Kurz gesagt: Aikido Führen Sie jetzt Penetrationstests für Ihr externes Netzwerk durch. Angreifer testen Ihre Netzwerkschutzgrenzen bereits täglich, und da KI-Agenten die Routinearbeit übernehmen, sind sie schneller denn je. Jetzt können Sie denselben Test als Erster durchführen. Geben Sie unseren Agenten eine Domain, und sie erfassen die von Ihnen betriebenen, mit dem Internet verbundenen Systeme und greifen diese von außen an – genau wie es ein böswilliger Angreifer tun würde.
Irgendwo arbeiten gerade automatisierte Tools Ihre Subdomains ab, erstellen Fingerabdrücke Ihrer Server und überprüfen diese auf bekannte Schwachstellen wie PHP2Shell – jene kritischen PHP-Sicherheitslücken, die letzte Woche innerhalb weniger Stunden von einer Bekanntgabe zur aktiven Ausnutzung führten. KI-Agenten können mittlerweile mehr als nur ein veraltetes Framework oder eine ungeschützte Konfigurationsdatei aufspüren. Sie versuchen den Exploit, passen sich an, wenn er fehlschlägt, und nutzen alles, was sie finden, um das nächste System zu erreichen. Schwachstellen, für deren Ausnutzung früher ein erfahrener Mensch und ein freies Wochenende nötig waren, sind mittlerweile zu „niedrig hängenden Früchten“ geworden, die automatisch gepflückt werden – und zwar bei Tausenden von Unternehmen gleichzeitig.
Wie schnell geht das? Als PHP2Shell bekannt wurde, hatteCloudflare bereits in den 10 Stunden vor der Bekanntgabe Tausende von Angriffsversuchen verzeichnet. Diese Zahl stieg innerhalb von 45 Minuten auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und am nächsten Tag auf Millionen.
Bei diesem Tempo kann die offizielle Reaktion auf die schwerwiegendsten Schwachstellen darin bestehen, betroffene Systeme vom Netz zu nehmen, bis sie behoben sind. Als Angreifer im Jahr 2024 die VPN-Geräte von „ Ivanti “ ins Visier nahmen, gab die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) den Bundesbehörden 48 Stunden Zeit, alle betroffenen Geräte vom Netz zu nehmen, und ließ sie erst wieder online gehen, nachdem sie neu aufgesetzt und vollständig gepatcht worden waren. Und PHP2Shell ist kein Einzelfall. Die von a16z erstellten „Zero Day Clock“-Zahlen zeigen, dass im Jahr 2018 18,7 % der von Angreifern ausgenutzten Schwachstellen bereits am Tag ihrer Veröffentlichung oder noch davor ausgenutzt wurden. Im Jahr 2026 sind es bislang 86,7 %.
Aber man kann nur ein System abschalten, das man kennt, und das auch erst, nachdem man darauf hingewiesen wurde, dass es gefährdet ist. Wenn Angreifer so schnell handeln, kann man ihnen nur dann einen Schritt voraus sein, wenn man genauso oft Tests durchführt.
Wout Debaenst, Leiter des Bereichs Penetrationstests bei „ Aikido “, führt diese Tests seit Jahren manuell durch:
„Was wir testen, ist genau das, was ohnehin ständig getestet wird. Entweder lassen Sie uns die Hackerangriffe durchführen, oder Sie überlassen das den kriminellen Gruppen. Es ist derselbe Test, und Sie möchten lieber, dass wir die Schwachstelle finden als sie.“
Ab heute können Sie diesen Test als Erstes durchführen. Aikido bietet externe Netzwerk-Penetrationstests, bei denen Ihre Sicherheitsperimeter so angegriffen werden, wie es ein Angreifer von außen tun würde – ausgehend von nichts weiter als Ihrer Domain und einer kleinen Armee von KI-Agenten.
Was versteht man unter einem externen Netzwerk-Penetrationstest?
Die Begriffe im Zusammenhang mit Penetrationstests werden oft recht locker verwendet; daher hier eine Erklärung der üblichen Bedeutungen der einzelnen Begriffe:
- Penetrationstest für Webanwendungen: Hier wird eine einzelne Anwendung, ihre Logik, ihre Benutzerrollen und ihr Code eingehend untersucht. Dabei treten Schwachstellen in der Geschäftslogik und fehlerhafte Zugriffskontrollen zutage.
- Pentest des externen Netzwerks: Umfasst alles, was über das öffentliche Internet unter Ihrer Domain erreichbar ist, wie beispielsweise Server, VPN-Gateways und Mailserver. Ihre Anwendungen fallen ebenfalls in den Untersuchungsumfang, jedoch nur der Teil, der für jeden im Internet sichtbar ist: der Server, auf dem sie laufen, und die Seiten, die Sie ohne Anmeldung aufrufen können. Um zu testen, was nach der Anmeldung geschieht – wie beispielsweise Benutzerrollen und Geschäftslogik –, ist ein Webanwendungs-Pentest erforderlich.
- Interner Penetrationstest: Umfasst Systeme, die vom Internet aus nicht erreichbar sind, wie beispielsweise ein Büronetzwerk, eine private Cloud oder Active Directory. Externe Netzwerk-Penetrationstests berücksichtigen diese nicht.
Wenn der Großteil Ihres Geschäfts über eine einzige Anwendung läuft, fangen Sie dort an. Führen Sie zunächst einen Penetrationstest für Webanwendungen für diese Anwendung durch und beheben Sie die dabei festgestellten Schwachstellen. Führen Sie anschließend einen Penetrationstest für das externe Netzwerk durch, um alles drumherum zu überprüfen, damit der Rest Ihres Netzwerks Angreifern keinen leichteren Zugang bietet.
Ihre Sicherheitsperimeter ändern sich schneller als Ihr Penetrationstest-Zeitplan
Viele Unternehmen führen ein- bis zweimal im Jahr Penetrationstests für ihr externes Netzwerk durch, und alles, was sich nach Abschluss der Tests ändert, bleibt bis zum nächsten Mal ungeprüft. Wenn jemand in der Woche nach dem Penetrationstest eine neue Subdomain einrichtet, kann diese monatelang unentdeckt bleiben, bevor jemand auf Ihrer Seite versucht, sich dort Zugang zu verschaffen. Im Bericht „State of AI in Pentesting 2026“ vonAikido gaben 48 % der 400 von uns befragten Führungskräfte aus den Bereichen Sicherheit und Technik an, dass die Ergebnisse von Penetrationstests bereits veraltet sind, wenn sie vorliegen.
Sie sollten also häufiger Tests durchführen, idealerweise jedes Mal, wenn sich Ihr Netzwerkumfang ändert. Der externe Netzwerk-Penetrationstest von „ Aikido “ läuft kontinuierlich und erfasst fortlaufend alle Elemente unter Ihrer Domain, und die Agenten beginnen kurz nach der Inbetriebnahme eines neuen Hosts mit dessen Überprüfung. Die Preise für „ kontinuierliches Penetrationstesten “ werden jährlich berechnet und richten sich nach der Größe Ihres externen Netzwerks zum Zeitpunkt des ersten Penetrationstests. Wenn Sie noch dabei sind, herauszufinden, wie oft Sie welche Tests durchführen sollten, finden Sie hier eine Anleitung, wie Sie die Häufigkeit Ihrer Penetrationstests und das Budget entsprechend des Risikos planen können.
So funktioniert's
- Die Agenten erstellen eine Übersicht über Ihre Infrastruktur. Sie suchen unter Ihrer Root-Domain nach Subdomains und Systemen mit Internetanbindung: Websites, Apps, APIs, VPN-Gateways, Mailserver und selbst gehostete Tools wie beispielsweise einen GitLab-Server. Subdomains, die auf Dienste verweisen, die Ihnen nicht gehören, werden automatisch herausgefiltert, und Sie können alle anderen entfernen, die nicht getestet werden sollen.
- Sie weisen Ihre Eigentumsrechte nach. Sobald diese bestätigt sind, erhalten Sie ein genaues Angebot und starten den Penetrationstest. Es findet kein Gespräch zur Festlegung des Untersuchungsumfangs statt, und Sie benötigen kein bestehendes „ Aikido “-Abonnement.
- Agenten greifen jeden Host an. Jeder Host erhält eigene Agenten, die über den Server selbst arbeiten und versuchen, über bekannte CVEs, Fehlkonfigurationen und exponierte secrets Einzug zu halten.
- Nur bewährte Erkenntnisse finden Eingang in den Bericht. Bevor Erkenntnisse akzeptiert werden, müssen die Agenten ihre Behauptungen mit konkreten Beweisen untermauern, die von anderen Agenten validiert und reproduziert werden.
- Sie beheben das Problem und führen einen erneuten Test durch. Zu jedem Befund wird ein Lösungsvorschlag angezeigt. Sobald Sie diesen umgesetzt haben, wird im Rahmen eines erneuten Tests ein zusätzlicher Agent gestartet, der überprüft, ob das Problem behoben ist und ob die Korrektur an anderer Stelle zu einem neuen Problem geführt hat. Erneute Tests sind bis zu 6 Monate lang verfügbar.
Agenten, die über ihren nächsten Schritt entscheiden
AikidoDer Pentest basiert auf Agenten. Jeder Agent startet an einem anderen Punkt mit einem eigenen Schwerpunkt und entscheidet anhand seiner Erkenntnisse, wie es weitergeht. Ein Versionsbanner, ein offener Port oder eine offengelegte Datei ändern den Plan – genau wie es bei einem menschlichen Angreifer der Fall wäre. Dadurch können sich die Agenten an Ihre Umgebung anpassen, ganz gleich, wie diese aufgebaut ist.
Die meisten „ automatisiertes Penetrationstesting “-Tools, darunter auch einige, die als KI vermarktet werden, arbeiten mit einem vorprogrammierten Satz von Prüfungen. Wenn eine Prüfung nicht genau auf Ihre Umgebung zutrifft, bleibt dieser Teil ungetestet – und genau diese Schwachstelle entdeckt ein Angreifer sofort.
So sieht die Anpassung an einem typischen Perimeter aus:
- Ein öffentlich zugänglicher .git-Ordner macht den Repository-Verlauf auf einem öffentlichen Server einsehbar.
- Der Repository-Verlauf enthält SSH-Anmeldedaten
- Die gleichen Anmeldedaten funktionieren auf einem anderen Host
- Auf diesem zweiten Server finden die Agenten die Azure-Anmeldedaten
- Mit diesen Anmeldedaten erhält man Administratorzugriff auf den Cloud-Tenant
Nur wenige dieser Erkenntnisse würden für sich genommen schon einen Bericht rechtfertigen. Zusammengenommen geben sie jedoch Aufschluss über den Cloud-Nutzer. Der Bericht zeigt die gesamte Kette auf, sodass Sie erkennen können, was ein Angreifer tatsächlich erreichen könnte und wie er durch jeden einzelnen Schritt dorthin gelangt ist.
Ein Tool für Ihr Penetrationstest-Team
Menschliche Tester sind am besten bei tiefgreifenden, kreativen Aufgaben, wie beispielsweise einer geschäftskritischen App oder einem Angriffsszenario, auf das nur jemand kommen würde, der Ihr Unternehmen kennt. Am wenigsten wertvoll ist ihre Zeit hingegen, wenn sie Hunderte von Hosts erneut auf Probleme überprüfen müssen, die seit dem letzten Einsatz aufgetreten sind.
KI-Agenten können und sollten diesen Teil übernehmen. Sie decken bei jedem Durchlauf jeden Host ab, den sie finden, sodass die Mitarbeiter, die Sie bezahlen, ihre Zeit dort einsetzen können, wo ihr Urteilsvermögen am wichtigsten ist. Für Anbieter von Penetrationstests gilt dasselbe Prinzip: Setzen Sie die Agenten zunächst entlang der Perimeter des Kunden ein und widmen Sie sich dann während des Auftrags den Aufgaben, die Ihre Aufmerksamkeit erfordern.
Kann problemlos in der Produktionsumgebung ausgeführt werden
Ihr externes Netzwerk ist Ihre Produktionsumgebung, daher sind die Agenten so konzipiert, dass sie diese testen können, ohne irgendetwas zu beeinträchtigen:
- Ein Überwachungsagent überprüft jede Aktion vor ihrer Ausführung und blockiert alles, was die Systeme stören könnte.
- Die Agenten halten inne, sobald eine Ausnutzung nachgewiesen ist, und bitten um eine Bestätigung durch einen Menschen, bevor sie weiter vorgehen.
- Sie laden Ihre Daten weder herunter noch speichern sie diese. Die Ergebnisse zeigen, welchen Zugriff die Agenten hatten, ohne dabei etwas zu kopieren.
- Über Ihre Root-Domain hinaus wird die Eigentümerschaft jedes einzelnen Ziels überprüft, sodass die Agenten niemals Systeme testen, die nicht Ihnen gehören.
- Der Panikknopf stoppt jeden Agenten sofort.
Los geht's
Sehen Sie sich die Demo an, um zu sehen, wie die Agenten einen Sicherheitsbereich absichern.
Wenn Sie lieber gleich mit Ihrer eigenen Domain loslegen möchten, wählen Sie einfach die Domain aus, die Ihnen am wichtigsten ist, und lassen Sie die Agenten ihre Arbeit verrichten. Sie können jeden Agenten live bei der Arbeit verfolgen, und der Bericht liegt innerhalb weniger Stunden vor.
{{cta}}
