agentschmitz
Kostenlos testen

Penetrationstest für Websites, Web-Anwendungen und APIs

Penetrationstest für Ihre Website.Der erste ist kostenlos.

Ein KI-Agent sucht mit echten Angriffstechniken nach Sicherheitslücken in Ihrer Web-Anwendung, prüft jeden Fund in einem zweiten Durchgang nach und liefert einen Bericht mit Nachweis, Risikoeinstufung und konkreter Empfehlung – als PDF auf Deutsch und Englisch.

Im nächsten Schritt geben Sie Ihre E-Mail-Adresse an und weisen nach, dass Ihnen die Domain gehört. Keine Zahlungsdaten, kein Abo.

Kosten
0 € für den ersten Testdanach optional ab 490 € netto im Monat, nur für Unternehmen
Dauer
in der Regel innerhalb weniger StundenSie müssen nicht dabeibleiben
Ergebnis
PDF-Bericht per E-Mailauf Deutsch und Englisch

Vorher einen echten Bericht ansehen (PDF, 27 Seiten) →

Nachbildung des Deckblatts unseres Beispielberichts – ein Scan mit 198 Prüf-Anfragen. Getestet wurde OWASP Juice Shop, eine absichtlich verwundbare Übungsanwendung, daher die vielen Funde.

Der Bericht

Sie bekommen keine Liste mit Verdachtsfällen, sondern Schwachstellen mit Nachweis.

Zu jedem Fund stehen im Bericht die Anfrage, die ihn auslöst, und die Antwort Ihres Systems. Ein zweiter Prüfschritt gleicht jeden Fund mit den aufgezeichneten Anfragen und Antworten ab und verwirft, was sich daraus nicht belegen lässt. Was übrig bleibt, ist nach Schwere sortiert und mit einer Empfehlung versehen, mit der Ihre Entwickler direkt arbeiten können.

Der Bericht enthält in der Regel

  • eine Zusammenfassung mit Gesamtrisiko für die Geschäftsführung
  • den Geltungsbereich der Prüfung
  • die Methodik
  • jede Schwachstelle mit Schwere, CWE-Kennung, Endpunkt, Nachweis, Auswirkung und Empfehlung
  • ein Fazit

Erkennt der Agent eine Web Application Firewall, die Prüfungen blockiert, steht das ausdrücklich im Bericht: Diese Funde gelten als „nicht verifizierbar“ – nicht als „sicher“.

Vollständigen Beispielbericht öffnen (PDF) →

F-01

SQL-Injection im Login-Endpoint → vollständige Admin-Authentifizierungsumgehung

Schwere

Kritisch

CWE

CWE-89

Endpunkt

POST /rest/user/login

Status

Bestätigt

Nachweis

POST /rest/user/login
{"email":"' or 1=1--","password":"x"}

→ 200 OK
{"authentication":{"token":"eyJ0eXAiOiJKV1Qi…","bid":1,"umail":"[email protected]"}}

JWT-Payload (dekodiert):
{"data":{"id":1,"email":"[email protected]",
 "password":"0192023a7bbd73250516f069df18b500",
 "role":"admin","isActive":true,…},"bid":1}

Auswirkung

Vollständige Übernahme der Anwendung ohne Passwortkenntnis: Zugriff auf alle Admin- und CRUD-Endpunkte, das vollständige Benutzerverzeichnis, Zahlungsdaten, Bestellhistorien und die Anwendungskonfiguration. […]

Empfehlung

Parametrisierte Abfragen/Prepared Statements (Sequelize-Platzhalter) statt String-Konkatenation; Authentifizierungslogik von der Datenabfrage trennen und Passwort serverseitig prüfen; Passwort-Hashes mit Salz und langsamem KDF (bcrypt/argon2) speichern.

A
Einstufung: Schwere, CWE-Kennung, betroffener Endpunkt
B
Nachweis: Auszug aus der gesendeten Anfrage und der Antwort des Zielsystems
C
Empfehlung: konkret genug, um daraus direkt ein Ticket zu machen

Gekürzter Auszug aus dem Beispielbericht – Befund 1 von 20. Testziel: OWASP Juice Shop, eine absichtlich verwundbare Übungsanwendung, keine Kundenwebsite.

Worauf der Agent prüft – unter anderem

  • Injection: SQL, Betriebssystem-Befehle, Templates
  • Cross-Site-Scripting (XSS)
  • Zugriffskontrolle: fremde Daten abrufbar (IDOR)? Rechte ausweitbar?
  • Authentifizierung und Umgehung des Logins
  • Server-Side Request Forgery (SSRF)
  • Offen liegende Dateien, Backups, Admin- und Monitoring-Endpunkte
  • Fehlkonfiguration: Sicherheits-Header, CORS, zu ausführliche Fehlermeldungen
  • Logikfehler in Abläufen

Im Abo zusätzlich möglich: Prüfung hinter dem Login – der Agent meldet sich mit einem von Ihnen hinterlegten Testzugang selbst an.

Ablauf

Was Sie tun müssen – und was danach passiert.

Für den kostenlosen Test brauchen Sie Zugriff auf die DNS-Einstellungen Ihrer Domain oder auf die Dateien Ihrer Website. Installieren müssen Sie nichts.

  1. Schritt 1 · ca. 1 Minute

    Domain und E-Mail-Adresse eintragen

    Sie bestätigen, dass Sie berechtigt sind, die Domain prüfen zu lassen, und nehmen die Hinweise zum Test zur Kenntnis.

  2. Schritt 2 · meist wenige Minuten

    Nachweisen, dass Ihnen die Domain gehört

    Wie bei der Google Search Console: per DNS-TXT-Eintrag, über eine Datei unter /.well-known/ oder mit einem Meta-Tag auf Ihrer Startseite. Ohne diesen Nachweis startet kein Test. DNS-Änderungen brauchen manchmal etwas, bis sie sichtbar sind – Datei oder Meta-Tag gehen oft schneller.

    TXT   @   agentschmitz-site-verification=as-verify-…

  3. Schritt 3 · in der Regel wenige Stunden

    Der Agent prüft Ihre Website

    Den Stand sehen Sie auf einer eigenen Statusseite. Sie müssen nicht dabeibleiben.

    Erkundung → Sicherheitsprüfung → Validierung der Funde → Bericht

  4. Schritt 4 · direkt nach dem Test

    Der Bericht kommt per E-Mail

    Sie erhalten den Bericht als PDF auf Deutsch und Englisch. Danach entscheiden Sie, ob Sie regelmäßig prüfen lassen möchten. Es entsteht kein Abo und keine Zahlungspflicht.

Domain eintragen und kostenlos testen →

Kostenlos · keine Zahlungsdaten · nur Ihre eigene, bestätigte Domain

Preise

Was es kostet – ohne Angebotsanfrage.

Alle Pläne haben dieselbe Prüftiefe; Sie zahlen nach Anzahl der Zielsysteme. Bereiche hinter dem Login prüft der Agent nur im Abo. Monatlich kündbar. Angebot ausschließlich für Unternehmen und Selbstständige (§ 14 BGB); alle Preise netto zzgl. USt.

Kostenloser Test

0 €

einmalig

Eine Domain einmal mit voller Prüftiefe prüfen

Zielsysteme
1 Domain
Wiederholung
einmalig
Prüfung hinter dem Login
–
Bericht als PDF (DE/EN)
per E-Mail
Laufzeit
kein Abo
Kostenlos testen

Keine Zahlungsdaten · nur Ihre eigene, bestätigte Domain

Starter

490 €

pro Monat, netto

Eine Anwendung regelmäßig prüfen

Zielsysteme
1
Wiederholung
monatlich, automatisch
Prüfung hinter dem Login
möglich
Bericht als PDF (DE/EN)
im Dashboard, optional per E-Mail
Laufzeit
monatlich kündbar
Starter wählen

Team

1.490 €

pro Monat, netto

Mehrere Anwendungen, z. B. für Agenturen

Zielsysteme
bis zu 5
Wiederholung
monatlich, automatisch
Prüfung hinter dem Login
möglich
Bericht als PDF (DE/EN)
im Dashboard, optional per E-Mail
Laufzeit
monatlich kündbar
Team wählen

Enterprise

ab4.900 €

pro Monat, netto

Für viele Systeme

Zielsysteme
bis zu 25
Wiederholung
monatlich, automatisch
Prüfung hinter dem Login
möglich
Bericht als PDF (DE/EN)
im Dashboard, optional per E-Mail
Laufzeit
monatlich kündbar
Kontakt aufnehmen

Alle Details auf der Preisseite →

Und im Vergleich zu einem klassischen Pentest?

Kosten

Klassisch: oft mehrere tausend Euro pro Prüfung

agentschmitz: erster Test kostenlos, danach ab 490 € netto im Monat

Vorlauf

Klassisch: Angebot, Abstimmung, Termin

agentschmitz: Start nach dem Domain-Nachweis

Dauer der Prüfung

Klassisch: typischerweise mehrere Tage

agentschmitz: in der Regel wenige Stunden

Wiederholung

Klassisch: häufig einmal im Jahr

agentschmitz: monatlich, automatisch

Stärken

Klassisch: Kreativität bei komplexer Geschäftslogik, Social Engineering, formale Prüfnachweise durch Menschen

agentschmitz: Regelmäßigkeit, Tempo, gleichbleibende Methodik, jeder Fund belegt

Wann ein manueller Pentest die bessere Wahl ist: bei besonders kritischen Systemen, bei komplexer Geschäftslogik oder wenn Sie einen formalen Prüfnachweis durch einen menschlichen Prüfer brauchen. Dann ist agentschmitz die Ergänzung für die Zeit zwischen zwei Prüfungen – oder der erste Schritt, wenn bisher gar nicht getestet wurde.

Sicherheit & Recht

Geprüft wird nur, was Sie prüfen lassen dürfen.

Sicherheitstests an fremden Systemen ohne Erlaubnis sind unzulässig. Deshalb sind die Grenzen bei agentschmitz nicht nur eine Anweisung an die KI, sondern fest im Programmcode verankert.

Berechtigung & Nachweis
Sie dürfen nur Systeme prüfen lassen, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis haben; diese Bestätigung ist vor jedem Test Pflicht. Für den kostenlosen Test weisen Sie die Inhaberschaft der Domain zusätzlich per DNS-Eintrag, Datei oder Meta-Tag nach. Pro Domain und pro IP-Adresse gibt es einen kostenlosen Test.
Fester Umfang
Die Prüf-Anfragen des Agenten gehen nur an die freigegebenen Hosts. Interne Netze, private IP-Bereiche und bekannte Fremdplattformen sind für diese Anfragen technisch gesperrt.
Nicht-destruktiv ausgelegt
Die Methoden DELETE, PUT und PATCH sind gesperrt; erkennbar zerstörerische Eingaben wie DROP TABLE werden blockiert. Formulare werden per POST getestet und können Testeinträge erzeugen. Die Anfragen sind gedrosselt und pro Test begrenzt.
Erkennbar
Getestet wird von einer festen IP-Adresse aus. Sie steht im Bericht, sodass Sie den Test in Firewall oder WAF freigeben und von einem echten Angriff unterscheiden können.
Restrisiko
Ein Penetrationstest sendet echte Angriffsanfragen. In seltenen Fällen kann das zu Fehlermeldungen, erhöhter Last, Testeinträgen in Formularen oder kurzen Ausfällen führen. Halten Sie ein aktuelles Backup bereit; wer ganz sicher gehen will, prüft zuerst eine Staging-Umgebung.
Daten & Hosting
Die Anwendung, die Datenbank und unsere Scan-Server laufen in deutschen Rechenzentren. Wie die Daten während des Tests verarbeitet werden, steht in unserer Datenschutzerklärung. Zur Datenschutzerklärung →

Fragen

Was Sie vor dem ersten Test wissen sollten

Ihre Frage fehlt? Schreiben Sie an [email protected].

Ist das ein echter Penetrationstest oder nur ein Schwachstellen-Scan?

Ein klassischer Schwachstellen-Scanner gleicht Ihre Website mit einer Liste bekannter Muster ab. agentschmitz geht vor wie ein Pentester: Der Agent erkundet die Anwendung, entwickelt Angriffsideen, versucht Lücken mit nicht-destruktiven Methoden tatsächlich auszunutzen und belegt jeden Fund mit Anfrage und Antwort. Ein zweiter KI-Prüfschritt sortiert Funde ohne tragfähigen Beleg aus; Funde, die eine Firewall blockiert, stehen getrennt als „nicht verifizierbar“ im Bericht.

Was prüft der kostenlose Test – und was nicht?

Es ist derselbe Test wie im Abo, mit voller Prüftiefe – kein abgespeckter Schnupper-Scan. Geprüft wird der öffentlich erreichbare Teil Ihrer Website. Bereiche hinter einem Login, mehrere Systeme und regelmäßige Wiederholungen gibt es im Abo.

Rutsche ich nach dem kostenlosen Test in ein Abo?

Nein. Der kostenlose Test endet mit dem Bericht. Wir fragen keine Zahlungsdaten ab, und es entsteht kein Abo.

Ersetzt das einen manuellen Pentest?

Nicht in jedem Fall. Für besonders kritische Systeme, komplexe Geschäftslogik oder einen formalen Nachweis durch einen menschlichen Prüfer bleibt ein manueller Pentest sinnvoll. agentschmitz sorgt dafür, dass zwischen solchen Prüfungen regelmäßig getestet wird – oder dass überhaupt getestet wird, wenn das Budget für einen manuellen Pentest fehlt.

Taugt der Bericht als Nachweis für ISO 27001, NIS2 oder Kundenanforderungen?

Der Bericht dokumentiert Datum, Geltungsbereich, Methodik und jeden Fund mit Nachweis. Damit lässt sich belegen, dass Sie technisch testen. Ob das für Ihren Auditor oder Kunden ausreicht, klären Sie bitte vorab mit ihm – die Anforderungen sind sehr unterschiedlich.

Finden Sie heraus, wo Ihre Website heute steht.

Ein Penetrationstest Ihrer Domain mit voller Prüftiefe, ein Bericht mit Nachweisen und konkreten Empfehlungen – kostenlos, ohne Zahlungsdaten und ohne Abo.

Schritt 1 von 2 · Angaben

Hinweis zum Sicherheitstest: Ein Penetrationstest sendet echte Angriffs-Anfragen an Ihre Website. In seltenen Fällen kann es dabei zu Fehlermeldungen, erhöhter Last, Testeinträgen oder kurzen Ausfällen kommen. Die Prüfung erfolgt auf eigenes Risiko – bitte stellen Sie sicher, dass ein aktuelles Backup besteht.

Optionale Einwilligungen

Wir prüfen ausschließlich Websites, deren Inhaberschaft Sie im nächsten Schritt bestätigen. Keine Zahlungsdaten erforderlich.

  • Test des öffentlich erreichbaren Teils Ihrer Domain mit voller Prüftiefe
  • Bericht als PDF auf Deutsch und Englisch per E-Mail
  • In der Regel innerhalb weniger Stunden fertig
  • Kein Abo, keine Zahlungsdaten

Lieber gleich regelmäßig prüfen? Konto anlegen →

agentschmitz wird von ALPTEC in Kaarst entwickelt und betrieben. Sie finden hier einen echten Beispielbericht, veröffentlichte Preise und unsere Anschrift.

ALPTEC
Justus-Liebig-Straße 2-4
41564 Kaarst, Deutschland
[email protected]

Impressum →Über uns →