Validierung durch Menschen bleibt NetSPI+Synack bündeln Pentests, Forscher und agentische KI

Anbieter zum Thema

Synack, Inc.

Sangfor Technologies GmbH

G DATA CyberDefense AG

XOPERO SOFTWARE S.A.

NetSPI und Synack bündeln nach ihrer Fusion Pentester, Forscher-Community und agentische KI und erweitern damit das Spektrum offensiver Sicherheitstests. Was bietet der Zusammenschluss und was ändert sich für die Partner?

13 Millionen Stunden offensive Sicherheitstests, mehr als 200 Millionen US-Dollar Umsatz und fast 40 Jahre Unternehmensgeschichte: Mit diesen Kennzahlen beschreiben NetSPI und Synack die Größenordnung ihres fusionierten Unternehmens. Es firmiert als NetSPI+Synack und verbindet Penetrationstests, Angriffsflächenmanagement und agentische KI.

Menschliche Prüfung soll KI-Ergebnisse einordnen

Beide Anbieter testen Anwendungen, APIs, Cloud-, Infrastruktur- und KI-Systeme. NetSPI bringt nach eigenen Angaben mehr als 350 fest angestellte Pentester sowie Expertise für Mainframes, Hardware, IoT und OT ein. Hinzu kommen Angriffsflächenmanagement und die Simulation von Sicherheitsverletzungen und Angriffen.

Synack steuert Sara AI Pentesting und eine globale Community mit mehr als 1.500 geprüften Forschern bei. Das Angebot umfasst kontinuierliche und punktuelle Penetrationstests sowie die manuelle Validierung der Ausnutzbarkeit. Sara AI Pentesting ist laut den vorliegenden Angaben seit Mai 2026 allgemein verfügbar.

Die Anbieter stellen agentische KI als Ergänzung menschlicher Expertise dar, nicht als deren Ersatz. Bei Synack werden die Befunde von Sara laut Unternehmensangaben vor der Weitergabe an Kunden durch menschliche Experten geprüft. NetSPI bietet seit Juli 2026 unter anderem kontinuierliche Tests für Webanwendungen, KI und interne Umgebungen sowie eine menschliche Validierung von Findings aus KI-gestützten Tools an.

Ausnutzbarkeit statt bloßer Fundlisten

Scanner und Daten zur Angriffsfläche zeigen mögliche Schwachstellen. Sie belegen jedoch nicht automatisch, ob und wie ein Angreifer diese ausnutzen kann. Von Menschen validierte Befunde, Nachweise zur Ausnutzbarkeit und Informationen zur Behebung können Sicherheitsteams helfen, Maßnahmen zu priorisieren.

Kontinuierliche Tests und punktuelle Prüfungen erfüllen dabei unterschiedliche Aufgaben. Regelmäßige Tests können Veränderungen in dynamischen Umgebungen erfassen. Fachliche, Compliance- oder risikobezogene Prüfungen bleiben dort relevant, wo Technologie, Risiko oder Vorschriften sie erfordern. Die Fusion hebt diese Unterschiede nicht auf, sondern soll beide Modelle in einem breiteren Angebot zusammenführen.

Ein breiteres Portfolio, keine angekündigte Vereinheitlichung

NetSPI deckt unter anderem Web-, API- und mobile Anwendungen, interne und externe Netzwerke, AWS, Azure und GCP sowie KI- und ML-Systeme ab. Spezialisierte Prüfungen reichen von z/OS-Mainframes und medizinischen Geräten bis zu Automobiltechnik, Geldautomaten und OT. Für die Angriffsflächenanalyse nennt das Unternehmen auch Cloud-Fehlkonfigurationen, Dark-Web-Expositionen und betrügerische Domains.

Das Portfolio von Synack umfasst Tests von Anwendungen, APIs, mobilen und Cloud-Umgebungen sowie Hosts, internen Netzwerken und KI- beziehungsweise LLM-Systemen. Die Forscher-Community übernimmt außerdem Aufgaben wie Cloud-Tests, gezielte Recherchen, CVE-Missionen und Wiederholungstests. Synack nennt Patch-Überprüfungen, Abdeckungsanalysen und den Attacker Resistance Score als Bestandteile seines Workflows.

Zusammen sollen Asset-Erkennung, Priorisierung, offensive Tests, Kontrolle defensiver Maßnahmen, Schwachstellenbehebung und Nachprüfungen stärker verbunden werden.

Für Partner bleibt zunächst alles beim Alten

Für Kunden und Partner bleiben Testrhythmus, Umfang, Plattformzugang und Ansprechpartner vorerst unverändert. Geschäfte laufen weiterhin über die bisherigen Partnerwege von Synack oder NetSPI . Eine gemeinsame SKU (Stock Keeping Unit), ein neues Preismodell oder ein vereinheitlichtes Channel-Programm wurde nicht angekündigt.

Damit entsteht für Systemhäuser zunächst kein belegter Anlass, bestehende Kundenprojekte umzustellen. Relevanter ist, die verfügbaren Testarten an den konkreten Bedarf des Kunden anzupassen und die Ergebnisse in Schwachstellenmanagement und Behebung einzubinden. NetSPI und Synack verweisen darauf, dass Partnermanager dabei helfen können, Angriffsflächen, Abdeckungslücken und besondere Anforderungen einzuordnen.

(ID:51005573)