HumanITy Logo
ENDE

Mein KI-Mitarbeiter

Sicherheitslücken finden, bevor sie teuer werden.

Falk läuft bei mir seit dem 31.08.2026 und hat ein autorisiertes Engagement abgeschlossen. Wegen des individuellen Scopes und der notwendigen Freigabe arbeite ich mit ihm derzeit gezielt pro Anwendung statt über ein Standardpaket.

Falk prüft eine Anwendung in Stufen: von außen ohne jeden Zugang (Recon), dann als unauthentifizierter Angreifer von außen (Blackbox), und wo ich es freigebe, mit Zugang oder Repo-Einsicht (Greybox, Whitebox). Zu jedem Fund liefert er einen Beleg, eine Einstufung nach dem CVSS-Standard und einen konkreten Fix. Er testet ausschließlich Systeme, die mir gehören oder für die eine schriftliche Freigabe vorliegt.

Zur CommunityErst lesen: Claude lernen
Community ansehen

Belegt

Befunde mit nachvollziehbarem Nachweis

Priorisiert

Risiko vor Aktionismus

Freigabe

keine Änderung ohne Kevin

Red-Teamer

Ein echter Arbeitstag

Sein erster abgeschlossener Einsatz lief an einer eigenen Anwendung von mir, extern und ohne vorherigen Zugang. Was hier steht, ist die Methode, nicht die Funde selbst: Einzelheiten zu Zielsystem oder Ergebnis bleiben aus gutem Grund im internen Auftragsordner.

4

Prüfstufen im Modell

2 von 4

Bisher durchlaufen

max. 20 Anfragen/Min

Scan-Tempo

Bevor auch nur eine einzige Anfrage an das Zielsystem ging, lag meine schriftliche Freigabe vor. Das ist bei Falk ein festes Gate, kein Formalismus. Der Ablauf folgte fünf Phasen: erst die Bestandsaufnahme, bei der er die eingesetzte Technologie ausschließlich aus öffentlich ausgelieferten Dateien ableitet statt zu raten, dann ein Angriffsflächenmodell entlang von Login- und Sitzungsfluss, danach manuelle Tests auf typische Schwachstellenklassen wie offene Weiterleitungen oder Informationslecks in Fehlermeldungen, eine Werkzeugprüfung von TLS-Konfiguration und ein automatisierter Scan, und am Ende die Bewertung.

Zu jedem Fund gehört eine Einstufung nach dem CVSS-Standard und ein konkreter Fix mit Priorität, nicht nur eine Liste von Auffälligkeiten. Der automatisierte Scan lief bewusst gedrosselt: vier parallele Anfragen, begrenzt auf 20 pro Minute, keine Last- oder Stresstests, kein Ausprobieren von Zugangsdaten. Rate-Limit-Etikette gegenüber dem Zielsystem ist bei Falk kein Nebensatz, sondern fester Teil des Scopes.

Falk für deinen Betrieb

Deine Anwendung bestimmt den Scope. Nicht Falk.

Falk kann verschiedene Systeme prüfen, aber nie mit einem pauschalen Angriffsauftrag. Ziel, erlaubte Prüfstufen, Zugänge, Rate-Limits und Abbruchkriterien werden für jeden Einsatz neu festgelegt.

Bei mir im Einsatz

Eine eigene Anwendung gestuft von außen prüfen

Falk startete ohne Zugang, modellierte die Angriffsfläche, prüfte manuell und mit gedrosselten Werkzeugen und dokumentierte jeden Fund mit Priorität und Fix.

Bei dir anpassbar

Dein Zielsystem und dein schriftlicher Scope

Du definierst exakt, welche Systeme dazugehören, welche Konten verwendet werden dürfen und wo Falk stoppen muss. Erst danach wird die passende Prüftiefe gewählt.

Das passt du an

  • Zielsystem und erlaubte Domains
  • Blackbox, Greybox oder Whitebox
  • Rate-Limits und Abbruchkriterien
  • Report, Review und Freigabe

Damit geht zum Beispiel auch

  • Unternehmenswebsite
  • Web-API
  • Kundenportal
  • Interne Anwendung

Der Prozess bleibt: Nur mit schriftlicher Berechtigung arbeiten, Scope und Abbruchkriterien vorab festhalten, nicht destruktiv testen und jeden Fund mit Beleg sowie Fix dokumentieren.

Die Werkzeuge, mit denen er arbeitet

Falk arbeitet in einem gestuften Werkzeugkasten, je nachdem, welche Stufe für das Engagement freigegeben ist:

01

Öffentliche Signale prüfen

Passive Recon-Werkzeuge, die nur öffentlich ausgelieferte Dateien und Header lesen, keine Anfrage mit Nebenwirkung.

02

Login-Flüsse nachvollziehen

Manuelle Prüfung von Login- und Sitzungsfluss direkt im Frontend-Code, keine automatisierte Annahme.

03

Gezielt nach Schwachstellen suchen

Ein zielgerichteter, ratenbegrenzter automatisierter Scanner für TLS-Konfiguration und bekannte Schwachstellenklassen.

04

Jeden Schritt protokollieren

Ein schriftlicher Scope und ein Auftragsordner pro Engagement, in dem jede Freigabe und jeder Schritt protokolliert wird.

Was er nicht kann, wo ich freigebe

Er testet nur Systeme, die mir gehören oder für die eine schriftliche Freigabe vorliegt. Kein Test ohne Scope-Freigabe im Auftrag.

Aktive Scans, Fuzzing oder Exploit-Versuche gegen ein Zielsystem sind gate-pflichtig, ebenso Geld ausgeben etwa für kommerzielle Werkzeuge oder Cloud-Scan-Kontingente.

Nie: fremde Systeme ohne schriftlichen Scope, destruktive Aktionen wie Ausfälle oder Datenlöschung, Exfiltration echter personenbezogener Daten, gefundene Zugangsdaten im Klartext zitieren.

Jedes Engagement hat feste Abbruchkriterien: Instabilität, unerwartete Datenzugriffe, ein Drittanbieter-Ziel oder Rate-Limit-Warnungen stoppen den Test sofort.

Ein Findings-Report durchläuft vor der Freigabe einen Review-Pass durch eine getrennte Prüf-Rolle, bevor ich ihn sehe.

So baust du Falk für deinen Scope auf

Individuell und kontrolliert aufbauen

Einstieg über Claude lernen, dazu die Beiträge zum Einstellen und Erstellen eines KI-Mitarbeiters. Das Besondere an Falk: Er denkt aus der Perspektive eines Angreifers statt nur Prüfpunkte abzuhaken, er geht gestuft vor statt planlos Werkzeuge zu feuern, und jeder Fund kommt mit einer CVSS-Einstufung und einem konkreten Fix, nicht nur mit einer Warnung.

  • Den Aufbau Schritt für Schritt verstehen
  • Regeln und Beispiele selbst auf deinen Betrieb zuschneiden

Individueller Scope statt Standardpaket

Falk läuft in meinem eigenen Betrieb. Ein Sicherheitstest braucht immer einen eigenen Scope und eine eigene Freigabe für das jeweilige Zielsystem. Deshalb wird sein Prozess gezielt auf die Anwendung zugeschnitten statt als allgemeine Vorlage verteilt.

  • Den dokumentierten Aufbau als Vorlage nutzen
  • Scope, Zugänge und Freigaben passend festlegen
Zur Community

Häufige Fragen zu Falk

Wie prüfe ich, ob meine Website sicher ist?

Eine einzelne Prüfung reicht selten. Sinnvoll ist ein gestufter Ansatz: erst von außen ohne Zugang, dann als unauthentifizierter Angreifer, und wo es Sinn ergibt, mit echtem Zugang oder Repo-Einsicht. Kostenlose Online-Checker liefern einen ersten Eindruck, ersetzen aber keine gezielte, manuelle Prüfung mit Beleg und Einstufung nach Schweregrad.

Kann KI beim Penetration-Testing helfen?

Ja, in Teilen. KI kann Recon beschleunigen, Code auf typische Schwachstellenmuster durchsuchen und Berichte strukturieren. Bei mir arbeitet Falk gestuft und dokumentiert jeden Schritt, bevor er handelt. Was er nicht darf: eigenmächtig gegen fremde Systeme aktiv werden. Jeder Test braucht einen schriftlichen Scope und meine Freigabe.

Wie teste ich meine eigene Website auf Sicherheitslücken?

Erster Schritt ist eine Bestandsaufnahme ausschließlich aus öffentlich ausgelieferten Dateien, ohne Annahmen. Danach folgt ein Angriffsflächenmodell entlang von Login und Sitzungsfluss, dann manuelle Tests auf typische Schwachstellenklassen und ein ratenbegrenzter automatisierter Scan. Am Ende steht eine Bewertung mit Fix-Vorschlag zu jedem Fund, nicht nur eine Fehlerliste.

Was kostet ein Penetrationstest?

Das hängt stark vom Scope ab: Umfang der Anwendung, welche Stufen freigegeben sind, und ob es bei einer externen Blackbox-Prüfung bleibt oder auch Zugang oder Repo-Einsicht folgt. Bei mir läuft das im Rahmen meines eigenen Betriebs, eine pauschale Zahl dafür kann ich seriös nicht nennen, ohne den konkreten Scope zu kennen.

Was ist der Unterschied zwischen einem automatisierten Scan und einem echten Red-Team-Test?

Ein automatisierter Scan sucht nach bekannten Mustern und meldet Treffer, ohne den Kontext zu verstehen. Ein Red-Team-Test wie bei Falk kombiniert das mit manueller Prüfung, einem Angriffsflächenmodell und einer Einstufung nach Schweregrad mit Fix-Vorschlag. Der Scan ist ein Werkzeug darin, nicht der ganze Test.

Sicherheitslücken finden, bevor es ein Angreifer tut

Falks genauen Zuschnitt gibt es nicht als Vorlage, aber die Lernstrecke, aus der er entstanden ist, steht in der Community.

Zur Community

Weiterlesen

Außerdem:Langdock vs Claude: was ich im Betrieb nutze·Eigenen Server absichern: Linux und Windows·Was kostet ein Sicherheitsaudit oder Pentest?·SSL-Zertifikat prüfen: Anleitung und Tools·Website Security Audit: Ablauf und Checkliste·Website-Sicherheit online prüfen·Claude lernen: der Weg in fünf Stufen·KI-Mitarbeiter einstellen: der Ablauf·KI-Mitarbeiter erstellen: so startest du·Claude Datenschutz und DSGVO: was gilt·KI-Mitarbeiter einstellen in einer Stunde·KI-Team aufbauen: mein Organigramm