Sie die riskantesten Probleme zuerst beheben.
Ein funktionierender Proof of Concept für jede Schwachstelle, damit Sie genau sehen, wie sie ausgenutzt wird.
Zwei Berichte in einem: eine Executive Summary für die Führungsebene und vollständige technische Details für Entwickler.
Klare Schritt-für-Schritt-Anleitung zur Behebung.
Ein kostenloser erneuter Test nach der Behebung, um zu bestätigen, dass das Problem geschlossen ist.
Sie brauchen Audit-taugliche Nachweise? Auf Anfrage ordnen wir die Funde SOC 2, ISO 27001, NIST, PCI DSS und GDPR zu.
6 Schwachstellen gefunden. 3 ermöglichen direkten Zugriff auf Kundendaten. Sofort beheben.
Gefundene Schwachstellen
2 kritisch, 2 hoch
POC mit Exploit
nicht "möglicherweise verwundbar" — bewiesen
Getestete Einstiegspunkte
Formulare, APIs, Admin-Panels, Subdomains
Zugriff auf Kundendatenbank über Kontaktformular
Remote Code Execution über Datei-Upload
Auth-Umgehung — Zugriff auf Bestellungen anderer Nutzer
Admin-Panel ohne 2FA offengelegt
Fehlendes Rate Limiting beim Login — Brute Force möglich
Möchten Sie den echten Bericht sehen?
38 pages · proven exploits · CVSSv3 · step-by-step fixes
Pricing is shown per asset. The second and each additional asset costs $5,000/month.
$2,900 one time
For when you need to test a site once.
$6,000 month per asset
$6,000 billed monthly
Try it with no commitment. Cancel anytime.
$5,700 month per asset
$17,100 per quarter
Twice the compute power per target and automated patching.
$5,100 month per asset
$61,200 per year
Continuous mode: the agent never stops.
100+ getestete Unternehmen.
127+ AI-Agenten testen parallel über 300+ Angriffsszenarien — so wird in einem Durchlauf mehr von Ihrem Perimeter geprüft.
Zero Data Retention — Ihre Daten werden nach dem Test nicht aufbewahrt.
Sicher für die Produktion: ein schonender Testmodus, ein von Ihnen freigegebenes Scan-Fenster und ein Stopp-Knopf, den Sie kontrollieren.
Nur autorisierte Tests — ein Scan startet erst, nachdem Sie bestätigt haben, dass die Domain Ihnen gehört.
Keine Installation. Kein Zugriff auf Ihre Server. Nur auf Ihrer eigenen Domain autorisiert — und jederzeit stoppbar.
AI-Pentesting nutzt AI-Agenten, um Schwachstellen aktiv auszunutzen und ihre Auswirkung zu beweisen — statt nur "mögliche" Probleme aufzulisten. Ein Scanner gleicht Signaturen ab; BackDoor verhält sich wie ein Angreifer und bestätigt jeden Fund mit einem funktionierenden PoC.
Ja. Die Agenten finden und nutzen Schwachstellen selbstständig aus, und jeder Fund muss mit einem funktionierenden PoC belegt sein. Anschließend prüft ein Security Engineer von BackDoor jeden Bericht und sortiert Fehlalarme aus. Diese Prüfung ist ein Filter, kein zweiter manueller Pentest — wenn Tester Ihre Anwendung von Hand durcharbeiten sollen, ist das unser manueller Penetrationstest.
Ja. BackDoor läuft in einem schonenden Modus ohne lastbasierte Angriffe, testet innerhalb eines von Ihnen freigegebenen Zeitfensters und kann jederzeit gestoppt werden.
Ein vollständiger externer Pentest ist in etwa 5 Stunden abgeschlossen — gegenüber den zwei bis vier Wochen, die ein manuelles Projekt üblicherweise benötigt.
Ein Scan startet erst, nachdem Sie nachgewiesen haben, dass Ihnen die Domain gehört. BackDoor testet Ihren externen Perimeter mit Ihrer Erlaubnis — niemals etwas, das Sie nicht kontrollieren.
Ja. Der Bericht ist in zwei Ebenen verfasst — eine einseitige Executive Summary, die jeder lesen kann, und ein detaillierter Engineering-Bericht mit genauen Schritten zur Behebung. Die meisten Teams geben den Engineering-Teil an ihre Entwickler oder ihren Hosting-Anbieter weiter.
Nein. Wir arbeiten mit einem konfigurierbaren Rate Limit und vermeiden standardmäßig destruktive Payloads. Sie können Scans außerdem für verkehrsarme Zeiten planen.
Nicht für den Basis-Scan, aber NDA und DPA sind auf Anfrage verfügbar und für Scale- und Enterprise-Pläne automatisch erforderlich.
Standardmäßig keine Datenspeicherung. Der Bericht wird als PDF geliefert und nach 30 Tagen aus unserer Infrastruktur entfernt, sofern Ihr Plan keine längere Speicherung erfordert.
Ja — unsere Berichte sind SOC 2 CC controls, ISO 27001 Annex A, NIST CSF, GDPR Art. 32 und PCI DSS v4.0 zugeordnet. Viele unserer Kunden nutzen sie als Audit-Nachweis.
Ja, bei jedem bestandenen erneuten Scan ist ein Attestierungsschreiben enthalten. White-Label- und Co-Branding-Optionen sind für Scale / Enterprise verfügbar.
Abdeckung und Konsistenz. Unsere Agenten testen Tausende von Angriffsszenarien parallel über jedes Formular, jede API und jede Subdomain — kein menschliches Team kann diese Angriffsfläche zu diesem Preis abdecken.
Ja — laden Sie ein geschwärztes, reales Beispiel über die Berichtskarte oben herunter.
Wir haben noch nie einen Scan durchgeführt, der absolut nichts gefunden hat — aber falls wir tatsächlich null bestätigte Funde liefern, erstatten wir 50% und testen innerhalb von 30 Tagen kostenlos erneut.
Beides — beginnen Sie mit einem einzelnen Scan und upgraden Sie auf Pro, Scale oder Enterprise, wann immer Sie wiederkehrende Abdeckung benötigen.
Echte Angreifer scannen Ihre Website bereits. Lassen Sie unsere Agenten zuerst ran. Vollständiger Bericht in 5 Stunden.
Ab € 5,100 · Black-box · Keine Datenspeicherung · NDA verfügbar
