01
Penetrationstests für Webanwendungen
Black-Box- und Gray-Box-Tests Ihrer Web-App, abgeglichen mit der OWASP Top 10 und Ihren eigenen Geschäftsregeln.
Prüfen · Validieren · Berichten · Beheben · Härten · Überwachen
Web-Penetrationstests & Cybersicherheit
Wir finden echte Schwachstellen in Ihrer Web-App und Ihren APIs, helfen Ihnen bei der Behebung und halten Ihre Abwehr auch nach dem Launch stark. Sie erhalten Belege und Lösungen, keinen Scanner-Export.
Immer mit schriftlicher Genehmigung und im vereinbarten Rahmen.
Der Sicherheitszyklus
Ein vollständiger Kreislauf, kein einmaliger Bericht
Sechs Phasen. Wählen Sie eine Phase, um zu sehen, was darin passiert. Die meisten Teams beginnen bei der Prüfung; manche steigen später im Kreislauf ein.
Phase 01 von 06
Prüfen
Wir erfassen die Angriffsfläche im vereinbarten Rahmen: Routen, Rollen, APIs, Drittdienste und exponierte Infrastruktur.
- Inventar von Assets und Endpunkten
- Benutzerrollen und Vertrauensgrenzen
- Werkzeuggestützte Abdeckung bekannter Probleme
Kernleistungen
Was wir testen, beheben und einrichten
Wählen Sie eine Leistung oder mehrere. Jeder Auftrag beginnt mit einem schriftlichen Umfang.
02
API-Sicherheitstests
REST- und GraphQL-APIs, getestet auf fehlerhafte Autorisierung, Datenpreisgabe und Missbrauch, so wie eine Client-App sie aufrufen würde.
03
Schwachstellenanalyse und Bericht
Ein klarer Bericht, mit dem Ihr Team arbeiten kann, danach ein Nachtest, der bestätigt, dass die Korrekturen wirken.
04
WAF, CDN und Edge-Schutz
Edge-Kontrollen, eingerichtet mit einem geeigneten Anbieter, z. B. Cloudflare, um Missbrauch zu filtern, bevor er Ihre App erreicht.
Eine WAF ergänzt sicheren Code. Sie ersetzt keine Tests.
05
Monitoring und Alarmierung
Sicherheitssignale an einem Ort gesammelt und an die richtige Person geleitet, mit den Tools, die Sie bereits einsetzen.
06
Härtung
Die Konfigurationsarbeit, die ganze Problemklassen schließt, und die Tests, die sie geschlossen halten.
Behebung: Sie entscheiden, wer korrigiert
Zwei Auftragsarten. Welche gilt, vereinbaren wir vor Testbeginn.
Das tun wirDen vereinbarten Umfang testen und Befunde validierenBericht und priorisierten Behebungsplan liefernIhr Team durch die Befunde führenDie von Ihrem Team gelieferten Korrekturen nachtesten
Das tut Ihr TeamDie Korrekturen in Ihrer Codebasis und Infrastruktur umsetzenUns mitteilen, wenn Korrekturen zum Nachtest bereit sind
Scanner vs. manueller Pentest
Beides ist nützlich. Sie beantworten unterschiedliche Fragen.
Ein Scanner fragt: „Ist etwas Bekanntes defekt?“ Ein Pentest fragt: „Was könnte jemand tatsächlich mit dieser App anstellen?“
Automatisierter Scan
Was geprüft wirdBekannte Schwachstellen, veraltete Komponenten und häufige Fehlkonfigurationen.
GeschäftslogikKann nicht beurteilen, ob ein Rabatt, eine Erstattung oder eine Rollenänderung erlaubt sein sollte.
ZugriffskontrolleErkennt selten, dass ein Nutzer auf Daten eines anderen zugreift.
FehlalarmeHäufig. Jemand muss echte Probleme weiterhin vom Rauschen trennen.
ErgebnisEine lange Liste von Alarmen, nach generischen Scores sortiert.
Am besten fürHäufige Hygieneprüfungen und Regression zwischen Tests.
Manueller Penetrationstest
Was geprüft wirdWie sich Ihre App tatsächlich verhält, einschließlich Schwachstellen, die nur Ihr Produkt betreffen.
GeschäftslogikPrüft, ob Regeln wie „nur Inhaber dürfen erstatten“ Missbrauch standhalten.
ZugriffskontrollePrüft jede Rolle gegen jedes sensible Objekt und jede sensible Aktion.
FehlalarmeJeder Befund wird reproduziert und mit Belegen untermauert.
ErgebnisEin nach Risiko gereihter Bericht mit Auswirkung und Lösungen für Ihre App.
Am besten fürVor dem Launch, nach größeren Änderungen und wenn viel auf dem Spiel steht.
Wir setzen in jedem Pentest Scanner für die Abdeckung ein und widmen die Zeit dann dem, was sie übersehen.
Ergebnisse
Was Sie am Ende erhalten
- UmfangsdokumentZiele, Umgebungen, Rollen, Grenzen und Termine, vor Testbeginn unterzeichnet.
- Befunde und RisikoreihungJedes Problem mit Schweregrad, Belegen und geschäftlicher Auswirkung.
- BehebungsplanWas zuerst zu beheben ist, wie, und wer dafür zuständig ist.
- KonfigurationsempfehlungenHeader, WAF, Zugriffsregeln und Umgang mit Secrets.
- Unterstützung bei der UmsetzungKorrekturen gemeinsam mit Ihrem Team, falls vereinbart.
- NachtestBestätigung, dass die vereinbarten Befunde behoben sind.
- Monitoring-EinrichtungLogs, Alarme und Weiterleitung, sofern im Umfang.
Illustrative Struktur
Beispiel für den Berichtsaufbau[Name der Anwendung] Sicherheitsprüfung
Kritisch-
Hoch-
Mittel-
Niedrig-
F-XX[Schweregrad]
[Titel des Befunds]BelegeGeschäftliche Auswirkung[Was das für Nutzer und Daten bedeutet]Behebung[Konkrete Lösung und Verantwortlicher]Nachtest[Status nach dem Nachtest]
So läuft ein Auftrag ab
Sechs Schritte, vereinbart, bevor wir irgendetwas anfassen
- SCHRITT 01
Abgrenzung und schriftliche Genehmigung
Wir vereinbaren Ziele, Grenzen und Termine, und Sie unterzeichnen die Genehmigung.
- SCHRITT 02
Kontrollierte Prüfung
Die Tests laufen innerhalb des vereinbarten Zeitfensters, der Rate Limits und der Ausschlüsse.
- SCHRITT 03
Besprechung der Befunde
Gemeinsame Durchsicht jedes Befunds mit Ihrem Team, nach Risiko gereiht.
- SCHRITT 04
Behebungsplan
Korrekturen nach Risiko und Aufwand geordnet, mit klaren Verantwortlichen.
- SCHRITT 05
Umsetzung der Maßnahmen
Korrekturen, Härtung und Monitoring, durch uns oder Ihr Team.
- SCHRITT 06
Nachtest und Nachbetreuung
Wir bestätigen die Korrekturen und vereinbaren danach mögliche weitere Tests.
Für wen wir arbeiten
Teams, deren App sich keine schlechte Woche leisten kann
SaaS
Mandantenfähige Apps, in denen ein Kunde niemals die Daten eines anderen sehen darf.
Fintech
Zahlungsabläufe, Kontostände und Kontoaktionen, bei denen ein Logikfehler echtes Geld kostet.
E-Commerce
Checkout, Gutscheine, Kundenkonten und Admin-Bereiche, die Missbrauch anziehen.
Startups vor dem Launch
Ein Test vor dem Launch, damit Ihre ersten Nutzer nicht Ihre ersten Tester sind.
Geschäftskritische Apps und APIs
Interne Tools und APIs, auf die andere Systeme und Teams täglich angewiesen sind.
Vertrauen und Grenzen
Die Regeln, nach denen wir arbeiten, in einfachen Worten
- Keine Tests ohne schriftliche Genehmigung des Systemeigentümers.
- Ein definierter Umfang mit sicheren Grenzen: Ziele, Zeitfenster, Rate Limits und ausgeschlossene Aktionen.
- Produktivsysteme werden nur mit dokumentierter Erlaubnis getestet.
- Kein Test findet jede Schwachstelle. Wir berichten, was wir im vereinbarten Umfang und Zeitrahmen gefunden haben.
- Wir versprechen keine Vollständigkeit, und wir bezeichnen kein System nach einem Test als „sicher“.
- Der Monitoring-Umfang und wer auf Alarme reagiert, wird pro Auftrag vereinbart. Wir richten Monitoring ein; wir betreiben kein Managed SOC.
FAQ
Fragen vor einem Sicherheitsauftrag
Manuelle und werkzeuggestützte Tests Ihrer Web-App im vereinbarten Umfang: Authentifizierung und Sessions, Zugriffskontrolle wie IDOR und Rechteausweitung, Injection, XSS, SSRF, Geschäftslogik, Datei-Uploads, Eingabevalidierung und Rate Limits, abgeglichen mit der OWASP Top 10. Sie erhalten einen Bericht mit Belegen und Lösungen.
Ein Scan führt automatisierte Prüfungen auf bekannte Probleme durch. Er ist schnell und gut für die regelmäßige Hygiene. Ein Pentest ergänzt eine Person, die Ihre App versteht, Befunde verknüpft und die Logik testet, die ein Scanner nicht sieht, etwa ob ein Nutzer auf die Daten eines anderen zugreifen kann.
Ja, in einem Auftrag mit Behebung. Wir setzen die Korrekturen gemeinsam mit Ihrem Team um und testen anschließend nach. Bei einem Auftrag nur mit Prüfung erhalten Sie den Bericht und den Behebungsplan, und Ihr Team nimmt die Änderungen vor.
Ja. Wir richten WAF-Regeln, Rate Limiting, Bot-Abwehr, TLS, Security-Header und Origin-Schutz mit einem geeigneten Anbieter ein, z. B. Cloudflare. Eine WAF ergänzt sicheren Code. Sie ersetzt keine Tests.
Wir konfigurieren zentrales Logging und Alarme für Sicherheitsereignisse, fehlgeschlagene Anmeldungen und Missbrauch und leiten sie an die Personen weiter, die reagieren. Wer die Alarme beobachtet und wie Vorfälle behandelt werden, wird pro Auftrag vereinbart. Wir betreiben kein Managed SOC.
Nur mit dokumentierter Erlaubnis und vereinbarten sicheren Grenzen. Wir bevorzugen eine Staging-Umgebung, die die Produktion abbildet. Wenn die Produktion im Umfang liegt, vereinbaren wir Zeitfenster, Rate Limits und ausgeschlossene Aktionen schriftlich.
Im Abgrenzungsgespräch listen wir die Domains, Apps, APIs, Benutzerrollen und Umgebungen auf, die getestet werden sollen, sowie das, was ausgeschlossen ist. Daraus wird die schriftliche Genehmigung, die wir beide vor Testbeginn unterzeichnen.
Ja. Der Nachtest der vereinbarten Befunde ist Teil des Auftrags, damit Sie einen Beleg haben, dass die Korrekturen wirken. Weitere Tests danach werden gesondert vereinbart.
Beschreiben Sie Ihre App, Ihre Bedenken, Ihren Umfang.
Wir antworten mit einem Umfangsvorschlag, der passenden Auftragsart und einem individuellen Angebot. Es wird nichts getestet, bevor die Genehmigung unterzeichnet ist.
Senden Sie in Ihrer ersten Nachricht keine Zugangsdaten oder Details zu Schwachstellen. Sobald der Umfang vereinbart ist, richten wir einen sicheren Kanal ein.
