Einsatzregeln

1. Autorisierung ist erforderlich

Ein Check ist aktives Sicherheitstesten. Wir beginnen erst, nachdem Sie eine schriftliche Autorisierung erteilt haben: Sie bestätigen, dass Ihnen die Ziele im Umfang gehören oder dass Sie von deren Inhaber autorisiert sind, sie testen zu lassen, benennen den genauen Umfang und akzeptieren diese Regeln. Wir erfassen diese Autorisierung (wer, was, wann) als Einwilligungsnachweis und bewahren sie für die gesetzlich erforderliche Dauer auf. Wenn Sie diese Autorisierung nicht erteilen können, können wir das Ziel nicht testen.

2. Umfang

Wir testen nur die Domains, Hosts und Anwendungen, die Sie bei der Autorisierung angeben, sowie die dazugehörigen Subdomains und Dienste, die bei der Erkundung gefunden werden. Wir testen nichts außerhalb dieses Umfangs. Falls die Erkundung Assets zutage fördert, die möglicherweise nicht Ihnen gehören, fragen wir Sie, bevor wir sie anfassen. Sie können den Umfang jederzeit vor Abschluss der Tests ändern oder einschränken.

3. Wie wir testen

Das Testen ist extern und nicht-destruktiv. Wir führen Erkundung (Subdomains, DNS, Ports und Dienste), TLS- und HTTP-Analyse, Technologie-Fingerprinting und einen Schwachstellen-Scan (Nuclei und OpenVAS) durch. Auf der Stufe App Pen Test versuchen wir zusätzlich, ausnutzbare Befunde kontrolliert und minimal zu bestätigen — nur so weit, dass die Auswirkung belegt wird, niemals um Schaden anzurichten, echte Daten in großem Umfang zu entwenden oder Ihren Dienst zu stören. Wir führen keine Denial-of-Service- oder Lasttests durch, verändern oder löschen Ihre Daten nicht und gehen nicht über den autorisierten Umfang hinaus.

4. Zeitplan und Störungen

Das Testen ist so ausgelegt, dass es deutlich im Rahmen des normalen Datenverkehrs bleibt. Wenn Sie ein bestimmtes Zeitfenster benötigen oder ein fragiles System ausschließen müssen, teilen Sie uns dies in Ihren Hinweisen mit. In dem unwahrscheinlichen Fall, dass unser Test Ihren Dienst zu beeinträchtigen scheint, pausieren wir sofort. Sie können uns jederzeit und aus beliebigem Grund auffordern aufzuhören, und wir tun es.

5. Kritische Befunde

Wenn wir etwas Kritisches finden — zum Beispiel eine offengelegte Datenbank, eine aktiv ausgenutzte Schwachstelle oder offengelegte Zugangsdaten — sagen wir es Ihnen, sobald wir es bestätigen, noch vor dem Abschlussbericht, damit Sie handeln können. Wir geben Ihre Befunde an niemanden sonst weiter.

6. Drittanbieter-Plattformen

Wenn Ihre Ziele bei einem Anbieter gehostet werden (zum Beispiel einer Cloud-Plattform oder einem verwalteten Host), können dessen eigene Bedingungen verlangen, dass Sie ihn benachrichtigen oder vor dem Testen um Erlaubnis bitten. Sicherzustellen, dass eine solche Anbieter-Autorisierung vorliegt, liegt in Ihrer Verantwortung; wir sagen Ihnen gern, was wir ausführen möchten.

7. Ihre Daten

Wir behandeln alle Daten, auf die wir stoßen, als vertraulich, erheben nur, was zum Nachweis eines Befunds nötig ist, und speichern die Bewertungsergebnisse sicher. Berichte und Nachweise werden nur mit Ihnen geteilt. Siehe die Datenschutz.

8. Was eine Bewertung nicht ist

Eine externe Bewertung spiegelt wider, was aus dem Internet innerhalb des vereinbarten Umfangs zum Zeitpunkt des Scans erreichbar und testbar ist. Sie kann nicht beweisen, dass keine Schwachstelle existiert, und ersetzt kein laufendes Programm oder eine formale Zertifizierung. Das Beheben der Befunde und das Überprüfen der Behebungen bleiben Ihre Verantwortung — die Stufe App Pen Test enthält einen Retest zur Unterstützung.

9. Kontakt

Fragen zu Umfang oder Durchführung: hello@riskbits.net. Ionuț-Robert Sandu, Persoană Fizică Autorizată (PFA), CUI 51596898, B-dul Bucureștii Noi 136, parter, ap. 5, Sector 1, Bucharest, Romania.