Anwendungen und Schnittstellen
Webanwendungen, Portale und APIs auf reale Sicherheitsrisiken prüfen
Webanwendungen und APIs verarbeiten häufig sensible Daten und bilden komplexe Authentifizierungs-, Berechtigungs- und Geschäftsprozesse ab. Wir kombinieren automatisierte Prüfungen mit manuellen Tests, um technische Schwachstellen und Logikfehler im konkreten Anwendungskontext sichtbar zu machen.
Auf Ihre Anforderungen abgestimmt
Webanwendungen und APIs gezielt absichern
Webanwendungen und APIs sind zentrale Schnittstellen zu Daten und Systemen. Unsere Pentests decken Schwachstellen in Anwendungen, Authentisierung, Schnittstellen und Datenflüssen auf und zeigen konkrete Maßnahmen zur Absicherung. Wir prüfen entlang der jeweils aktuellen OWASP Top 10 und darüber hinaus entlang Rollen, Datenflüssen und Geschäftslogik.
eine neue Webanwendung oder API steht vor dem Go-live
Rollen, Berechtigungen oder Mandantentrennung sollen überprüft werden
eine Anwendung wurde wesentlich verändert oder migriert
Kunden, Partner oder interne Governance verlangen eine unabhängige Prüfung
ein früherer Befund soll nach der Behebung erneut geprüft werden
Konkret auswählen
Unsere Pentestleistungen
Ein individuelles Angebot erstellen wir Ihnen gern innerhalb von zwei Arbeitstagen.
Web Pentest
nach OWASP Top 10
Webapplikationen bieten durch ihre zahlreichen Funktionen und Eingabemöglichkeiten häufig eine große Angriffsfläche. Dieser Penetrationstest konzentriert sich auf das Aufdecken von Sicherheitslücken in Webanwendungen, wie z.B. SQL-Injection, Cross-Site Scripting (XSS), und Sicherheitskonfigurationsfehler. Sie sind entscheidend für Unternehmen, die Online-Dienste oder E-Commerce-Plattformen betreiben.
Automatisierter Schwachstellenscan der Anwendung
Fehler in der Zugriffskontrolle
Kryptografische Fehler
Injection
Unsicheres Design
Sicherheitsrelevante Fehlkonfigurationen
Komponenten mit bekannten Sicherheitslücken
Fehler im Authentifizierungsprozess
Software- und Datenintegritätsfehler
Unzureichendes Logging and Monitoring
Server-Side Request Forgery (SSRF)
API-Zugriffe
Businesslogik
API Pentest
Schnittstellen testen
Ein API Pentest (Application Programming Interface Penetrationstest) ist ein sicherheitstechnischer Test, der darauf abzielt, Schwachstellen und Sicherheitslücken in den Schnittstellen (APIs) einer Anwendung zu identifizieren und zu bewerten. APIs ermöglichen den Datenaustausch und die Interaktion zwischen verschiedenen Softwareanwendungen und -diensten.
Analyse der API-Authentifizierung und -Autorisierung (z. B. Token, OAuth, API-Schlüssel)
Prüfung auf fehlende oder schwache Input-Validierung (Injection-Angriffe, Cross-Site Scripting)
Bewertung von Transportverschlüsselung (HTTPS/TLS)
Überprüfung der Sicherheitsmechanismen gegen Massenzugriffe (Rate Limiting)
Untersuchung auf fehlende oder unsichere Fehlerbehandlung
Analyse von API-Berechtigungen und Zugriffskontrollen (Least Privilege-Prinzip)
Prüfung auf unsichere Datenübertragung oder unverschlüsselte sensitive Informationen
Identifikation von Schwachstellen in API-Dokumentation oder Fehlkonfigurationen
Test auf Sicherheitsprobleme in CORS-Konfigurationen (Cross-Origin Resource Sharing)
Bewertung der Logging- und Monitoring-Funktionen für sicherheitsrelevante Ereignisse
Simulation von Angriffen wie Replay, Man-in-the-Middle oder API Enumeration.
Direkt klären
Ihre Ausgangslage persönlich besprechen
Ihr Ansprechpartner
Michael Zitzler
Vice President Sales Operations
+49 89 3090488-0
Varianten
Prüfung passend zum Ziel ausrichten
Webanwendungs-Pentest
Betrachtet die browserbasierte Anwendung, Benutzeroberfläche, Rollen, Sessions und Geschäftslogik.
API-Penetrationstest
Konzentriert sich auf Endpunkte, Tokens, Autorisierung, Datenobjekte und maschinelle Kommunikation.
Kombinierter Test
Bei modernen Plattformen ist die gemeinsame Prüfung von Webanwendung und API häufig sinnvoll.
Test vor Go-live oder Release
Kann als technisches Quality Gate in Entwicklungs- und Freigabeprozesse eingebunden werden.
Ergebnis
Was Sie erhalten
Management Summary
technische Findings mit reproduzierbaren Nachweisen
Bewertung nach technischer Kritikalität, möglicher Auswirkung und Ausnutzbarkeit
konkrete Maßnahmen für Entwicklung, Betrieb und Architektur
Grundlage für Backlog, Freigabeentscheidung und Retest
optional Retest behobener Findings
Kontrollierte Durchführung
So läuft die Prüfung ab
Scope und Zielsetzung
Prüfobjekte, Systemgrenzen, Testziele, Informationsbasis, Testtiefe und gewünschte Ergebnisse werden gemeinsam festgelegt.
Rechtliche und organisatorische Vorbereitung
Beauftragung, Freigaben, Ansprechpartner, Testzeitraum, Datenschutzaspekte und gegebenenfalls erforderliche Zustimmungen von Hosting-, Cloud- oder Plattformanbietern werden geklärt.
Rules of Engagement
Erlaubte und ausgeschlossene Methoden, Testzeiten, Intensität, Abbruchkriterien, Eskalationswege und der Umgang mit Testdaten werden verbindlich vereinbart.
Technische Prüfung
Automatisierte Verfahren werden mit manuellen Prüfungen und einer fachlichen Bewertung kombiniert. Eine aktive Verifikation erfolgt nur im abgestimmten und vertretbaren Rahmen.
Kritische Befunde
Unmittelbar relevante kritische Schwachstellen werden über die vereinbarten Eskalationswege gemeldet und nicht erst mit dem Abschlussbericht kommuniziert.
Bericht und Debrief
Sie erhalten eine verständliche Management Summary, technisch nachvollziehbare Findings, Risikoeinstufungen und konkrete Maßnahmenempfehlungen. Die Ergebnisse werden gemeinsam besprochen.
Retest
Nach der Behebung kann ein gezielter Retest prüfen, ob vereinbarte Schwachstellen wirksam geschlossen wurden. Umfang und Zeitpunkt werden im Angebot ausgewiesen.
Kurz beantwortet
Häufig gestellte Fragen
Die OWASP Top 10 sind ein wichtiger Orientierungsrahmen. Die Prüfung wird jedoch nicht darauf begrenzt, sondern an Rollen, Datenflüssen, Geschäftslogik und konkreter Architektur ausgerichtet.
Für Grey- oder White-Box-Tests werden üblicherweise Konten für relevante Rollen benötigt.
Ja. Dafür sollte ausreichend Zeit für Behebung und Retest eingeplant werden.
Eine Quellcodeprüfung ist nicht automatisch Bestandteil. Sie kann bei entsprechend bestätigtem Leistungsumfang separat vereinbart werden.
Der Web-Pentest betrachtet die interaktive Anwendung; der API-Pentest konzentriert sich auf Schnittstellen und maschinelle Zugriffe. Häufig ergänzen sich beide.
Kostenloser Scope-Call
Prüfung fachlich einordnen
Im kostenlosen Scope-Call klären wir Prüfobjekt, Zielsetzung, Informationsbasis, Testtiefe, Zeitfenster und benötigte Ergebnisse.