Von serialisierten Bytes zur Shell: Ausnutzung der Java-Deserialisierung
Fallstudie aus einem autorisierten Pentest: Remote Code Execution über unsichere Java-Deserialisierung in Spring HttpInvoker.
Lesen → Smarter
Mehr als automatisiertes Scannen
Wir automatisieren das Repetitive, doch Validierung und Entscheidungen bleiben beim Tester. Jeder relevante Befund wird manuell verifiziert und in den Kontext gestellt. Ein Scanner meldet ein mögliches Problem; wir zeigen, ob es sich ausnutzen lässt und welche Auswirkung es hat.
Better
Prioritäten nach Wirkung, nicht nach Menge
Wir blähen den Schweregrad nicht künstlich auf und vergraben wichtige Risiken nicht in einem überladenen Bericht. Sie erhalten begründete Befunde, klare Prioritäten und Empfehlungen, die Ihr Team in Maßnahmen umsetzen kann.
Certified
Nachprüfbare Gründlichkeit, auf Unternehmens- und Teamebene
ISO 27001:2023 und ISO 9001:2023 auf Unternehmensebene; OSCP, OSWP, CEH, LPT, CISA und GICSP auf Teamebene. Wir liefern technische und Management-Dokumentation, zugeschnitten auf Ihr internes Team, die Geschäftsführung und die Auditoren.
Penetrationstests
Zu wissen, welche Schwachstellen Sie haben, reicht nicht. Sie müssen wissen, was ein Angreifer damit anfangen kann.
Ein gut durchgeführter Penetrationstest verknüpft Schwachstellen, Konfigurationen und Zugriffsrechte zu einem realistischen Angriffsszenario. Das Ergebnis zeigt, welche Assets exponiert sind, welche Kontrollen greifen und wo vorrangig eingegriffen werden muss.
- Ausnutzbare Schwachstellen, manuell validiert
- Angriffsketten und Pivot-Punkte
- Architektur- und Segmentierungsmängel
- Erkennungs- und Reaktionsfähigkeit
- Tatsächliche Exposition von Daten und Systemen
- Nachweise für Audit und Compliance
- Klare Prioritäten für die Behebung
- Validierung der Sicherheitsinvestitionen
Fähigkeiten
Die Angriffsfläche endet längst nicht mehr bei Webanwendungen und Netzwerk
Cloud, industrielle Systeme, digitale Identität, KI-Modelle und Software-Lieferketten haben die Angriffsfläche radikal erweitert. Unsere Fähigkeiten decken diese Umgebungen ab, ohne die Gründlichkeit klassischer Tests aufzugeben.
01
ICS / SCADA / OT
Wir bewerten industrielle Steuerungssysteme in Energie, Wasser, Fernwärme und Fertigung. Die Tests werden so geplant, dass das Betriebsrisiko begrenzt bleibt, und nutzen Protokolle und Szenarien, die für industrielle Umgebungen typisch sind.
02
Cloud, Kubernetes und IaC
Wir bewerten Public, Private und Government Cloud, Kubernetes-Konfigurationen, Container, IAM-Richtlinien, Pipeline-Secrets und die Abweichungen zwischen der im Code deklarierten und der tatsächlich in Produktion laufenden Infrastruktur.
03
Red Team und TIBER-EU
Wir entwickeln offensive Szenarien ausgehend von relevanten Bedrohungen und expliziten Geschäftszielen. Die Übungen können am TIBER-EU-Rahmen, an nationalen Umsetzungen und an den Anforderungen an die operationelle Resilienz aus DORA ausgerichtet werden.
04
KI-gestützter Pentest
Wir führen Pentests mit unserer eigenen KI-Plattform durch — einem Frontier- oder self-hosted LLM, dazu eine eigene Methodik mit Iterationsschleifen, strengen Sicherheitsvorgaben und einem Interactive-Pentester-Modus. Die Werkzeuge nehmen die Leerläufe heraus; Urteil und Kontrolle bleiben beim Tester.
05
Sicherheit KI-basierter Systeme
Wir testen Prompt Injection, Datenexposition über den Kontext, den Missbrauch von Agenten mit Tool-Zugriff, unzureichende Isolation und Eskalation über Modell-Integrationen. Die Bewertung verfolgt die Risiken, die entstehen, wenn ein KI-System Zugriff auf echte Daten und Prozesse erhält.
06
Hardware, Embedded-Systeme und Firmware
Wir analysieren Embedded-Geräte, Firmware, Hardware-Schnittstellen und Kommunikationsprotokolle, auch in Black-Box-Szenarien und unter kontrolliertem physischem Zugriff.
07
eKYC und Deepfake-Resilienz
Wir bewerten Identitätsprüfungs-Abläufe gegen synthetische Präsentationen: generierte Bilder und Videos, manipulierte Dokumente, geklonte Stimmen, Replay und das Umgehen von Liveness-Mechanismen. Die Tests sind relevant für Banking-Onboarding, Fintechs und Zahlungsinstitute.
08
Purple Teaming und Validierung der Erkennung
Wir führen Angriffstechniken gemeinsam mit dem Verteidigungsteam aus und messen, was SOC, EDR und Korrelationsregeln erkennen, was unentdeckt bleibt und wie lange die Reaktion dauert. Das Ergebnis ist ein konkreter Plan zur Verbesserung der Erkennung.
Warum SafeByte
Technische Expertise, Projektdisziplin und Verständnis für den Geschäftskontext
-
Erfahrung in kritischen Umgebungen
Die Erfahrung unseres Teams ist in komplexen Projekten gewachsen — von Finanzanwendungen und Enterprise-Infrastrukturen bis zu ICS/SCADA und Systemen mit hohen Verfügbarkeitsanforderungen. Wir verstehen sowohl die Technik als auch die betrieblichen Zwänge darum herum.
-
Kontinuierlich aktualisierte technische Praxis
Wir halten unsere Methoden und Labore durch Forschung, Tests und kontinuierliche Weiterbildung aktuell. Wir arbeiten nicht mechanisch dieselbe Checkliste ab: Wir passen die Techniken an die Architektur, die Technologie und das Risikoprofil jedes Projekts an.
-
Empfehlungen, die sich umsetzen lassen
Eine Schwachstelle existiert nicht im luftleeren Raum. Wir bewerten sie im Verhältnis zu den Prozessen, Daten, Abhängigkeiten und Pflichten der Organisation und formulieren dann verhältnismäßige, klare Maßnahmen, die von den zuständigen Teams umgesetzt werden können.
ISO/IEC 27001:2023Informationssicherheit
ISO 9001:2023Qualitätsmanagement
Leistungen
Leistungen, die sich am realen Risiko orientieren
Von punktuellen Bewertungen bis zu mehrjährigen Programmen definieren wir Umfang, Tiefe und Berichterstattung nach den kritischen Systemen, den relevanten Bedrohungen und den Compliance-Anforderungen.
Web- und API-Tests
Webanwendungen, REST- und GraphQL-APIs, API-first-Architekturen und B2B-Integrationen. Manuelle Tests mit Fokus auf Anwendungslogik, Autorisierung und Datenauswirkung.
Details →Infrastruktur-Tests
Externer Perimeter, internes Netzwerk, Active Directory, sensible Segmente und WLAN-Netze. Wir identifizieren Zugriffs-, Eskalations- und laterale Bewegungspfade.
Details →Tests mobiler Anwendungen
iOS- und Android-Apps, einschließlich Mobile Banking, Authentifizierungsmechanismen und RASP-Schutz. Wir analysieren die App, die Kommunikation und die zugehörigen APIs; ein Retest ist inbegriffen.
Details →Compliance-Audit
Bewertungen gegen die Anforderungen nationaler Behörden und Finanzaufsichten sowie gegen Rahmenwerke und Standards wie NIST CSF, ISO 27001, PCI DSS, NIS2 und DORA.
Details →Industrielle Sicherheit (ICS/SCADA)
Sicherheitsbewertungen für industrielle Systeme, Netze und Protokolle, geplant rund um die Anforderungen an Safety, Verfügbarkeit und Prozesskontinuität.
Details →CISO-as-a-Service und GRC
Governance, Risikoanalyse, Richtlinien, Compliance-Programme und die Koordination der Sicherheitsmaßnahmen für Organisationen, die keinen internen Vollzeit-CISO benötigen oder noch keinen haben.
Details → Branchen
Wir arbeiten dort, wo Ausfälle reale Folgen haben
Jede Branche hat andere Technologien, Bedrohungen, Pflichten und Risikotoleranzen. Die Methodik bleibt gründlich, doch die Szenarien und Bewertungskriterien werden an den betrieblichen Kontext angepasst.
Banken und Finanzwesen
Geschäftsbanken, Kreditinstitute, Fintechs, Zahlungsinstitute und Prozessoren, in stark regulierten Kontexten mit strengen Resilienzanforderungen.
Energie
Erzeugung, Übertragung und Verteilung von Energie, Wasserkraft, Fernwärme und Versorgung, mit voneinander abhängigen IT- und OT-Infrastrukturen.
Versorgungsunternehmen
Wasser- und Abwasserbetriebe, bei denen IT-Infrastruktur, Kommunikationssysteme und die SCADA-Umgebung gemeinsam bewertet werden müssen.
Nuklear und Industrie
Organisationen aus dem Nuklearbereich, Öl und Gas sowie der Fertigung mit kontinuierlichen Prozessen, bei denen Safety und Verfügbarkeit Vorrang haben.
Gesundheit und Pharma
Pharmahersteller, Institute und medizinische Organisationen, die sensible Daten, Laborsysteme und vernetzte Geräte verwalten.
Öffentlicher Sektor
Zentrale und lokale Behörden, Digitalisierungsagenturen und öffentlich finanzierte Projekte, mit hohen Anforderungen an Transparenz, Kontinuität und Compliance.
Relevante Erfahrung
Projekte, die wir beschreiben können, ohne die Vertraulichkeit zu verletzen
Die meisten Projekte sind durch Vertraulichkeitsvereinbarungen geschützt. Die folgenden Beispiele sind anonymisiert, bewahren aber die Art der Organisation, den Umfang und die Natur der durchgeführten Arbeiten.
Mehrjähriges Programm
Mehrjähriges Programm aus Penetrationstests und Sicherheitsaudits für eines der größten Bankinstitute Rumäniens.
Zentralbank
Externe, interne, interbankische und WLAN-Tests, ergänzt durch Schwachstellenbewertungen, für die Zentralbank eines Staates.
Mobile Banking
PCI-DSS-v4.0.1-Audit für eine Zahlungsanwendung, mit von der Bankenaufsicht akzeptierter Dokumentation.
Internationales Programm
Sicherheitsaudits und Penetrationstests für sieben Unternehmen aus Energie und kritischer Infrastruktur, im Rahmen eines von einer internationalen Entwicklungsorganisation koordinierten Programms.
Government Cloud
Sicherheitsbewertung für die Migration von Anwendungen in eine private Government Cloud, durchgeführt im Rahmen eines über den nationalen Aufbau- und Resilienzplan finanzierten Rahmenvertrags.
Nuklear und Öl & Gas
Penetrationstests für Organisationen aus dem Nuklearbereich und der Öl- und Gasindustrie.
Early Access · Vigilum by SafeByte
Entlarven Sie den Angreifer, bevor der Angreifer Sie entlarvt.
Vigilum verteilt in Ihrer Infrastruktur glaubwürdige Köder-Artefakte — Anmeldedaten, Sitzungen, Dateien, Dienste und Cloud-Schlüssel —, auf die legitime Nutzer und Prozesse keinen Grund haben zuzugreifen.
Wird eines dieser Artefakte berührt, erhalten Sie ein frühes, kontextreiches Signal: die Quelle der Aktivität, die Pivot-Punkte und den in der Infrastruktur zurückgelegten Weg.
- Signale mit hoher Zuverlässigkeit, ohne Abhängigkeit von laufendem Tuning
- Sichtbarkeit über laterale Bewegung und den Angriffsweg
- Einsatz on-premises oder in vollständig getrennten Umgebungen
- Ergänzt EDR und SIEM, ohne sie zu ersetzen
Blog
Analysen und Beobachtungen aus der Praxis
Technische Artikel, Lektionen aus Projekten und Erläuterungen zu Risiken, die es zu verstehen lohnt. Ohne Marketing-Lärm.
Post-Quanten-Kryptografie: Auswirkungen auf Banken und kritische Infrastrukturen
Die NIST-PQC-Standards, die Bedrohung „Harvest Now, Decrypt Later" und ein Migrationsrahmen für den Finanz- und Energiesektor.
Lesen →
Studie — Künstliche Intelligenz in der Cybersicherheit
Strategische Studie: von den Ergebnissen der DARPA AIxCC bis zu den Risiken für Rumänien und Empfehlungen für kurze, mittlere und lange Frist.
Lesen → Kontakt
Sagen Sie uns, was bewertet werden soll
Beschreiben Sie kurz das System, das Ziel und den geschätzten Zeitrahmen. Wir melden uns innerhalb eines Werktages. Für sensible Informationen können Sie unseren PGP-Schlüssel verwenden.
- office@safebyte.io
- Schwachstellen melden
- security.txt · PGP-Schlüssel verfügbar
- Telefon
- +40 723 010 220
- Standort
- SafeByte Consulting S.R.L.
Str. Ionescu Gheorghe nr. 1, Bl. 148, Sector 4, Bukarest