Sicherheit ist kein Projekt. Sicherheit ist ein Zyklus.
Angriffsflächen-Monitoring, Penetrationstests, Red Teaming und Security-Beratung — vier Phasen, die ineinandergreifen statt nebeneinander zu stehen. Deutscher Security-Lead, effizientes Delivery-Team, Preise, die auch für den Mittelstand funktionieren.
Ein Pentest pro Jahr ist kein Sicherheitskonzept
Die meisten Unternehmen kaufen einmal im Jahr einen Penetrationstest, bekommen ein PDF, legen es ab — und ändern bis zum nächsten Audit nichts. In der Zwischenzeit wächst die Angriffsfläche: neue Subdomains, ein vergessener Testserver, ein geleaktes Passwort aus einem fremden Datenleck, ein Deployment ohne Review. Angreifer arbeiten kontinuierlich. Verteidigung, die nur einmal im Jahr stattfindet, verliert zwangsläufig. Deshalb verkaufen wir keine Einzelmaßnahmen, sondern einen Zyklus — und die Hälfte davon ist das, was nach dem Bericht passiert.
Der DeViLink Security Cycle
Sehen. Prüfen. Angreifen. Absichern.
Vier Phasen, die sich gegenseitig auslösen. Sie können an jeder Stelle einsteigen — und bleiben im Kreis, statt jedes Jahr bei null zu beginnen.
Sehen
Was sieht ein Angreifer, bevor er anfängt?
Kontinuierliches Monitoring Ihrer von außen erreichbaren Angriffsfläche: Domains, Subdomains, offene Dienste, Zertifikate, Cloud-Speicher — plus Leak-Monitoring für Zugangsdaten Ihrer Mitarbeitenden, die in fremden Datenlecks auftauchen.
- Externe Asset- und Service-Erkennung
- Alarm bei neuer Exposition, nicht bei Bestand
- Credential- und Leak-Monitoring
- Monatlicher Report für die Geschäftsführung
Findet eine exponierte Anwendung → löst Phase 2 aus.
Angriffsflächen-Monitoring ansehenPrüfen
Ist das, was erreichbar ist, auch angreifbar?
Manueller Penetrationstest nach OWASP, PTES und BSI-Standards — Webanwendungen, APIs, Cloud und Infrastruktur. Mit Management Summary, CVSS-priorisierten Findings, konkreten Fixes und Re-Testing nach der Behebung.
- Web, API, Cloud, Infrastruktur
- Blackbox, Greybox oder Whitebox
- CVSS-priorisierte Findings mit Fix-Empfehlung
- Re-Test nach Behebung inklusive
Findet eine Schwachstellenklasse → löst Phase 4 aus.
Penetrationstest ansehenAngreifen
Und wenn jemand wirklich rein will?
Ein Experte greift mit KI-Unterstützung von außen an — die Perspektive, aus der bald automatisierte Angriffe kommen. Der Red-Teaming-Starter zeigt zum Festpreis, was ein Angreifer über Ihre öffentlichen Systeme herausfindet. Interner Einstieg und Detection auf Anfrage.
- Red-Teaming-Starter: extern, Festpreis €2.500
- Experte mit KI statt reinem Scanner
- Optionaler Retest €300
- Assumed Breach & Detection auf Anfrage
Zeigt Erkennungslücken → löst Phase 1 und 4 aus.
Red Teaming ansehenAbsichern
Warum entsteht dieser Fehler immer wieder?
Der Teil, an dem die meisten Berichte scheitern: Behebung. Wir prüfen Konfiguration und Architektur, räumen mit Ihren Entwicklern auf, verankern Sicherheit in der Entwicklungs-Pipeline — und liefern die Nachweise für NIS2, CRA, ISO 27001 oder TISAX gleich mit.
- Security Audit & Konfigurationsprüfung
- Secure-SDLC-Review und Entwickler-Workshop
- CRA-Begleitung und Nachweise für NIS2
- Wir beheben auf Wunsch selbst mit
Hebt das Niveau → zurück zu Phase 1.
Security Audit ansehenDer Unterschied zum klassischen Anbieter: Wir sind ein Software-Unternehmen. Die Behebungsphase ist unser Heimspiel — wir können die Findings nicht nur benennen, sondern mit Ihrem Team abstellen.
Entscheidungshilfe
Welcher Einstieg passt zu Ihnen?
Sie müssen nicht den ganzen Zyklus kaufen. Starten Sie dort, wo Ihr Anlass liegt. Die Übersicht zeigt, womit wir in typischen Situationen beginnen würden.
| Ihre Situation | Unser Vorschlag für den Einstieg |
|---|---|
| Wir wissen nicht genau, was von unseren Systemen im Internet erreichbar ist. | Kostenloser Attack-Surface-Check: Wir zeigen Ihnen, was ein Angreifer von außen sieht. Wenn Sie es dauerhaft beobachten wollen, folgt das Monitoring.Check kostenlos · Monitoring ab €249/MonatAngriffsflächen-Monitoring |
| Ein Kunde, Auditor oder eine Ausschreibung verlangt einen aktuellen Pentest-Bericht. | Manueller Penetrationstest der betroffenen Anwendung oder Infrastruktur, mit Management Summary, Nachweisform für Auditoren und Re-Test nach der Behebung.ab €3.500Penetrationstest |
| Wir fallen unter NIS2 und wissen nicht, wo wir stehen. | Penetrationstest Ihrer kritischen Systeme: Er belegt, ob Ihre Maßnahmen wirken (§ 30 BSIG). Auf Wunsch prüft ein Security Audit zusätzlich Konfiguration und Architektur.Pentest ab €3.500 · Audit €2.500 (2 Tage)NIS2 & Penetrationstest |
| Wir stellen Software oder vernetzte Produkte her und verkaufen sie in der EU. | Kostenloser CRA-Meldefähigkeits-Check: Können Sie eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden erkennen und melden? Danach Begleitung und Produkt-Pentest nach Tagessatz.Check kostenlos · Begleitung ab €800/TagCyber Resilience Act |
| Wir lassen regelmäßig testen und wollen wissen, ob ein Angreifer trotzdem ans Ziel käme. | Red-Teaming-Starter: Ein Experte greift mit KI-Unterstützung Ihre öffentlichen Systeme an, zielorientiert statt abdeckungsorientiert.€2.500 FestpreisRed Teaming |
| In jedem Bericht tauchen dieselben Schwachstellen wieder auf. | Security Audit oder Secure-SDLC-Review: Wir suchen die Ursache in Konfiguration, Pipeline und Review-Praxis statt im einzelnen Finding und helfen bei der Behebung.Audit €2.500 · SDLC-Review €4.900Security Audit |
| Wir haben gerade einen akuten Sicherheitsvorfall. | Dafür sind wir nicht der richtige erste Anruf: Incident Response rund um die Uhr bieten wir nicht an. Wenden Sie sich an einen vom BSI qualifizierten APT-Response-Dienstleister. Nach der Bereinigung prüfen wir mit einem Pentest, ob die Lücke wirklich geschlossen ist. |
IT-Sicherheit in Zahlen
Professionelle Security-Expertise zu mittelstandstauglichen Konditionen
Regulatorik
Die Frist ist kein Argument mehr. Sie ist vorbei.
NIS2 gilt in Deutschland seit dem 6. Dezember 2025 ohne Übergangsfrist. Die ersten CRA-Meldepflichten sind seit dem 11. September 2026 bindend. Wer jetzt keine Nachweise hat, hat ein Problem — kein Projekt.
NIS2 / BSIG
Rund 29.500 Unternehmen in Deutschland müssen Risikomanagement nachweisen — inklusive Überprüfung der Wirksamkeit ihrer Maßnahmen. Genau das leistet ein Penetrationstest.
NIS2 & PenetrationstestCyber Resilience Act
Hersteller vernetzter Produkte und Software müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden — auch für längst ausgelieferte Produkte. Ohne Erkennung keine Meldung.
CRA & SchwachstellenmanagementISO 27001 & TISAX
Zertifizierung und Re-Audit verlangen belastbare technische Prüfungen. Wir liefern den Bericht in der Form, die Ihr Auditor sehen will — inklusive Maßnahmenverfolgung.
Security Audit ansehenPCI-DSS & Kundenaudits
Zahlungsdaten, Konzernkunden, Ausschreibungen: Immer häufiger ist ein aktueller Pentest-Bericht die Eintrittskarte, nicht die Kür. Wir liefern ihn planbar und wiederholbar.
Penetrationstest ansehenUnsere Security-Leistungen
Einzeln buchbar — im Zyklus deutlich wirksamer
Angriffsflächen-Monitoring
Kontinuierliche Überwachung Ihrer externen Angriffsfläche inklusive Leak-Monitoring. Ab €249 im Monat.
Penetrationstest
Manuelle Sicherheitstests für Web, API, Cloud und Infrastruktur nach OWASP, PTES und BSI. Ab €3.500.
Red Teaming
Externer Red-Teaming-Starter zum Festpreis — ein Experte mit KI greift von außen an. Assumed Breach, Phishing und Detection auf Anfrage.
Security Audit & Beratung
Konfigurationsprüfung, Secure SDLC, Härtung und Maßnahmenplan — mit Umsetzungsbegleitung.
NIS2-Nachweise
Penetrationstests und Readiness-Check als belastbarer Wirksamkeitsnachweis nach §30 BSIG.
Cyber Resilience Act
Schwachstellenerkennung, Meldeprozess und Produkttests für Hersteller vernetzter Produkte.
Warum DeViLink für IT-Sicherheit?
Deutsche Führung, effiziente Umsetzung, ehrliche Grenzen
Deutscher Security-Lead
Ihr Ansprechpartner sitzt in Deutschland, führt das Projekt, unterschreibt jeden Bericht und ist im Zweifel persönlich vor Ort. Die Tests führt zum größten Teil unser zertifiziertes Team in Vietnam durch.
Wir können auch beheben
Die meisten Security-Anbieter liefern Findings und verschwinden. Wir sind ein Software-Unternehmen: Wenn Ihnen die Kapazität zur Behebung fehlt, übernehmen wir sie — im selben Projekt.
Mittelstandstaugliche Preise
Penetrationstests ab €3.500 statt der in Deutschland üblichen €7.500 bis €15.000 für vergleichbare Scopes. Transparent kalkuliert, vorab im Rechner nachvollziehbar.
Berichte, die Audits bestehen
Management Summary für die Geschäftsführung, technischer Teil für Ihre Entwickler, Nachweisform für Auditoren. CVSS-Bewertung, Reproduktionsschritte, Maßnahmenempfehlung.
Zyklus statt Einmalprojekt
Monitoring, Test, Behebung, erneuter Test — planbar über das Jahr verteilt, als Retainer ab €990 im Monat statt als jährlicher Kraftakt.
Ehrliche Grenzen
Wir sagen offen, was wir nicht machen: kein 24/7-SOC, keine TLPT-Tests nach TIBER-DE, keine Zertifizierung. Was wir zusagen, halten wir auch bei voller Auslastung.
Transparente Security-Preise
Einstieg ab €249 im Monat — oder der komplette Zyklus als Retainer
Angriffsflächen-Monitoring
Der Einstieg in den Zyklus
- Externe Angriffsflächen-Überwachung
- Leak- und Credential-Monitoring
- Alarm bei neuer Exposition
- Monatlicher Report
- Keine Mindestlaufzeit im Basic-Tarif
Security Cycle Retainer
Der vollständige Zyklus
- Monitoring inklusive
- Ein Penetrationstest pro Jahr
- Zwei Audit-/Beratungstage pro Jahr
- Re-Tests nach Behebung
- Bevorzugte Terminvergabe
- Compliance-Dokumentation für NIS2, ISO 27001, CRA
Einzelprojekte
Punktueller Bedarf
- Security Audit ab €2.500 (2 Tage)
- NIS2-Readiness-Check €2.900
- Penetrationstest ab €3.500
- Red-Teaming-Starter €2.500 (extern, Festpreis)
- Beratungstag €1.250
Häufige Fragen zur IT-Sicherheit
Was Kunden uns vor dem ersten Projekt fragen
Ein Penetrationstest startet bei €3.500 für eine kleine Webanwendung. Der Preis hängt vom Umfang ab: Anzahl der Endpunkte, Benutzerrollen, Testmethode (Blackbox, Greybox, Whitebox), Cloud-Infrastruktur, Datensensibilität und Compliance-Anforderungen. Im Pentest-Rechner können Sie Ihren Scope in zwei Minuten selbst durchkalkulieren und erhalten eine belastbare Preisindikation.
Das Gesetz schreibt keinen Penetrationstest namentlich vor. Es verlangt aber Risikomanagementmaßnahmen und die Überprüfung ihrer Wirksamkeit. Ein Penetrationstest ist das gebräuchlichste und belastbarste Mittel, diese Wirksamkeit nachzuweisen — und das, was Auditoren und Aufsicht im Zweifel sehen wollen.
Ein Penetrationstest fragt: Welche Schwachstellen hat dieses System? Er ist abdeckungsorientiert und liefert eine priorisierte Liste. Red Teaming fragt: Könnte ein Angreifer sein Ziel tatsächlich erreichen? Es ist zielorientiert. Unser Red-Teaming-Starter beantwortet diese Frage von außen zum Festpreis; umfangreichere Szenarien mit internem Einstieg, Menschen und Erkennung gibt es auf Anfrage.
Die Projektleitung, die Kundenkommunikation und die Freigabe jedes Berichts liegen bei unserem Security-Lead in Deutschland. Die eigentliche Testarbeit — bei Penetrationstests wie beim Red-Teaming-Starter — führen zum größten Teil unsere zertifizierten Security-Experten in Vietnam durch; der Security-Lead in Deutschland prüft die Ergebnisse und gibt jeden Bericht frei. Welche Arbeiten an welchem Standort stattfinden, legen wir vor Projektbeginn schriftlich fest — inklusive Zugriffs- und Datenschutzregelung.
Ein Monitoring-Zugang ist in der Regel innerhalb weniger Werktage aktiv. Für einen Penetrationstest planen Sie realistisch zwei bis vier Wochen Vorlauf ein — Scoping, Freigabe, Terminfenster. Bei akuten Anlässen wie einem Kundenaudit oder einem Sicherheitsvorfall sprechen Sie uns direkt an; kurzfristige Termine sind gegen Priorisierungszuschlag möglich.
Sie erhalten Management Summary und technischen Bericht, anschließend besprechen wir die Findings gemeinsam mit Ihrem Entwicklungsteam. Die Behebung können Sie selbst übernehmen oder uns übertragen — als Software-Unternehmen können wir die Fixes auch implementieren. Nach der Behebung ist ein Re-Test enthalten, damit der Bericht am Ende sauber ist.
Der erste Schritt ist klein
Starten Sie mit dem, was ein Angreifer sieht
In einem 30-minütigen Erstgespräch klären wir Ihren Bedarf, ordnen ihn in den Zyklus ein und sagen Ihnen offen, was Sie jetzt brauchen — und was noch warten kann.
Yen Ngoc Phan · Manuel Gruschka