Häufige Fragen.

Wir prüfen, härten und überwachen Websites und IT-Infrastruktur: echter Penetrationstest, DSGVO-Technik-Audit und laufendes Monitoring — aus einer Hand. Gefundene Lücken schließen wir auf Wunsch selbst. Tutalis ist eine Marke der Pixelmeister GmbH, Ihre Daten bleiben in Deutschland. Alle Leistungen.

Für KMU, Vereine und Agenturen, die eine Website oder IT betreiben und wissen wollen, wie sicher sie wirklich ist — vom kleinen WordPress-Auftritt bis zur komplexen Web-App mit Mail-Server, VPN und Infrastruktur.

Mit dem kostenlosen Schnellcheck: ein Blick von außen auf die sichtbare Sicherheit Ihrer Website, in Klartext. Daraus ergibt sich, ob ein tieferer Check, ein Pentest oder ein Schutz-Abo sinnvoll ist. Kostenlos starten.

Der Schnellcheck ist kostenlos. Der manuell verifizierte Tutalis-Check startet bei 490 €, das Schutz-Abo ab 29 €/Monat, ein echter Pentest ab 1.900 €. Alle Preise offen einsehbar auf der Preise-Seite.

Ja. Unsere Prüfungen laufen remote von eigener Infrastruktur in Deutschland; wir arbeiten bundesweit im DACH-Raum. Ein Vor-Ort-Termin ist für die meisten Leistungen nicht nötig.

An Transparenz: klare Preise, schriftliche Beauftragung mit definiertem Umfang, nachvollziehbare Methodik (OWASP-orientiert), Responsible Disclosure und ein echter, lesbarer Report — kein anonymer Scan-Ausdruck. Genau so arbeiten wir.

Wir orientieren uns an etablierten Standards wie OWASP für Webanwendungen und einem klaren Vorgehen: Scope & Freigabe, automatisierte Aufklärung, manuelle Verifikation, priorisierter Report, Retest. So läuft ein Pentest ab.

Ja. Ergebnisse gehen ausschließlich an Sie und bleiben vertraulich — Responsible Disclosure. Wir veröffentlichen keine Funde und geben nichts an Dritte weiter.

Auf Anfrage zeigen wir gern einen anonymisierten Muster-Report, damit Sie genau wissen, was Sie bekommen — Funde, Auswirkung, Fix, in Klartext. Fragen Sie uns.

Weil wir KI-beschleunigt arbeiten: die Fleißarbeit übernimmt die Maschine, die Verifikation der Mensch. Das ist ein echter manueller Pentest inklusive Retest — kein automatischer Scan, der sich Pentest nennt. Mehr zu den Preisen.

Ja, mit Ihrer Freigabe. Ein Test ohne Erlaubnis kann strafbar sein (§§ 202a–c StGB); wir prüfen ausschließlich Ihre eigenen Systeme auf Basis einer schriftlichen Beauftragung mit klar definiertem Umfang. Ohne diese Autorisierung starten wir nicht.

Eine schriftliche Beauftragung, die Umfang (Scope), Zeitraum und die zu prüfenden Systeme festlegt. Das schützt beide Seiten und ist die Grundlage jedes seriösen Pentests.

Wenn bei der Prüfung personenbezogene Daten verarbeitet werden, schließen wir einen AVV nach Art. 28 DSGVO. Ob er im Einzelfall nötig ist, klären wir vor Beginn — das ersetzt keine Rechtsberatung.

In der Regel nicht. Wir stimmen Zeitfenster und Intensität ab, gehen bei produktiven Systemen behutsam vor und können auf Wunsch gegen eine Staging-Kopie testen.

So wenig wie möglich, so vertraulich wie nötig: Wir sichten nur, was zum Nachweis einer Lücke nötig ist, dokumentieren anonymisiert und geben nichts weiter. Prüfung und Auswertung laufen auf deutscher Infrastruktur.

Ein Schwachstellenscan ist automatisiert und breit. Ein Penetrationstest geht tiefer: Handarbeit, Verkettung von Lücken, Nachweis der tatsächlichen Ausnutzbarkeit. Ein Audit bewertet zusätzlich Prozesse und Organisation. Wir kombinieren Scan plus manuelle Verifikation.

Für einen groben Überblick ja. Für einen belastbaren Nachweis — etwa für Kunden oder Versicherer — nicht: Scanner melden Verdachtsfälle, aber kein Mensch prüft die Ausnutzbarkeit. Genau das leistet der Pentest.

Ja, bei uns inklusive: nach der Behebung prüfen wir innerhalb von 60 Tagen nach, dass die Lücken wirklich geschlossen sind — ohne Aufpreis.

Als Faustregel jährlich sowie nach jedem größeren Relaunch oder Umbau. Wer dauerhaft absichern will, kombiniert den Pentest mit laufendem Monitoring.

Ab 1.900 € für eine Website/Web-App, ab 3.900 € für Shops, ab 6.900 € für komplexe Anwendungen und Infrastruktur — Retest inklusive. Details im Ratgeber und auf der Preise-Seite.

WordPress selbst ist solide — die Angriffsfläche sind meist veraltete Plugins und Themes, schwache Logins und Fehlkonfiguration. Genau das prüfen und härten wir. WordPress-Sicherheit.

Ein Plugin ist eine sinnvolle Ergänzung, aber kein Ersatz für echte Härtung. Es behebt Fehlkonfiguration, offengelegte Dateien oder veraltete Komponenten nicht zuverlässig. 12-Punkte-Checkliste.

Nicht per se — aber sie zeigen auffällig oft dieselben Muster: Zugangsdaten im Client-Code, fehlende serverseitige Prüfungen, offene Endpunkte. „Sieht fertig aus“ heißt nicht „ist sicher“. Warum das so ist.

Sicherheits-Header und CSP, TLS, DNS und Mail-Spoofing (SPF/DKIM/DMARC), CMS- und Plugin-Lücken, offengelegte Dateien und Secrets sowie DSGVO-Basics. Website-Sicherheitscheck.

Nein. Wir liefern die technische Seite: was Ihre Website beim Aufruf lädt, wohin Daten fließen, ob Tracking vor der Einwilligung startet. Die juristische Bewertung gehört zu Anwalt oder Datenschutzbeauftragtem. DSGVO-Website-Check.

Art. 32 DSGVO fordert geeignete technische Maßnahmen nach Stand der Technik. Transportverschlüsselung (TLS/HTTPS) gilt heute als Standard, besonders bei Formularen. Wir prüfen das technisch — die rechtliche Einordnung nicht.

Die Consent-Reihenfolge (lädt Tracking vor der Einwilligung?), Cookies, Google Fonts und US-CDNs, eingebettete US-Dienste, Server-Standort und TLS. Ergebnis: eine konkrete Fund-Liste mit Fix. DSGVO-Checkliste.

Bei einer Verletzung des Schutzes personenbezogener Daten kann eine Meldepflicht an die Aufsichtsbehörde bestehen (Art. 33 DSGVO, in der Regel binnen 72 Stunden). Die konkrete Einordnung gehört zu Ihrem DSB oder Anwalt.

Direkt meist nur mittlere und große Unternehmen bestimmter Sektoren (grob ab etwa 50 Mitarbeitenden bzw. 10 Mio. € Umsatz). Viele kleinere Betriebe trifft es indirekt über die Lieferkette. Bin ich betroffen?.

Genau dafür gibt es unseren dokumentierten Report aus Pentest, Analyse und Monitoring — er dient als technischer Nachweis der ergriffenen Sicherheitsmaßnahmen. NIS2-Nachweis.

Nein. Es gibt keine NIS2-Zertifizierung im klassischen Sinn, und wir sind keine akkreditierte Zertifizierungsstelle. Wir liefern den technischen Nachweisteil — Pentest, Härtung, Monitoring — nicht die Rechtsberatung.

Versicherer erwarten 2026 zunehmend MFA, aktuelles Patch-Management, Backups und häufig einen Pentest-Nachweis. Unser Monatsreport aus dem Schutz-Abo ist genau dieser Nachweis.

In der Regel ja: ein dokumentierter Pentest- oder Monitoring-Report belegt die ergriffenen Maßnahmen. Die genauen Anforderungen nennt Ihr Versicherer — wir liefern den technischen Teil.

Täglich: neue Plugin- und CVE-Lücken, aufgerissene Ports, abgelaufene Zertifikate, Defacement und Blacklisting. Bei einem Fund melden wir uns in Klartext — und schließen die Lücke im Abo selbst. Monitoring & Schutz-Abo.

Nein, es ergänzt ihn. Monitoring erkennt neue, bekannte Lücken laufend; der Pentest findet die tieferen, verketteten und logischen Schwächen einmalig und gründlich.

Ruhe bewahren, Spuren sichern, Seite in den Wartungsmodus, Passwörter und Keys von einem sauberen Gerät ändern. Die vollständigen Sofortmaßnahmen: Website gehackt. Für akute Hilfe: Kontakt.

Typische Zeichen: unerklärliche Weiterleitungen, fremde Inhalte oder Spam, Browser- oder Google-Warnungen, plötzlich langsame Seite, unbekannte Admin-Konten. Im Zweifel kurz prüfen lassen.

Weil Vertrauen bei Transparenz anfängt. Die meisten Security-Anbieter verstecken ihre Preise hinter „Angebot anfragen“. Wir nicht — Sie sehen, woran Sie sind. Alle Preise.

Ja. Kein Jahresvertrag, keine Mindestlaufzeit — Sie bleiben, weil es sich lohnt, nicht weil ein Vertrag Sie hält.

Ja, einen eigenen Verein- & Ehrenamt-Tarif ab 29 €/Monat für gemeinnützige Websites. Zu den Tarifen.

Ja. Agenturen bieten Sicherheit unter der eigenen Marke an — wir prüfen und härten im Hintergrund, Sie bleiben der Ansprechpartner, mit Partner-Konditionen. Partner werden.