Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
08.09.2026
Security Validation prüft IT-Sicherheit kontinuierlich und zeigt reale Angriffspfade. Erfahren Sie, wie Pentera Risiken priorisiert und manuelle Pentests ergänzt.
Security Validation prüft kontinuierlich, welche Schwachstellen in einer IT-Umgebung tatsächlich ausgenutzt werden können und welche Angriffspfade daraus entstehen. Damit erhalten Unternehmen ein aktuelleres Bild ihrer Sicherheitslage als durch einzelne Scans oder eine jährliche Prüfung.
Ein klassischer Penetrationstest bleibt weiterhin wichtig. Zwischen zwei Prüfungen verändern sich jedoch Systeme, Konfigurationen und Bedrohungen. Automatisierte Sicherheitsvalidierung schließt diese zeitliche Lücke und hilft dabei, Risiken nach ihrer tatsächlichen Ausnutzbarkeit zu priorisieren.
Timur Yilmaz, Service Owner Security Validation bei accompio, erklärt im Experteninterview, wie die Pentera-Plattform kontrollierte Angriffstechniken einsetzt, warum der laufende Betrieb dabei unberührt bleibt und wie Unternehmen aus den Ergebnissen konkrete Maßnahmen ableiten.
Im Video zeigt Timur Yilmaz, wie sich automatisierte Prüfungen in bestehende Sicherheitsprozesse integrieren lassen und weshalb Transparenz über die eigene IT-Umgebung der erste Schritt ist.
Wie lassen sich IT-Systeme kontinuierlich aus der Angreiferperspektive prüfen? Welche Ergebnisse liefert Pentera? Und warum werden manuelle Penetrationstests weiterhin benötigt? Timur Yilmaz beantwortet diese Fragen im vollständigen Video.
00:06 | Claudia van Veen: Das Fokusthema bei accompio ist Security Validation im Überblick. Herzlich willkommen! Ich bin Claudia van Veen, Moderatorin und Journalistin aus Hannover. Bei mir ist Timur Yilmaz.
00:19 | Claudia van Veen: Du bist in dem Thema zu Hause. Was genau machst du?
00:22 | Timur Yilmaz: Ich mache Security Validation, also die kontinuierliche Überprüfung von IT-Sicherheit. Gemeinsam mit Kunden sorgen wir dafür, dass sie sich dauerhaft und automatisiert testen können.
00:33 | Claudia van Veen: Wie überprüfen Unternehmen ihre IT-Sicherheit heute typischerweise?
00:41 | Timur Yilmaz: Typischerweise geschieht das punktuell. Einzelne Scans, Audits oder Sicherheitsüberprüfungen finden beispielsweise einmal im Jahr statt. Danach wird das Thema häufig bis zum nächsten Jahr verschoben. Wir wollen aber dauerhaft ein aktuelles Sicherheitsniveau haben.
00:57 | Claudia van Veen: Wie schaffen wir das?
00:59 | Timur Yilmaz: Dafür nutzen wir eine automatisierte Pentesting-Umgebung. Dort können wir kontinuierlich, bei Bedarf sogar täglich, eigene Tests in festgelegten Szenarien starten.
01:15 | Claudia van Veen: Die Prüfung erfolgt also aus der Angreiferperspektive?
01:18 | Timur Yilmaz: Genau. Das Tool ist aus der Angreiferperspektive aufgebaut. Wir betrachten nicht nur Schwachstellen, sondern führen kontrollierte Angriffe durch und prüfen tatsächliche Angriffspfade. Dabei können mehrere kleinere Schwachstellen zusammen einen weitreichenden Angriffsweg ergeben.
01:48 | Claudia van Veen: Lässt sich das in den Arbeitsalltag eines Unternehmens einbauen?
01:51 | Timur Yilmaz: Definitiv. Das Tool ist dafür ausgelegt, kontinuierlich im laufenden Betrieb mitzulaufen, ohne den operativen Betrieb oder die Infrastruktur zu stören. Während die Tests laufen, kann normal weitergearbeitet werden.
02:16 | Claudia van Veen: Die Tests basieren auf der Pentera-Plattform. Wie läuft das konkret ab?
02:22 | Timur Yilmaz: Die Software läuft auf einer virtuellen Maschine oder auf Hardware im Netzwerk. Von dort scannt sie Systeme, startet kontrollierte Angriffe, prüft Angriffspfade, findet Schwachstellen und nutzt diese aus. Es handelt sich nicht nur um einen theoretischen Scan. Kleine Schwachstellen werden miteinander verknüpft, um mögliche größere Auswirkungen zu erkennen.
02:56 | Claudia van Veen: Kann bei diesen realistischen Tests etwas beschädigt werden?
02:59 | Timur Yilmaz: Nein. Der laufende Betrieb soll niemals gestört werden. Auch wenn Exploits ausgeführt und Schwachstellen geprüft werden, sind die Attacken so aufgebaut, dass sie keinen Schaden anrichten.
03:22 | Claudia van Veen: Welche Ergebnisse erhält ein Unternehmen und wie schnell stehen sie zur Verfügung?
03:28 | Timur Yilmaz: Je nach Umfang kann ein Test innerhalb einiger Stunden oder eines Tages durchlaufen. Danach stehen Managementfolien, Grafiken, technische Ergebnisse und Angriffspfade bereit. Der Bericht zeigt, was Pentera aus den Schwachstellen tatsächlich machen konnte und wie sich die Ursachen beheben lassen.
03:57 | Claudia van Veen: Lassen sich auf dieser Grundlage bessere Entscheidungen treffen?
04:05 | Timur Yilmaz: Ja. Der Report zeigt schnell, welche Schwachstellen behoben werden müssen und wie sie zu priorisieren sind. Anders als ein klassischer Score verdeutlicht Pentera, welche kleinen Schwachstellen als Einfallstor dienten und wie daraus ein kritischer Angriffspfad entstand.
04:33 | Claudia van Veen: Benötigt man dafür ein großes IT-Security-Team?
04:40 | Timur Yilmaz: Ein Security-Team bleibt wichtig. Die Plattform ist jedoch so aufgebaut, dass sie auch ohne riesiges Team und ohne sehr tiefes technisches Wissen betrieben werden kann. Sie erklärt technische Schwachstellen detailliert und visualisiert den Aufbau eines Angriffs, sodass auch das Management die Ergebnisse nachvollziehen kann.
05:18 | Claudia van Veen: Welche Rolle spielt externe Unterstützung?
05:24 | Timur Yilmaz: Das hängt von der Größe des Security-Teams ab. Der Betrieb lässt sich als Managed Service unterstützen. Dazu gehören die Einrichtung, automatisierte Testzyklen und die Auswertung der Reports. Fachleute helfen außerdem beim Feintuning und bei der Priorisierung.
05:52 | Claudia van Veen: Haben Unternehmen zunächst Bedenken, dass die Tests den Alltag stören könnten?
06:09 | Timur Yilmaz: Diesen Respekt gibt es. Deshalb zeigen wir vorab in einem Proof of Value, wie das Tool arbeitet. Wir richten es für einen begrenzten Bereich mit etwa 50 bis 100 IP-Adressen ein, lassen einen Test durchlaufen und zeigen den konkreten Mehrwert. So entsteht Vertrauen in den Ablauf.
06:43 | Claudia van Veen: Brauchen wir klassische manuelle Pentests weiterhin?
06:52 | Timur Yilmaz: Definitiv. Security Validation und manuelle Pentests schließen sich nicht aus. Die kontinuierliche Validierung ist wie tägliches Zähneputzen, ein manueller Pentest wie der Zahnarztbesuch. Der manuelle Test bringt zusätzliche Kreativität und Tiefe. Zusammen bilden beide Ansätze eine gute Synergie.
07:18 | Claudia van Veen: Wie wird sich das Thema in den nächsten Jahren entwickeln?
07:25 | Timur Yilmaz: IT-Sicherheit wird stärker auf Automatisierung, Effizienz und verständliche Ergebnisse für das Management setzen. Manuelle Prüfungen wird es weiterhin geben. Der Standard wird aber zunehmend automatisiert und kontinuierlich ablaufen.
08:00 | Claudia van Veen: Gleichzeitig verändern sich Bedrohungslage, Angriffsmöglichkeiten und Anforderungen ständig.
08:13 | Timur Yilmaz: Genau darin liegt der Vorteil kontinuierlicher Sicherheitsüberprüfung. Einzelne Scans sind Momentaufnahmen. Zwischen zwei Tests können neue Systeme, Updates oder Konfigurationsänderungen hinzukommen. Regelmäßige Prüfungen zeigen, was sich zwischen zwei Zeitpunkten verändert hat. IT-Sicherheit lässt sich deshalb nicht einmal abhaken, sondern erfordert kontinuierliche Arbeit.
09:07 | Claudia van Veen: Was ist der erste Schritt für ein Unternehmen?
09:12 | Timur Yilmaz: Als Erstes muss man Transparenz schaffen. Unternehmen benötigen eine vollständige Übersicht ihrer Umgebung. Wenn bisher weder ein Pentest noch ein fundierter Schwachstellenscan durchgeführt wurde, sollte zunächst der aktuelle Zustand erfasst werden.
09:29 | Claudia van Veen: Vielen Dank für das Gespräch, Timur Yilmaz. Danke fürs Zuschauen. Bald sind wir mit einem neuen accompio Fokusthema für Sie da.
Security Validation bezeichnet die kontinuierliche und automatisierte Überprüfung der IT-Sicherheit. Dabei wird untersucht, ob vorhandene Schwachstellen tatsächlich ausnutzbar sind, welche Systeme erreichbar werden und wie sich einzelne Lücken zu einem Angriffspfad verbinden.
Ein Schwachstellenscan identifiziert bekannte Sicherheitslücken und bewertet sie häufig anhand eines Scores. Security Validation ergänzt diese Information um einen praktischen Nachweis. Unternehmen erkennen dadurch, welche Schwachstellen in ihrer konkreten Umgebung ein reales Risiko darstellen und welche Maßnahmen zuerst umgesetzt werden sollten.
Damit liegt Security Validation an der Schnittstelle zwischen Vulnerability Management, automatisiertem Pentesting und der Validierung bereits eingesetzter Schutzmaßnahmen.
IT-Umgebungen verändern sich laufend. Neue Anwendungen werden eingeführt, Updates eingespielt, Systeme wiederhergestellt und Konfigurationen angepasst. Ein heute erfolgreich abgeschlossener Test sagt daher wenig darüber aus, wie die Sicherheitslage in drei Monaten aussieht.
„Einzelne Scans sind immer nur eine Momentaufnahme.“
Timur Yilmaz, Service Owner Security Validation bei accompio
Regelmäßige automatisierte Tests machen Veränderungen zwischen zwei Prüfzeitpunkten sichtbar. So lässt sich nachvollziehen, ob neue Risiken entstanden sind, ob Schutzmaßnahmen greifen und ob behobene Schwachstellen erneut auftreten. Das unterstützt auch ein kontinuierliches Schwachstellenmanagement.
Die Pentera-Plattform wird in der IT-Umgebung bereitgestellt und prüft definierte Systeme, Netzsegmente und Szenarien. Sie setzt kontrollierte Angriffstechniken ein, um Schwachstellen und mögliche Wege durch das Netzwerk zu überprüfen. Der Umfang und die Häufigkeit der Tests werden zuvor festgelegt.
Eine kleine Schwachstelle wirkt für sich betrachtet oft wenig kritisch. In Verbindung mit weiteren Fehlkonfigurationen oder Zugriffsrechten kann sie dennoch einen weitreichenden Angriff ermöglichen. Pentera bildet solche Zusammenhänge als Angriffspfade ab und zeigt, welche Schritte tatsächlich erfolgreich waren.
Nach Aussage von Timur Yilmaz sind die Tests so aufgebaut, dass sie den operativen Betrieb und die Infrastruktur nicht stören. Kontrollmechanismen sorgen dafür, dass die Prüfung keine produktiven Systeme beschädigt. Unternehmen können deshalb wiederkehrende Testzyklen in ihren Sicherheitsalltag integrieren.
Nach einem Testlauf stehen technische Ergebnisse, visualisierte Angriffspfade und Managementauswertungen zur Verfügung. Die Berichte erklären, welche Schwachstellen ausgenutzt wurden, welche Auswirkungen möglich sind und wie sich die Risiken beheben lassen. Das erleichtert die Priorisierung von Schwachstellen und schafft eine gemeinsame Entscheidungsgrundlage für IT und Management.
Automatisierte Security Validation ersetzt den manuellen Penetrationstest nicht. Beide Verfahren erfüllen unterschiedliche Aufgaben und ergänzen sich. Automatisierte Tests liefern häufige, vergleichbare Ergebnisse und machen Veränderungen schnell sichtbar. Ein manueller Pentest bringt die Kreativität und Erfahrung spezialisierter Sicherheitsexperten ein und kann individuelle Szenarien tiefer untersuchen.
Timur Yilmaz vergleicht das Zusammenspiel mit der Zahnpflege: Die kontinuierliche Validierung entspricht dem täglichen Zähneputzen, der manuelle Pentest dem regelmäßigen Zahnarztbesuch. Für einen umfassenden Blick auf die Sicherheitslage werden beide benötigt. Weitere typische Angriffsszenarien beschreibt der Beitrag zur Offensive Security im Unternehmen.
Die Plattform lässt sich auch mit einem kleineren Security-Team betreiben. Ein Managed Service kann zusätzlich bei Einrichtung, Testplanung, Automatisierung und Auswertung unterstützen. Gemeinsam werden passende Systeme und Szenarien ausgewählt. Anschließend laufen die Prüfungen in festgelegten Zyklen.
Fachleute helfen dabei, die Ergebnisse einzuordnen, Maßnahmen zu priorisieren und Testabläufe weiterzuentwickeln. Ein Proof of Value kann vorab zeigen, wie die Plattform in der eigenen Umgebung arbeitet. Dafür wird ein begrenzter Bereich mit ausgewählten Endpoints geprüft und gemeinsam ausgewertet.
Sie möchten reale Angriffspfade erkennen und Sicherheitsmaßnahmen kontinuierlich überprüfen? accompio begleitet Sie von der Auswahl geeigneter Testszenarien über die Einrichtung der Pentera-Plattform bis zur Auswertung und Priorisierung der Ergebnisse.
Vor der Automatisierung steht die Bestandsaufnahme. Unternehmen sollten wissen, welche Systeme vorhanden sind, welche Bereiche besonders kritisch sind und welche Prüfungen bereits stattfinden. Diese Übersicht bildet die Grundlage für sinnvolle Testziele und einen passenden Rhythmus.
Auf dieser Basis lässt sich festlegen, welche Netzsegmente zuerst geprüft werden und welche Ergebnisse für IT-Verantwortliche sowie Management benötigt werden. Kleine, klar definierte Testbereiche erleichtern den Einstieg und schaffen Vertrauen in den Ablauf.
Timur Yilmaz ist Service Owner Security Validation bei accompio. Er begleitet Unternehmen bei kontinuierlichen Sicherheitsüberprüfungen und unterstützt sie dabei, aus technischen Ergebnissen konkrete Maßnahmen abzuleiten.
Ein Schwachstellenscan listet bekannte Sicherheitslücken auf. Ein manueller Penetrationstest untersucht ein festgelegtes Ziel mit der Erfahrung und Kreativität eines Sicherheitsteams. Security Validation führt wiederkehrende automatisierte Prüfungen durch und zeigt, welche Schwachstellen in der jeweiligen Umgebung ausnutzbar sind und welche Angriffspfade entstehen.
Die Häufigkeit richtet sich nach Risikolage, Änderungsrate und Kritikalität der Systeme. Automatisierte Tests können täglich, wöchentlich oder in individuell festgelegten Zyklen laufen. Wichtig ist, Veränderungen zwischen zwei Prüfungen zeitnah zu erkennen.
Die Tests werden kontrolliert und mit einem definierten Umfang ausgeführt. Laut Timur Yilmaz ist die Pentera-Plattform darauf ausgelegt, im laufenden Betrieb zu testen, ohne produktive Systeme zu beschädigen oder Arbeitsabläufe zu stören.
Ein großes internes Team ist keine Voraussetzung. Die Plattform bereitet technische Ergebnisse verständlich auf. Bei Bedarf unterstützt ein Managed Service bei Einrichtung, Testplanung, Auswertung und Priorisierung.
Die Plattform dokumentiert ausgenutzte Schwachstellen, erfolgreiche Angriffsschritte und zusammenhängende Angriffspfade. Zusätzlich stehen Managementauswertungen und Hinweise zur Behebung bereit. Dadurch lassen sich Maßnahmen nach dem tatsächlichen Risiko priorisieren.
Ein Proof of Value ermöglicht einen begrenzten Einstieg. Dafür werden ausgewählte Endpoints oder Netzbereiche definiert, geprüft und gemeinsam ausgewertet. Unternehmen sehen so, wie die Plattform in ihrer eigenen Umgebung arbeitet und welchen Mehrwert die Ergebnisse bieten.
