Wir überprüfen die Sicherheit von Bank- und Zahlungssystemen, Anwendungen, APIs, Cloud-Umgebungen und internen Infrastrukturen. Der Schwerpunkt liegt auf dem Schutz von Finanzdaten, Kundenkonten, Transaktionen und kritischen Diensten. Wir helfen Ihnen, Schwachstellen aufzudecken, die zu unbefugten Zahlungen, Datenlecks, Kontoübernahmen oder Dienstausfällen führen könnten. Den Testumfang passen wir an Ihre Technologien, Risiken und regulatorischen Anforderungen an.
Kostenlose Beratung vereinbaren
Wir haben mehr als 3.000 Cybersicherheitsprojekte durchgeführt.
Mehr als 14 Jahre Erfahrung im Ethical Hacking.
Ein Team aus 47 zertifizierten Experten.
Unsere Experten haben mehr als 20 offiziell registrierte Schwachstellen entdeckt.
Anzahl der im Jahr 2025 identifizierten Sicherheitsbefunde.
Finanzunternehmen verarbeiten sensible personenbezogene Daten, führen Zahlungen aus und betreiben Dienste, die jederzeit verfügbar bleiben müssen. Ein erfolgreicher Angriff kann zu unbefugten Transaktionen, der Übernahme von Kundenkonten, Datenlecks oder umfassenden Dienstausfällen führen.
Banksysteme, mobile Anwendungen, APIs, Cloud-Dienste und externe Dienstleister bilden eine vernetzte Umgebung mit mehreren möglichen Angriffswegen. Eine Schwachstelle in einer einzigen Komponente kann es Angreifern ermöglichen, in weitere Systeme einzudringen oder bestehende Sicherheitsmaßnahmen zu umgehen.
Sicherheitstests helfen, diese Schwachstellen aufzudecken, bevor sie von echten Angreifern ausgenutzt werden. Gleichzeitig liefern sie praktische Grundlagen für das Risikomanagement und die Überprüfung technischer Sicherheitsmaßnahmen.
Wir überprüfen Systeme, die personenbezogene Daten, Finanzdaten und Anmeldedaten von Kunden verarbeiten.
Wir untersuchen Möglichkeiten zur Manipulation von Zahlungen, zum Missbrauch von Konten und zur Umgehung von Autorisierungsmechanismen.
Wir identifizieren Schwachstellen, die zu Ausfällen des Online-Bankings, von Zahlungssystemen oder anderen Finanzdienstleistungen führen könnten.
Jeder Befund wird nach seiner technischen Kritikalität und seinen möglichen finanziellen, betrieblichen und regulatorischen Auswirkungen bewertet.
TrustPay a.s.
Ivan Poliačik
YOUPLUS Životná poisťovňa
Vlastimil Šmihula | CIO
PENTA INVESTMENTS LIMITED o. z.
Michal Prónay | Leiter der IT
Slovenská sporiteľňa
Ján Adamovský | Chief Security Officer v SLSP
Union zdravotná poisťovňa, a. s.
MArtin Spišák | Leiter der IT
Wir passen die Tests an die Art des Finanzunternehmens, die eingesetzten Technologien, die verarbeiteten Daten und die regulatorischen Pflichten an.
Wir überprüfen Online- und Mobile-Banking, Zahlungssysteme, APIs, interne Infrastrukturen und Prozesse zur Verwaltung von Kundenkonten.
Wir testen Kundenportale, Anwendungen, Systeme zur Verwaltung von Verträgen und Investitionen sowie den Schutz personenbezogener Daten und Finanzdaten.
Wir überprüfen digitale Zahlungen, mobile Anwendungen, Zahlungs-Gateways, APIs sowie Dienste, die mit Banken oder externen Anbietern verbunden sind.
Wir testen Kryptoplattformen, Börsen, Wallets, Smart Contracts und verbundene Anwendungen mit Schwerpunkt auf dem Schutz von Konten, Vermögenswerten und Transaktionen.
Durch Penetrationstests von Webanwendungen und mobilen Anwendungen überprüfen wir Anmeldung, Kontoverwaltung, Autorisierung von Vorgängen, Datenschutz und Widerstandsfähigkeit gegen Missbrauch.
Wir testen die Zahlungsabwicklung, Zahlungs-Gateways, die Überprüfung von Transaktionen und den Schutz vor unbefugter Manipulation.
Durch API-Penetrationstests überprüfen wir Autorisierung, Datenzugriffe, Validierung von Anfragen und die Sicherheit von Schnittstellen zwischen Banken, Partnern und externen Diensten. Lesen Sie auch mehr über die häufigsten Schwachstellen in Webanwendungen und APIs, die wir bei realen Tests identifizieren.
Wir suchen nach Schwachstellen, die zur Übernahme von Konten, zu Datenlecks, Privilegienerweiterungen oder zum Missbrauch der Geschäftslogik führen könnten.
Im Rahmen von Cloud-Penetrationstests und Tests der Netzwerkinfrastruktur überprüfen wir Konfigurationen, Segmentierung, Server, Datenbanken, Active Directory und Möglichkeiten zur lateralen Bewegung. Erfahren Sie außerdem, warum Cloud-Umgebungen laut unseren Projektdaten die meisten Schwachstellen pro Test aufweisen.
Wir testen Authentifizierung, Multi-Faktor-Authentifizierung, Benutzerrollen, privilegierte Konten und die Verwaltung von Zugriffsrechten.
Wir überprüfen Risiken im Zusammenhang mit Dienstleisterzugängen, externen Plattformen, Zahlungsdiensten und weiteren Integrationen.
Durch Social-Engineering-Tests überprüfen wir die Widerstandsfähigkeit der Mitarbeiter gegenüber Phishing, Vishing und weiteren Manipulationsversuchen.
Finanzunternehmen müssen nachweisen können, dass sie ihre Systeme regelmäßig überprüfen, IT-Risiken steuern und die Wirksamkeit bestehender Sicherheitsmaßnahmen in der Praxis testen. Regulatorische Rahmenwerke legen besonderen Wert auf den Schutz sensibler Daten, die Verfügbarkeit kritischer Dienste, das Management von Drittanbieterrisiken und die Vorbereitung auf Cybervorfälle. Deshalb passen wir den Testumfang an die Technologien, Risiken und Pflichten Ihrer Organisation an. Die Ergebnisse helfen, Schwachstellen zu identifizieren, Prioritäten für die Behebung festzulegen und regelmäßige Sicherheitsprüfungen nachzuweisen.
Sicherheitstests ersetzen jedoch weder eine rechtliche Bewertung noch ein umfassendes Compliance-Audit. Audits und Penetrationstests beantworten unterschiedliche Fragen und ergänzen sich bei richtiger Planung. Mehr dazu erfahren Sie im Artikel Sicherheitsaudit vs. Penetrationstest.
Testanforderungen besprechen
DORA verlangt von Finanzunternehmen ein Programm zur Prüfung der digitalen operationellen Resilienz. Penetrationstests, Schwachstellenanalysen und weitere Sicherheitstests helfen, Schwachstellen zu identifizieren und die Wirksamkeit von Schutzmaßnahmen zu überprüfen.
Für ausgewählte Finanzunternehmen können fortgeschrittene, bedrohungsbasierte Tests relevant sein. Red Teaming nach dem TIBER-EU-Rahmenwerk überprüft Technologien, Mitarbeiter und Prozesse durch ein kontrolliertes, realistisches Angriffsszenario. Das aktualisierte TIBER-EU-Rahmenwerk ist auf die TLPT-Anforderungen von DORA abgestimmt.
Bei Organisationen, die Zahlungskartendaten speichern, verarbeiten oder übertragen, helfen Tests, die Sicherheit der Karteninhaberdatenumgebung zu überprüfen und mögliche Angriffswege zu sensiblen Zahlungsdaten zu identifizieren.
Bei Organisationen, die der sektorspezifischen DORA-Regulierung unterliegen, gilt DORA in mehreren Bereichen als spezieller Rechtsrahmen. Die konkreten Pflichten hängen jedoch von der Art des Unternehmens, seinen Dienstleistungen und der geltenden Gesetzgebung ab.
Red Teaming prüft Technologien, Mitarbeiter und Prozesse durch realistische Angriffe. Für ausgewählte Finanzunternehmen unterstützt es auch Tests nach DORA, TLPT und TIBER-EU.
Mehr über Red Teaming
Angreifer kombinieren häufig Schwachstellen in Anwendungen, Identitäten, APIs und internen Infrastrukturen. Die Tests untersuchen deshalb nicht nur einzelne Schwachstellen, sondern auch ihre möglichen Auswirkungen.
Schwachstellen bei der Anmeldung, Passwortwiederherstellung oder Multi-Faktor-Authentifizierung können es Angreifern ermöglichen, die Kontrolle über Kundenkonten zu übernehmen.
Fehler bei der Autorisierung oder in der Geschäftslogik können unbefugte Änderungen des Betrags, des Empfängers oder anderer Zahlungsparameter ermöglichen.
Eine anfällige Schnittstelle, externe Integration oder ein kompromittiertes Dienstleisterkonto kann einen Angriffsweg zu Finanzdaten und internen Systemen eröffnen.
Phishing, Vishing oder ein glaubwürdiger Vorwand können Angreifern helfen, Anmeldedaten zu erlangen oder unbefugte Zahlungen auszulösen.
Ein Angriff auf Anwendungen oder Infrastrukturen kann die Verfügbarkeit von Online-Banking, Zahlungssystemen und weiteren Finanzdienstleistungen beeinträchtigen.
Entdecken Sie Sicherheitstests für weitere Branchen oder erfahren Sie, wie Penetrationstests und Red Teaming die Widerstandsfähigkeit Ihrer Technologien, Mitarbeiter und Prozesse überprüfen.
Erfahren Sie, wie wir Sicherheitstests an Technologien, Risiken, Betriebsbedingungen und regulatorische Anforderungen verschiedener Branchen anpassen.
Mehr über getestete Branchen
Mit realistischen Angriffssimulationen überprüfen wir Web- und mobile Anwendungen, APIs, Cloud-Umgebungen, interne Infrastrukturen, AI-Systeme und weitere Technologien.
Mehr über Penetrationstests
In einem umfassenden Angriffsszenario überprüfen wir die Widerstandsfähigkeit von Technologien, Mitarbeitern und internen Prozessen sowie die Fähigkeit des Sicherheitsteams, einen Angriff rechtzeitig zu erkennen, zu stoppen und zu bewältigen.
Mehr über Red Teaming
Das Citadelo-Team verfügt über zahlreiche Zertifizierungen, darunter OSCP, OSWE, OSEP, CRTO, CRTE und CISSP, die für die Prüfung von Finanzanwendungen, Systemen und Infrastrukturen relevant sind.
Unsere Erfahrungen aus Penetrationstests und Red-Teaming-Projekten fließen in realistische Angriffsszenarien ein. Wir überprüfen Schwachstellen, ohne Kunden, Transaktionen oder den laufenden Betrieb unnötig zu gefährden.
Kostenlose Beratung vereinbaren
Antworten auf häufige Fragen zu Sicherheitstests für Banken, Versicherungen, FinTech-Unternehmen und weitere Finanzorganisationen.
Wir testen Online- und Mobile-Banking, Zahlungssysteme, Kundenportale, APIs, Cloud-Umgebungen, interne Infrastrukturen, Identitäten und externe Integrationen. Den Umfang passen wir an die eingesetzten Technologien und die wichtigsten Risiken der Organisation an.
Ja. Vor Beginn legen wir Umfang, Sicherheitsgrenzen, Zeitplan und das Vorgehen bei kritischen Schwachstellen fest. Risikoreichere Szenarien führen wir nur nach vorheriger Vereinbarung oder in einer separaten Testumgebung durch.
Wir planen die Tests so, dass ihre Auswirkungen auf Transaktionen, Kunden und die Verfügbarkeit von Diensten minimiert werden. Potenziell riskante Schritte stimmen wir im Voraus ab und führen sie in Produktionsumgebungen nicht ohne ausdrückliche Zustimmung durch.
Die Tests können technische Nachweise für ein Programm zur Prüfung der digitalen operationellen Resilienz liefern und die Wirksamkeit bestehender Maßnahmen überprüfen. Sie ersetzen jedoch weder eine rechtliche Bewertung noch ein vollständiges DORA-Compliance-Audit.
Wir führen Red Teaming und fortgeschrittene Tests auf Grundlage aktueller Bedrohungen durch. Ob ein TLPT durchgeführt werden kann, bewerten wir anhand der DORA-Anforderungen, des TIBER-EU-Rahmenwerks, des Umfangs kritischer Funktionen und der Vorgaben der zuständigen Behörde.
Ja. Wir können den Umfang an die Karteninhaberdatenumgebung und die Anforderungen von PCI DSS anpassen. Wir überprüfen Systeme, Anwendungen, Netzwerksegmentierung und mögliche Angriffswege zu Zahlungskartendaten. Die Tests ersetzen jedoch keine umfassende Compliance-Bewertung.
Ja. Wir testen Dienstleisterzugänge, externe Plattformen, APIs, Zahlungsdienste und weitere Integrationen. Dabei überprüfen wir, ob eine Kompromittierung einen Zugang zu Finanzdaten oder internen Systemen ermöglichen könnte.
Vor Beginn definieren wir Regeln für Zugriff, Verarbeitung, Speicherung und Übertragung sensibler Daten. Wir arbeiten ausschließlich mit den für die Tests erforderlichen Daten und übermitteln alle Ergebnisse über vereinbarte sichere Kanäle.
Sie erhalten einen technischen Bericht mit einer Beschreibung der Schwachstellen, Nachweisen, Risikobewertungen und konkreten Empfehlungen zur Behebung. Die Ergebnisse können außerdem eine Management-Zusammenfassung und eine Beratung durch unsere Ethical Hacker umfassen.
Ja, ein Retest kann Teil des vereinbarten Projektumfangs sein. Nach der Behebung überprüfen wir, ob die Schwachstellen korrekt geschlossen wurden und ob die Änderungen neue Sicherheitsrisiken verursacht haben.
Vereinbaren Sie eine kostenlose 15-minütige Beratung. Gemeinsam bestimmen wir den passenden Testumfang anhand Ihrer Technologien, wichtigsten Risiken und regulatorischen Anforderungen.
Kostenlose Beratung vereinbaren
Bitte melden Sie sich für unseren Newsletter an, um alle wichtigen Neuigkeiten zu Cybersicherheit und ethischem Hacking zu erhalten.
© 2026 citadelo AG. Alle Rechte vorbehalten.
