Audit-fertige Pentests in Stunden, nicht Wochen.
Sentinel setzt zehn spezialisierte KI-Agenten gegen Ihren Code, Ihre APIs und Ihre Infrastruktur an - die Schwachstellen verketten wie ein echter Angreifer und jeden Fund erneut reproduzieren, bevor er im Bericht landet. Jeder Fund kommt mit funktionierendem Exploit, landet als GitHub-Issue und ist direkt auf SOC 2, ISO 27001, DORA Art. 24 und NIS2 Art. 21 gemappt. Dieselbe Engine, mit der wir matproof.com jedes Quartal selbst pentesten.
Keine Anmeldung für den 3-Min-Scan — erste Befunde direkt per E-Mail. Voller Sentinel-Pentest ab €299/Monat, jederzeit kündbar.
So funktioniert Sentinel
Drei Schritte zum vollständigen Pentest
GitHub-App installieren, Scope festlegen
Ein-Klick-Installation der Matproof Sentinel GitHub-App - nur Lesezugriff, beschränkt auf die Repos, die Sie auswählen. Keine Drittanbieter-OAuth-Freigaben, keine PATs in env-Dateien. Bitbucket, GitLab und einfache Target-URLs werden ebenfalls unterstützt. Ein Scan kann ein Primär-Target plus bis zu 50 zusätzliche URLs umfassen. Domain-Eigentum wird via DNS-TXT- oder HTTP-File-Challenge geprüft, bevor irgendein Traffic gesendet wird.
Zehn KI-Agenten scannen in koordinierten Stages
Recon (nmap, amass, httpx) mappt die Angriffsfläche. Web-, API-, Infra-, Cloud- und Mobile-Agenten prüfen parallel (nuclei, sqlmap, OWASP ZAP, testssl.sh, Prowler, MobSF). Source-Code- und Supply-Chain-Agenten lesen Ihre Repos (Semgrep, Gitleaks, Trivy). Ein ValidatorAgent reproduziert jeden Fund erneut, um die Ausnutzbarkeit zu bestätigen. Median-Scan: 25 Minuten. Vollständige Agenten-Registry und Methodik unter docs.matproof.com.
Bericht, SARIF, GitHub-Issues, Remediation-Diff
Jede bestätigte Schwachstelle wird dreifach ausgeliefert: ein audit-fertiges PDF für Ihre SOC 2- / ISO- / DORA-Akte, SARIF für GitHub Advanced Security und automatisch erstellte GitHub-Issues, an das richtige Team geroutet. Re-Tests deduplizieren via stabilen Fingerprints und liefern eine Hero-Metric: "N Findings seit letztem Scan behoben" - die Quittung, die Ihr Auditor und Ihr Vorstand wirklich wollen.
Plattform
Full-Stack-Sicherheitsabdeckung
KI-Agenten testen jede Schicht Ihrer Anwendung - vom Frontend bis zur Infrastruktur.
Web, API & DAST
WebApp- + Browser- + API-Agent
Durchsucht jeden Endpunkt, jedes Formular und jede Route. Tools: nuclei, sqlmap, ffuf, jwt_tool, OWASP ZAP, OpenAPI/GraphQL-Fuzzing. Deckt OWASP Top 10 + API Top 10, Auth-Bypass, IDOR, DOM-XSS, JWT-Schwächen und Session-Management ab. Authentifizierte Scans via Session-Cookies oder Bearer-Tokens unterstützt.
Quellcode & Supply Chain
Semgrep + Gitleaks + Trivy
SourceCode- und SupplyChain-Agenten lesen die Repos, die Sie via GitHub-App verbunden haben. Semgrep für SAST, Gitleaks für hartcodierte Secrets, Trivy für verwundbare Abhängigkeiten, Container und IaC. Funde werden mit CVE-Feeds abgeglichen und kommen mit Fix-Patch-Vorschlägen.
Infrastruktur, Cloud & Mobile
nmap + testssl.sh + Prowler + MobSF
Recon (nmap, subfinder, amass, dnsx, httpx), TLS/DNS-Härtung (testssl.sh), AWS-Auditing via Prowler bei read-only STS-Rolle und MobSF für Android-/iOS-Binaries. Deckt offene Ports, IAM-Fehlkonfigurationen und Privilege-Escalation-Pfade ab.
Behebung
Vom Problem zur Lösung in Minuten
Entdecken
Zehn KI-Agenten arbeiten systematisch Ihre Angriffsfläche in koordinierten Stages ab - ein Primär-Target plus bis zu 50 zusätzliche URLs pro Scan. SQL-Injection in Ihrer API, fehlkonfigurierte S3-Buckets, geleakte Secrets in Ihrem Repo, verwundbare Container-Images.
Auto-Validierung
Ein dedizierter ValidatorAgent reproduziert jeden Fund erneut, bevor er ausgeliefert wird. Was er nicht reproduzieren kann, fliegt raus. Ihr kundenseitiger Bericht enthält ausschließlich bestätigte Exploits mit Evidenz, die Ihr Auditor nachvollziehen kann.
SARIF-Export zu GitHub Advanced Security
Jeder Scan liefert einen SARIF-2.1.0-Report — direkt hochladbar in GitHub Advanced Security, GitLab oder Azure DevOps. Findings landen mit stabilen Fingerprints in Ihrem bestehenden PR-Review-Workflow; Re-Tests deduplizieren automatisch.
Warum Teams Sentinel vertrauen
Jeder Fund ist validiert. Nichts im Bericht ist theoretisch.
Keine False Positives, keine KI-Halluzinationen. Wenn es im Bericht steht, hat ein Agent es bereits exploitet - und Ihr Auditor kann den Proof reproduzieren.
Exploit-Nachweis
Jede Schwachstelle kommt mit einer funktionierenden Exploit-Demonstration und Reproduktionsschritten - keinem theoretischen CVSS-Score. Ihr Auditor kann es nachvollziehen.
Auto-Triage
KI klassifiziert den Schweregrad anhand von CVSS und Geschäftskontext, damit Ihr Team zuerst das behebt, was wichtig ist - und nicht das Rauschen, das klassische Scanner hochpriorisieren.
GitHub-native Workflow
Funde landen als automatisch zugewiesene GitHub-Issues, gelabelt nach Schweregrad, mit Reproduktionsschritten und Fix-Patch-Vorschlag. Stabile Fingerprints deduplizieren über Re-Tests hinweg und liefern eine Remediation-Diff-Metric: "N Findings seit letztem Scan behoben" - die Quittung, die Ihr Vorstand wirklich will. SARIF-Export für GitHub Advanced Security inklusive.
Offene Methodik, ehrlicher Scope
Vollständige Sentinel-Methodik - jeder Agent, jedes Tool, jede Prüfung - öffentlich unter docs.matproof.com/features/sentinel-methodology. Wir veröffentlichen auch, was Sentinel NICHT tut: kein Social Engineering, keine Zero-Day-Forschung, keine menschliche Verifikation. Sie kaufen Ehrlichkeit, kein Marketing-Versprechen.
Audit-fertiger Bericht
Funde automatisch gemappt auf SOC 2 (CC7.1), ISO 27001 (A.8.8 / A.8.29), DORA (Art. 24-27), NIS2 (Art. 21), PCI DSS (Req. 11.4), HIPAA (§164.308(a)(8)), BaFin MaRisk/BAIT und NEN 7510. PDF, JSON und SARIF - direkt einlieferbar im Audit-Evidenzraum.
Wir pentesten uns selbst
Sentinel läuft jedes Quartal gegen matproof.com. Wir vertreiben kein Sicherheits-Tooling, das wir nicht auf unsere eigene Produktion richten würden. Alle Findings aus dem letzten Self-Scan sind behoben.
Deployment-Fingerprinting
Sentinel bestimmt den exakt deployten Git-Commit und Branch auf Ihrem Ziel – und meldet veraltete Deployments, nicht gemergten Code in Produktion sowie offengelegte .git-Verzeichnisse.
Testmodi
Wählen Sie Ihren Ansatz
Black-Box-Testing
Rein externer Test ohne Quellcode-Zugriff. KI-Agenten greifen Ihre Anwendung genauso an wie ein echter Angreifer -über Ihre öffentlich erreichbaren Endpunkte, APIs und Infrastruktur.
- Kein Quellcode erforderlich
- Testet externe Angriffsfläche
- Schnellere Scan-Zeiten
- Simuliert reale Angriffe
White-Box-Testing
Vollständige Quellcode-Überprüfung kombiniert mit dynamischem Testing. KI-Agenten analysieren Ihren Code Zeile für Zeile und verifizieren Funde anschließend mit Live-Exploitation - der umfassendste Ansatz.
- Vollständige Quellcode-Analyse
- Findet versteckte Schwachstellen
- Tiefere Abdeckung
- Merge-fertige Fix-PRs
Grey-Box (authentifiziert)
Hinterlegen Sie einen Login – auch hinter SSO, 2FA oder Cloudflare Access – und Sentinel testet die authentifizierte Oberfläche, die Black-Box-Scanner nie erreichen und auf der die meisten echten Sicherheitsvorfälle passieren. Standardmäßig schreibgeschützt; Zugangsdaten werden verschlüsselt und nach dem Scan gelöscht.
- IDOR / BOLA – Zugriff auf fremde Daten
- Rechteausweitung & Umgehung der Zugriffskontrolle
- Analyse von Session- & JWT-Schwachstellen
- Standardmäßig schreibgeschützt – sicher in Produktion
Real findings, not guesses
Built on the tools security teams trust
Sentinel orchestrates the same battle-tested tools professional pentesters rely on — so every finding is reproducible and stands up to your auditor. No black-box AI guesswork.
Complete coverage — OWASP Top 10 · OWASP API Security Top 10 · Authentication bypass — mapped to SOC 2, ISO 27001 & DORA.
Preise
Einfache, planbare Preisgestaltung
Verfügbar als Add-on zu jedem Matproof-Tarif. Jederzeit kündbar, ohne Procurement-Schleife. Dieselbe Engine, die wir jedes Quartal gegen matproof.com richten - jetzt für Ihren Stack.
Unbegrenzte Targets, Cloud- + Mobile- + SupplyChain-Agenten, SSO oder dedizierter Customer Success? Vertrieb kontaktieren →
Häufig gestellte Fragen
Was ist KI-Penetrationstest?
KI-Penetrationstest nutzt autonome KI-Agenten, um Ihre Anwendungen, APIs, Ihren Quellcode und Ihre Infrastruktur auf Sicherheitslücken zu prüfen. Im Gegensatz zu herkömmlichen Pentests, die wochenlangen manuellen Aufwand erfordern, können KI-Agenten Tausende von Angriffsvektoren in Stunden testen - und liefern audit-fertige Berichte mit Exploit-Nachweis für jeden Fund.
Wie lange dauert ein Scan?
Median-Scan-Dauer: 25 Minuten dank paralleler Agent-Ausführung (zuerst Recon, dann Web/API/Infra/Cloud/Mobile parallel, dann Source-Code/Supply-Chain, dann der Validator, der jeden Fund erneut reproduziert). Größere Angriffsflächen mit vielen Subdomains oder großen Codebasen können auch mehrere Stunden laufen. Ergebnisse erhalten Sie, sobald Funde bestätigt werden - kein Warten auf den kompletten Scan.
Ist dies mit SOC 2- und ISO 27001-Audits kompatibel?
Ja. Berichte sind so formatiert, dass sie die SOC 2 Type II-Pentestanforderungen und ISO 27001 Annex A.12.6 (Technisches Schwachstellenmanagement) erfüllen. Jeder Fund enthalt CVSS-Bewertung, Reproduktionsschritte, Evidenz-Screenshots und Behebungsempfehlungen - genau das, was Ihr Auditor braucht.
Ist es sicher, gegen Produktionsumgebungen zu testen?
Ja. Die Ausnutzung erfolgt kontrolliert - SQL-Injection wird durch Extraktion eines einzelnen harmlosen Datensatzes bestätigt, nicht durch einen Datenbank-Dump; XSS durch Reflektieren eines harmlosen Markers. Bevor irgendein Traffic gesendet wird, verlangt Sentinel den Nachweis der Domain-Eigenschaft via DNS-TXT-Record oder HTTP-File-Challenge - damit das Tool nicht auf Targets gerichtet werden kann, die Sie gar nicht selbst betreiben. Alternativ können Sie gegen Staging-Umgebungen scannen.
Wie vergleicht sich Sentinel mit einem klassischen Pentest?
Sentinel ist KEIN Ersatz für menschliche Red-Team-Engagements mit Social Engineering, Zero-Day-Forschung oder tiefer maßgeschneiderter Business-Logic-Abuse. Das steht so auf der Methodik-Seite. Sentinel IST ein Ersatz für die Routine-Schwachstellenfindung, mit der Beratungshäuser 70-80 % ihrer Zeit verbringen - zu 5-10 % der Kosten (€299/Monat vs. €15.000-50.000 pro Engagement) und kontinuierlich statt einmal im Jahr vor dem Audit.
Welche Arten von Schwachstellen werden gefunden?
Die vollständigen OWASP Top 10 sowie Business-Logic-Schwachstellen, Authentifizierungsumgehungen, API-Missbrauch, hartcodierte Secrets, unsichere Abhängigkeiten, Cloud-Fehlkonfigurationen, Privilege Escalation und mehr. Jeder Fund wird mit einem funktionierenden Exploit-Nachweis validiert - keine theoretischen Risiken oder False Positives.
Muss ich Quellcode-Zugriff gewähren?
Nein. Sie können Black-Box-Scans gegen jede URL oder IP ohne Quellcode ausführen - ein Primär-Target plus bis zu 50 zusätzliche URLs pro Scan. Für tiefere Abdeckung installieren Sie die Matproof Sentinel GitHub-App (empfohlen), oder verbinden GitLab / Bitbucket via OAuth, oder kleben einen GitHub-PAT ein. Die App ist nur Lesezugriff und auf die Repos beschränkt, die Sie auswählen - keine Drittanbieter-OAuth-Freigaben.
Kann ich dies für DORA-TLPT-Anforderungen nutzen?
KI-Penetrationstest kann Ihr DORA Artikel 24 Threat-Led Penetration Testing (TLPT)-Programm ergänzen. Während TLPT für systemrelevante Institutionen zusätzliche menschlich geführte Red-Team-Übungen erfordern kann, bietet Matproofs automatisiertes Scanning kontinuierliche Abdeckung zwischen formellen TLPT-Engagements und erfüllt laufende Resilienztestanforderungen.
Jetzt starten
Schluss mit Raten. Anfangen zu testen.
Installieren Sie die Sentinel GitHub-App, richten Sie sie auf Ihre Repos - und haben Sie einen Bericht mit echtem Exploit-Nachweis auf dem Tisch Ihres Auditors, bevor der nächste Sprint anfängt. €299/Monat, 3 Scans inklusive. Keine Setup-Calls, keine Procurement-Schleife.