Ein Outside-in Assessment bei SHELL-AFFECT ist CASP: passive Betrachtung der von außen sichtbaren Angriffsfläche, nur nach Domain-Autorisierung, mit Analysten-Verantwortung und signed Report. So entsteht Orientierung für Entscheider und IT, bevor Budget in aktive Prüfungen oder unklare Tool-Wellen fließt.
Scope: 1 Primär-Domain + 2 Subdomains, Ziel „Board-taugliche Outside-in-Klarheit in 12 Tagen“. DNS-TXT an Tag 0, Kickoff 45 Minuten, CASP Lite, Report Review mit IT und GF. Deliverable: priorisierte Liste, was vor dem geplanten App-Pentest im Q3 erledigt sein sollte. Pentest bleibt separates Angebot. Die Zahlen und Namen sind anonymisiert; der Ablauf entspricht typischen Projekten. Entscheidungskriterien bleiben explizit. Es gelten keine Ranking- oder Lead-Garantien.
Outside-in Assessment bei uns ist CASP: autorisiert, passiv, reportiert. Es bereitet Aktiv-Tests vor oder ersetzt sie bewusst, wenn das Ziel nur Exposition-Klarheit ist — nie als stiller Pentest.
Job dieser Seite: Nur Auftrag und Kickoff (wie CASP Outside-in läuft). Lagebild-Intent bei Angriffsfläche; Vergleich bei vs-Pentest/vs-Scan.
Was Sie grob erwarten können (Lite-orientiert):
DNS-TXT, Scope final, Ansprechpartner.
Passive Outside-in-Arbeit im Scope.
Business-Kontext + Sichtbarkeit + Umsetzbarkeit.
Signed Deliverable, keine Roh-Dump-only-Übergabe.
Walkthrough und nächste Schritte.
Härtung intern, Audit oder Pentest — neue Scopes.
Teams springen in Pentests oder Tool-Wellen, ohne zu wissen, welche Assets Outside-in überhaupt im Bild sind. Das erzeugt Scope-Creep, teure Überraschungen und Reports, die niemand sinnvoll priorisieren kann — und kostet oft mehr als ein sauberes Outside-in Assessment vorab.
Vor dem ersten oder nächsten Pentest, nach M&A-Domain-Chaos, oder wenn Scanner-Output die Organisation überfordert.
Outside-in soll Orientierung vor teuren Aktiv-Tests schaffen. Viele Angebote sind umgelabelte Scans. Wir liefern autorisiertes CASP mit Report und sagen klar, dass es keinen Pentest ersetzt. Reihenfolge mit Begründung.
Outside-in schärft Scope — es ersetzt RoE und aktive Validierung nicht automatisch.
Kein Start ohne Autorisierung — auch nicht „informell“.
Landkarte und Priorität, nicht nur technische Rohdaten.
Lite/Full und optionale Folgeschritte — kein erzwungenes Maximalpaket.
Typische Grenzen:
Autorisiertes Outside-in Assessment (CASP) mit signed Report
Empfehlung, ob ein späterer Pentest sinnvoll ist
Klare Domain- und Ziel-Definition vor Start
Aktive Angriffe im Outside-in-Scope
Unautorisierte OSINT gegen Dritte
Pauschale „danach sind Sie sicher“-Aussagen
Wenn Sie Orientierung vor dem großen Testbudget wollen: Scope-Gespräch. Wenn Sie einen vermischten Alleskönner-Scan ohne Grenzen wollen, passen wir nicht.
Methodengrenzen zuerst — kein vermischtes CASP/Pentest-Theater.
Gemeinsame Outside-in-Landkarte vor Aktiv-Invest.
DNS-TXT, passiv, Report, klare Grenzen.
Wochen, nicht Quartale Tool-Einführung.
Freigabe und Review-Termine.
Bessere Ziele für spätere aktive Tests.
Eine Sprache für Technik und Geschäftsleitung.
Audit/Pentest nur wenn sinnvoll.
Lite oder Full je nach Domain-Breite.
Autorisierung vor Arbeit.
Übergabe mit Priorität.
Link zur Aktiv-Route nach Bedarf.
Was soll die Entscheidung ermöglichen?
Autorisierung nachweisen.
Passives Profiling.
Priorität und nächste Schritte.
Nein. Strukturiertes, autorisiertes Profiling mit Report — kein willkürliches Doxxing.
Nein. Oft reicht Priorisierung und Härtung; Aktiv-Test ist optional.
CASP Lite € 7.500, Full € 19.900 als öffentliche Orientierung.
Kontakt mit Ziel und Domains.
Bei SHELL-AFFECT ja: CASP ist unser Outside-in-Assessment-Produkt. Andere Anbieter meinen damit oft nur einen Scan.
Lite für fokussierte Primär-Domain-Baseline; Full bei mehr Domains/Tiefe. Orientierung Preise: Lite € 7.500, Full € 19.900.
Die externe Angriffsfläche ist, was Angreifer und Scanner ohne Insider-Zugang sehen können. SHELL-AFFECT analysiert sie als CASP: passiv, nur mit Domain-Autorisierung, mit signed Report und Priorisierung — damit Sie wissen, was zuerst zählt, bevor Budget in Härtung oder aktive Tests fließt.
Thema öffnen →Ohne nachweisbare Domain-Autorisierung startet bei SHELL-AFFECT kein CASP. Die DNS-TXT-Verifikation stellt sicher, dass nur eigene oder schriftlich freigegebene Domains Outside-in betrachtet werden — für Vertrauen, Scope und klare Verantwortung vor jeder passiven Security-Analyse im DACH-Kontext.
Thema öffnen →CASP und Penetrationstest werden oft vermischt — das kostet Budget. Wir trennen klar: CASP ist passives Outside-in Profiling mit Autorisierung; der Pentest ist aktiver, freigegebener Scope mit RoE und PoCs. So wissen Sie, was zuerst sinnvoll ist.
Thema öffnen →Kurz Ziel und Domains — wir melden uns mit Scope-Vorschlag.