Vom jährlichen Pentest zur kontinuierlichen Sicherheitsprüfung
Von Ralf Schmidt | 29. September 2026 | Tech-Corner
Eine Anwendung wird heute getestet. Drei Wochen später folgt das nächste Release. Neue Funktionen, veränderte Berechtigungen oder zusätzliche Schnittstellen können die Sicherheitslage bereits wieder verändert haben.
Der klassische Penetrationstest löst dieses Problem nur bedingt: Er liefert eine qualifizierte Momentaufnahme.
Genau hier setzt AigentX von KomodoSec an. Die Plattform ist darauf ausgelegt, Sicherheitstests wiederholbar durchzuführen, etwa vor einem Release, nach der Behebung einer Schwachstelle, zu festgelegten Zeitpunkten oder bei Bedarf.
Für mittelständische Unternehmen ist daran weniger das Schlagwort „KI“ interessant. Entscheidend ist eine andere Frage:
Kann aus dem punktuellen Pentest ein kontinuierlicher Sicherheitsprozess werden?
Mehr als ein automatisierter Schwachstellenscan
Automatisierte Security-Scanner sind nicht neu. Der Anspruch von AigentX geht weiter.
Nach Angaben von KomodoSec rekonstruiert die Plattform, wie eine Anwendung tatsächlich funktioniert. Dabei werden Services, Workflows, Rollen und deren Beziehungen aus dem Verhalten der Anwendung erfasst. Das System kann Accounts registrieren, sich authentifizieren und Objekte erzeugen, die für weitergehende Sicherheitstests benötigt werden.
Besonders interessant ist die Prüfung unterschiedlicher Identitäten und Berechtigungen. AigentX vergleicht, welche Funktionen verschiedene Benutzer, Rollen oder Mandanten tatsächlich erreichen und ausführen können. Damit adressiert das System ausdrücklich auch Schwachstellen in Autorisierung und Geschäftslogik.
Der Unterschied liegt damit in der Fragestellung.
Während klassische automatisierte Prüfungen technische Schwachstellen identifizieren, zielt der agentische Ansatz von AigentX darauf, Anwendungen im Kontext ihrer tatsächlichen Abläufe zu untersuchen.
Oder vereinfacht:
Nicht nur: „Welche Schwachstelle könnte vorhanden sein?“, sondern auch: „Welche nicht vorgesehene Handlung lässt sich innerhalb eines realen Geschäftsprozesses tatsächlich durchführen?“
„Agentisch“ bedeutet in diesem Zusammenhang, dass das System nicht lediglich einen starren Prüfablauf abarbeitet, sondern innerhalb vorgegebener Grenzen Aktionen durchführt, Workflows ausführt und auf das Verhalten der Anwendung reagiert.
Von potenziellen Schwachstellen zu validierten Findings
Ein weiterer wichtiger Punkt ist die Validierung.
KomodoSec beschreibt AigentX so, dass die Ausnutzbarkeit einer Schwachstelle bestätigt wird, bevor diese als Finding ausgegeben wird. Die dargestellten Reports enthalten unter anderem Executive Context, Findings nach Schweregrad, Angriffspfade, technische Nachweise, Informationen zur Reproduktion und Remediation sowie Retests.
Das ist für die praktische Arbeit relevant.
Security- und Entwicklungsteams benötigen nicht nur Hinweise auf mögliche Schwachstellen, sondern möglichst konkrete Informationen darüber, wie ein Problem reproduziert und anschließend behoben werden kann.
Genau hier setzt der Ansatz von AigentX an: Die Ergebnisse sollen nicht lediglich eine Liste möglicher Kandidaten für eine weitere Analyse darstellen, sondern validierte Findings mit Angriffspfad und Nachweis liefern.
Warum das gerade für den Mittelstand interessant ist
Auch mittelständische Unternehmen betreiben heute zunehmend geschäftskritische Kundenportale, Webanwendungen, APIs und digitale Geschäftsprozesse.
Damit wächst die zu schützende Angriffsfläche, während gleichzeitig die Frage entsteht, wie häufig sich eine Organisation hochwertige offensive Sicherheitsprüfungen leisten und organisatorisch abbilden kann.
Hier liegt das besondere Potenzial eines Ansatzes wie AigentX: Penetration Testing häufiger und näher am Entwicklungs- und Betriebsprozess einzusetzen.
Die Plattform unterstützt laut KomodoSec unterschiedliche wiederkehrende Einsatzformen, darunter gezielte Retests nach einer Remediation, geplante Assessments und Tests bei Bedarf. Bei einem Retest kann der ursprüngliche Angriffspfad erneut überprüft werden.
Damit entsteht eine andere Sicherheitslogik:
Testen → Beheben → erneut validieren
Und bei relevanten Veränderungen beginnt dieser Zyklus erneut.
Für den Mittelstand ist das von besonderer Bedeutung. Statt Penetration Testing ausschließlich als isoliertes Projekt zu betrachten, lässt es sich perspektivisch enger mit der laufenden Weiterentwicklung geschäftskritischer Anwendungen verbinden.
Autonomes Pentesting braucht klare Grenzen
Je autonomer ein Sicherheitssystem agiert, desto wichtiger wird die Kontrolle darüber, was es tun darf.
Das gilt insbesondere für offensive Security.
Bei AigentX werden deshalb unter anderem Scope, Ausschlüsse, verwendete Identitäten und die zulässige Testintensität festgelegt. KomodoSec beschreibt darüber hinaus interne Sicherheitsmechanismen. Ein Exploit wird demnach nur so weit ausgeführt, wie es zum Nachweis erforderlich ist. Unnötige Veränderungen oder Löschungen bestehender Daten sollen vermieden und die Verfügbarkeit eines Systems geschützt werden, sofern kein destruktives Testing autorisiert wurde.
Für Unternehmen ist diese Governance keine Nebenfunktion.
Sie ist eine Voraussetzung für den kontrollierten Einsatz autonomer offensiver Sicherheitstests.
Gerade bei geschäftskritischen Anwendungen muss festgelegt sein, welche Systeme getestet werden, welche Bereiche explizit ausgeschlossen sind und wie weit ein Test gehen darf.
Hier verbindet AigentX Autonomie mit definierten Rules of Engagement.
Agentic Pentesting und menschliche Expertise
Die Stärke von AigentX liegt nicht darin, menschliche Security-Expertise zu ersetzen. Der entscheidende Fortschritt besteht darin, hochwertige offensive Sicherheitsprüfungen häufiger, wiederholbar und näher am laufenden Software-Lifecycle durchführen zu können.
AigentX ist darauf ausgelegt, Anwendungen und ihre tatsächlichen Abläufe zu verstehen, unterschiedliche Identitäten und Berechtigungen zu testen und die Ausnutzbarkeit gefundener Schwachstellen zu validieren. Nach einer Behebung kann der ursprüngliche Angriffspfad erneut geprüft werden. Damit entsteht aus einem einzelnen Assessment ein wiederholbarer Prozess aus Test, Remediation und Retest.
Besonders interessant für mittelständische Unternehmen ist dabei die Verbindung von Automatisierung und menschlicher Expertise.
KomodoSec bietet AigentX sowohl als Self-Managed-Lösung als auch in einem Managed-Modell an. Im Managed-Modell führt AigentX das Assessment durch. Anschließend überprüfen und validieren Penetration Tester von KomodoSec die Findings vor der Auslieferung.
Damit geht es nicht um „KI oder Security-Experte“, sondern um die Kombination beider Fähigkeiten: Agentische Technologie schafft Skalierbarkeit und Wiederholbarkeit, menschliche Expertise ergänzt sie dort, wo fachliche Bewertung gefragt ist.
Gerade für mittelständische Unternehmen eröffnet dieser Ansatz die Möglichkeit, Penetration Testing stärker als kontinuierlichen Bestandteil der eigenen Cybersecurity zu etablieren, anstatt die Sicherheit geschäftskritischer Anwendungen lediglich zu einzelnen Zeitpunkten überprüfen zu lassen.
Vom Sicherheitstest zum Sicherheitsprozess
AigentX ist vor allem deshalb interessant, weil die Plattform eine grundsätzliche Entwicklung im Penetration Testing sichtbar macht:
Offensive Security muss nicht zwangsläufig ein punktuelles Projekt bleiben.
Wenn Anwendungen nach Releases, nach einer Remediation, zu festgelegten Zeitpunkten oder bei Bedarf erneut geprüft werden können, rückt Penetration Testing näher an den laufenden Software-Lifecycle. AigentX ist nach Angaben von KomodoSec genau für solche wiederholbaren Assessments ausgelegt.
Für den Mittelstand liegt darin ein wesentlicher Mehrwert von Agentic Penetration Testing: Security-Experten nicht zu ersetzen, sondern offensive Sicherheitsprüfungen skalierbarer, wiederholbarer und damit kontinuierlicher verfügbar zu machen.
Die eigentliche Veränderung liegt daher nicht allein in einer neuen Technologie. Sie liegt in der Möglichkeit, Penetration Testing neu zu denken.