Matproof Sentinel
Pentest-Nachweise in Stunden, nicht Wochen.
Sentinel setzt zehn spezialisierte KI-Agenten gegen Ihren Code, Ihre APIs und Ihre Infrastruktur an - die Schwachstellen verketten wie ein echter Angreifer und jeden Fund erneut testen, bevor er im Bericht landet. Funde, die sich nicht bestätigen lassen, werden als unbestätigt markiert. Jeder Fund landet als GitHub-Issue und ist direkt auf SOC 2 (CC7.1), ISO 27001 (A.8.8), das DORA-Testprogramm nach Art. 24-25 und NIS2 Art. 21 gemappt.
Keine Anmeldung für den 3-Min-Scan — erste Befunde direkt per E-Mail. Voller Sentinel-Pentest ab €299/Monat, jederzeit kündbar.
So funktioniert Sentinel
Drei Schritte zum vollständigen Pentest
Schritt 1
GitHub-App installieren, Scope festlegen
Ein-Klick-Installation der Matproof Sentinel GitHub-App - nur Lesezugriff, beschränkt auf die Repos, die Sie auswählen. Keine Drittanbieter-OAuth-Freigaben, keine PATs in env-Dateien. Bitbucket, GitLab und einfache Target-URLs werden ebenfalls unterstützt. Ein Scan kann ein Primär-Target plus bis zu 50 zusätzliche URLs umfassen. Domain-Eigentum wird via DNS-TXT- oder HTTP-File-Challenge geprüft, bevor irgendein Traffic gesendet wird.
User access review
Schritt 2
Zehn KI-Agenten scannen in koordinierten Stages
Recon (nmap, amass, httpx) mappt die Angriffsfläche. Web-, API-, Infra-, Cloud- und Mobile-Agenten prüfen parallel (nuclei, sqlmap, OWASP ZAP, testssl.sh, Prowler, MobSF). Source-Code- und Supply-Chain-Agenten lesen Ihre Repos (Semgrep, Gitleaks, Trivy). Ein ValidatorAgent prüft jeden Fund erneut und markiert ihn als bestätigt, nicht bestätigt oder False Positive. Median-Scan: 25 Minuten. Vollständige Agenten-Registry und Methodik unter docs.matproof.com.
Findings
3 open · 1 verifiedCorrective action
Schritt 3
Bericht, SARIF, GitHub-Issues, Remediation-Diff
Jeder Fund wird dreifach ausgeliefert: ein PDF-Bericht als Nachweis für Ihre SOC 2- / ISO- / DORA-Akte, SARIF für GitHub Advanced Security und automatisch erstellte GitHub-Issues, an das richtige Team geroutet. Re-Tests deduplizieren via stabilen Fingerprints und liefern eine Hero-Metric: "N Findings seit letztem Scan behoben" - die Quittung, die Ihr Auditor und Ihr Vorstand wirklich wollen.
Mapping queue
Controls
Evidence
Plattform
Full-Stack-Sicherheitsabdeckung
KI-Agenten testen jede Schicht Ihrer Anwendung - vom Frontend bis zur Infrastruktur.
Web, API & DAST
WebApp- + Browser- + API-Agent
Durchsucht jeden Endpunkt, jedes Formular und jede Route. Tools: nuclei, sqlmap, ffuf, jwt_tool, OWASP ZAP, OpenAPI/GraphQL-Fuzzing. Deckt OWASP Top 10 + API Top 10, Auth-Bypass, IDOR, DOM-XSS, JWT-Schwächen und Session-Management ab. Authentifizierte Scans via Session-Cookies oder Bearer-Tokens unterstützt.
Quellcode & Supply Chain
Semgrep + Gitleaks + Trivy
SourceCode- und SupplyChain-Agenten lesen die Repos, die Sie via GitHub-App verbunden haben. Semgrep für SAST, Gitleaks für hartcodierte Secrets, Trivy für verwundbare Abhängigkeiten, Container und IaC. Funde werden mit CVE-Feeds abgeglichen und kommen mit Fix-Patch-Vorschlägen.
Infrastruktur, Cloud & Mobile
nmap + testssl.sh + Prowler + MobSF
Recon (nmap, subfinder, amass, dnsx, httpx), TLS/DNS-Härtung (testssl.sh), AWS-Auditing via Prowler bei read-only STS-Rolle und MobSF für Android-/iOS-Binaries. Deckt offene Ports, IAM-Fehlkonfigurationen und Privilege-Escalation-Pfade ab.
Behebung
Vom Problem zur Lösung in Minuten
Entdecken
Zehn KI-Agenten arbeiten systematisch Ihre Angriffsfläche in koordinierten Stages ab - ein Primär-Target plus bis zu 50 zusätzliche URLs pro Scan. SQL-Injection in Ihrer API, fehlkonfigurierte S3-Buckets, geleakte Secrets in Ihrem Repo, verwundbare Container-Images.
Auto-Validierung
Ein dedizierter ValidatorAgent testet jeden Fund erneut, bevor er ausgeliefert wird. Jeder Fund wird als bestätigt oder unbestätigt markiert. So weiß Ihr Team, was zuerst zu beheben ist.
SARIF-Export zu GitHub Advanced Security
Jeder Scan liefert einen SARIF-2.1.0-Report — direkt hochladbar in GitHub Advanced Security, GitLab oder Azure DevOps. Findings landen mit stabilen Fingerprints in Ihrem bestehenden PR-Review-Workflow; Re-Tests deduplizieren automatisch.
Warum Teams Sentinel vertrauen
Jeder Fund wird erneut getestet, bevor er bei Ihnen ankommt.
Jeder Fund wird erneut getestet. Unbestätigte Funde sind als solche markiert. So sehen Sie, was belegt ist und was eine genauere Prüfung braucht.
Reproduktionsschritte
Jeder Fund kommt mit Reproduktionsschritten und der Evidenz, die der Agent gesammelt hat. Bestätigte Funde zeigen, wie der Agent sie reproduziert hat.
Auto-Triage
KI klassifiziert den Schweregrad anhand von CVSS und Geschäftskontext, damit Ihr Team zuerst das behebt, was wichtig ist - und nicht das Rauschen, das klassische Scanner hochpriorisieren.
GitHub-native Workflow
Funde landen als automatisch zugewiesene GitHub-Issues, gelabelt nach Schweregrad, mit Reproduktionsschritten und Fix-Patch-Vorschlag. Stabile Fingerprints deduplizieren über Re-Tests hinweg und liefern eine Remediation-Diff-Metric: "N Findings seit letztem Scan behoben" - die Quittung, die Ihr Vorstand wirklich will. SARIF-Export für GitHub Advanced Security inklusive.
Offene Methodik, ehrlicher Scope
Vollständige Sentinel-Methodik - jeder Agent, jedes Tool, jede Prüfung - öffentlich unter docs.matproof.com/features/sentinel-methodology. Wir veröffentlichen auch, was Sentinel NICHT tut: kein Social Engineering, keine Zero-Day-Forschung, keine menschliche Verifikation. Sie kaufen Ehrlichkeit, kein Marketing-Versprechen.
Nachweis-Bericht
Funde automatisch gemappt auf SOC 2 (CC7.1), ISO 27001 (A.8.8 / A.8.29), DORA (Art. 24-27), NIS2 (Art. 21), PCI DSS (Req. 11.4), HIPAA (§164.308(a)(8)), BaFin MaRisk/BAIT und NEN 7510. PDF, JSON und SARIF - direkt einlieferbar im Audit-Evidenzraum.
Re-Tests zeigen, was Sie behoben haben
Starten Sie Sentinel nach einem Fix erneut. Stabile Fingerprints ordnen Funde über Scans hinweg zu und zeigen, welche geschlossen sind.
Deployment-Fingerprinting
Sentinel bestimmt den exakt deployten Git-Commit und Branch auf Ihrem Ziel – und meldet veraltete Deployments, nicht gemergten Code in Produktion sowie offengelegte .git-Verzeichnisse.
Testmodi
Wählen Sie Ihren Ansatz
Black-Box-Testing
Rein externer Test ohne Quellcode-Zugriff. KI-Agenten greifen Ihre Anwendung genauso an wie ein echter Angreifer -über Ihre öffentlich erreichbaren Endpunkte, APIs und Infrastruktur.
- Kein Quellcode erforderlich
- Testet externe Angriffsfläche
- Schnellere Scan-Zeiten
- Simuliert reale Angriffe
White-Box-Testing
Vollständige Quellcode-Überprüfung kombiniert mit dynamischem Testing. KI-Agenten analysieren Ihren Code Zeile für Zeile und prüfen jeden Fund danach erneut gegen die laufende Anwendung. Das ist der umfassendste Ansatz.
- Vollständige Quellcode-Analyse
- Findet versteckte Schwachstellen
- Tiefere Abdeckung
- Merge-fertige Fix-PRs
Grey-Box (authentifiziert)
Hinterlegen Sie einen Login – auch hinter SSO, 2FA oder Cloudflare Access – und Sentinel testet die authentifizierte Oberfläche, die Black-Box-Scanner nie erreichen und auf der die meisten echten Sicherheitsvorfälle passieren. Standardmäßig schreibgeschützt; Zugangsdaten werden verschlüsselt und nach dem Scan gelöscht.
- IDOR / BOLA – Zugriff auf fremde Daten
- Rechteausweitung & Umgehung der Zugriffskontrolle
- Analyse von Session- & JWT-Schwachstellen
- Standardmäßig schreibgeschützt – sicher in Produktion
Real findings, not guesses
Built on the tools security teams trust
Sentinel orchestrates the same battle-tested tools professional pentesters rely on — so every finding is reproducible and stands up to your auditor. No black-box AI guesswork.
Complete coverage — OWASP Top 10 · OWASP API Security Top 10 · Authentication bypass — mapped to SOC 2, ISO 27001 & DORA.
Preise
Einfache, planbare Preisgestaltung
Enthalt 3 Pentest-Durchlaufe pro Monat.
Zusatzliche Durchlaufe für jeweils €149.
- Web-, Code- und Infrastruktur-Scanning
- Erneut getestete Funde mit Reproduktionsschritten
- Nachweise für SOC 2 und ISO 27001
- SARIF-Export für GitHub / GitLab / ADO
- Black-Box- und White-Box-Modi
- Kontinuierliches Monitoring & Alarme
Verfügbar als Add-on zu jedem Matproof-Tarif. Jederzeit kündbar, ohne Procurement-Schleife.
Unbegrenzte Targets, Cloud- + Mobile- + SupplyChain-Agenten, SSO oder dedizierter Customer Success? Vertrieb kontaktieren →
Häufig gestellte Fragen
Was ist KI-Penetrationstest?
KI-Penetrationstest nutzt autonome KI-Agenten, um Ihre Anwendungen, APIs, Ihren Quellcode und Ihre Infrastruktur auf Sicherheitslücken zu prüfen. Im Gegensatz zu herkömmlichen Pentests, die wochenlangen manuellen Aufwand erfordern, können KI-Agenten Tausende von Angriffsvektoren in Stunden testen. Jeder Fund wird erneut getestet, und der Bericht liefert Nachweise, die Sie Ihrem Auditor zeigen können.
Wie lange dauert ein Scan?
Median-Scan-Dauer: 25 Minuten dank paralleler Agent-Ausführung (zuerst Recon, dann Web/API/Infra/Cloud/Mobile parallel, dann Source-Code/Supply-Chain, dann der Validator, der jeden Fund erneut reproduziert). Größere Angriffsflächen mit vielen Subdomains oder großen Codebasen können auch mehrere Stunden laufen. Ergebnisse erhalten Sie, sobald Funde bestätigt werden - kein Warten auf den kompletten Scan.
Ist dies mit SOC 2- und ISO 27001-Audits kompatibel?
Ja, als Nachweis. Berichte liefern Nachweise für SOC 2 CC7.1 und ISO 27001 Annex A.8.8 (Management technischer Schwachstellen). Jeder Fund enthält CVSS-Bewertung, Reproduktionsschritte, Evidenz und Behebungsempfehlungen. Ihr Auditor entscheidet, was für Ihren Scope ausreicht.
Ist es sicher, gegen Produktionsumgebungen zu testen?
Ja. Sentinel testet standardmäßig schonend. SQL-Injection prüft es nur im Erkennungsmodus und liest oder dumpt nie Datensätze aus Ihrer Datenbank. XSS weist es mit einem harmlosen Marker nach. Authentifizierte Scans sind nur lesend, außer Sie schalten den aktiven Modus ein. Jeder Befund wird erneut getestet und mit Request und Response als Nachweis geliefert. Bevor irgendein Traffic gesendet wird, verlangt Sentinel den Nachweis der Domain-Inhaberschaft per DNS-TXT-Record oder HTTP-File-Challenge. So lässt sich das Tool nicht auf Ziele richten, die Sie nicht selbst betreiben. Alternativ können Sie gegen Staging scannen.
Wie vergleicht sich Sentinel mit einem klassischen Pentest?
Sentinel ersetzt kein menschliches Red-Team-Engagement mit Social Engineering, Zero-Day-Forschung oder tiefem, maßgeschneidertem Business-Logic-Missbrauch. Das steht so auf der Methodik-Seite. Sentinel deckt die Routine-Schwachstellensuche auf Ihrer externen Angriffsfläche ab, für €299/Monat statt der €15.000-50.000 eines typischen Engagements. Und es kann laufend testen, nicht nur einmal im Jahr vor dem Audit.
Welche Arten von Schwachstellen werden gefunden?
Sentinel testet die externe Angriffsfläche Ihrer Web-Apps, APIs und Infrastruktur. Dazu gehören OWASP Top 10 und API Top 10, zum Beispiel Injection, fehlerhafte Zugriffskontrolle, IDOR, XSS sowie JWT- und Session-Schwächen. Dazu prüft Sentinel TLS- und DNS-Einstellungen, offene Ports und Dateien und bekannte CVEs in öffentlichen Komponenten. Mit Repo-Zugriff prüft es Quellcode, Secrets und Abhängigkeiten. Mit einem Test-Login führt es authentifizierte Tests nur lesend durch, etwa den Zugriff zwischen zwei Konten. Ihr internes Netzwerk testet Sentinel nicht, und es gibt kein Social Engineering.
Muss ich Quellcode-Zugriff gewähren?
Nein. Sie können Black-Box-Scans gegen jede URL oder IP ohne Quellcode ausführen - ein Primär-Target plus bis zu 50 zusätzliche URLs pro Scan. Für tiefere Abdeckung installieren Sie die Matproof Sentinel GitHub-App (empfohlen), oder verbinden GitLab / Bitbucket via OAuth, oder kleben einen GitHub-PAT ein. Die App ist nur Lesezugriff und auf die Repos beschränkt, die Sie auswählen - keine Drittanbieter-OAuth-Freigaben.
Kann ich dies für DORA-TLPT-Anforderungen nutzen?
Nein. Sentinel ist kein TLPT. TLPT ist in DORA Art. 26 geregelt und erfordert qualifizierte externe Tester und Threat Intelligence. Sentinel unterstützt Ihr Programm für Tests der digitalen operationalen Resilienz nach Art. 24-25, zum Beispiel mit Schwachstellen-Scans und regelmäßigen Re-Tests zwischen TLPT-Zyklen.
Jetzt starten
Schluss mit Raten. Anfangen zu testen.
Installieren Sie die Sentinel GitHub-App, richten Sie sie auf Ihre Repos und erhalten Sie in Stunden einen Bericht mit erneut getesteten Funden. €299/Monat, 3 Scans inklusive. Keine Setup-Calls, keine Procurement-Schleife.