Penetrationstests: Schwachstellen finden, bevor Angreifer es tun
Gjethe führt autorisierte Penetrationstests an Websites, Webanwendungen, APIs, Mobile Apps und Netzwerken durch. Wir stimmen den Umfang schriftlich ab, testen von Hand mit anerkannten Methoden und liefern einen Bericht, der jeden Befund nach Risiko einstuft, erklärt, wie er zu beheben ist, und die Korrekturen in einem Nachtest bestätigt.
- Kostenlose Erstberatung
- Schriftliches Angebot für Ihr Projekt
- Flexible Zahlungsmeilensteine
Auf einen Blick
- Ziele
- Web-Apps, APIs, mobile Apps, Netzwerke, Cloud
- Vorgehen
- Black, Grey oder White Box, mit Ihnen vereinbart
- Methode
- OWASP, PTES und NIST SP 800-115
- Ausgabe
- Risikoeingestufter Bericht, Korrekturen und ein Nachtest
Definition
Was ist Penetrationstest?
Ein Penetrationstest ist ein autorisierter, simulierter Angriff auf ein System, um Sicherheitslücken zu finden, ihre tatsächliche Auswirkung zu messen und Empfehlungen zur Behebung zu geben. Er erfolgt mit schriftlicher Erlaubnis des Eigentümers und innerhalb eines vereinbarten Umfangs.
Automatische Scanner finden bekannte Muster. Echte Angreifer kombinieren kleine Schwachstellen, testen die Geschäftslogik und machen weiter, wenn die erste Idee scheitert. Ein Penetrationstest tut dasselbe, mit Ihrer Erlaubnis und innerhalb vereinbarter Grenzen, damit Sie erfahren, worauf es ankommt: ob jemand an Kundendaten, Admin-Zugriff, Zahlungsabläufe oder interne Systeme gelangen könnte. Das Ergebnis ist eine priorisierte Liste echter Probleme, an denen Sie handeln können, kein Haufen Scanner-Rauschen, und die Sicherheit, es geprüft zu haben.
Für wen ist es geeignet?
SaaS- und Web-App-Teams
Vor einem Launch, einem großen Release oder der Sicherheitsprüfung eines Kunden brauchen Sie einen Nachweis, dass das Produkt standhält.
Unternehmen, die Sicherheitsfragebögen beantworten
Großkunden und Partner fragen immer öfter vor Vertragsabschluss nach einem aktuellen Penetrationstest-Bericht.
Unternehmen mit sensiblen Daten
Gesundheits-, Finanz-, Rechts- und personenbezogene Daten erhöhen den Einsatz; regelmäßige Tests zeigen, wo der Schutz dünn ist.
Startups vor der Skalierung
Strukturelle Sicherheitsprobleme früh zu beheben ist weit günstiger, als sie zu beheben, nachdem Kunden vom Produkt abhängen.
Was enthalten ist und was Sie behalten
Was enthalten ist
- Scoping-Gespräch und schriftliche Rules of Engagement
- Unterzeichnete Autorisierung vor Beginn jedes Tests
- Kartierung der Angriffsfläche der vereinbarten Ziele
- Automatisches Scannen für die bekannten Grundlagen
- Manuelle Tests von Authentifizierung und Sitzungen
- Tests von Zugriffskontrolle und Berechtigungen
- Tests der Eingabeverarbeitung und von Injection
- Tests auf Missbrauch von Geschäftslogik und Workflows
- Sorgfältige Verifikation zur Bestätigung echter Auswirkungen
- Management-Zusammenfassung für die Geschäftsleitung
- Technische Befunde mit Nachweisen und Korrekturen
- Nachtest behobener Befunde und aktualisierter Bericht
Was Sie erhalten
Wird am Ende übergeben. Gehört Ihnen.
- Penetrationstest-Bericht mit Risikobewertungen
- Zusammenfassung für die Geschäftsleitung in verständlicher Sprache
- Klare Beschreibung jedes bestätigten Befunds
- Behebungsempfehlung für jeden Befund
- Ergebnisse des Nachtests und Abschlussbericht
Black Box, Grey Box oder White Box?
| Vorgehen | Womit wir beginnen | Am besten für |
|---|---|---|
| Black Box | Nur die Zieladresse, wie ein externer Angreifer | Sehen, was im Internet erreichbar ist |
| Grey Box | Nutzerkonten für jede Rolle und Basisdokumentation | Die meisten Web-Apps und APIs: realistisch und effizient |
| White Box | Konten, Dokumentation und Zugriff auf den Quellcode | Tiefe Abdeckung kritischer Systeme |
So läuft ein Penetrationstest ab
- 01
Umfang
Wir vereinbaren Ziele, Testkonten, erlaubte Techniken, Testzeiträume und Notfallkontakte.
- 02
Autorisieren
Sie unterschreiben eine schriftliche Erlaubnis; bei gehosteten Systemen prüfen wir auch die Testrichtlinie des Anbieters.
- 03
Karte
Wir kartieren die Anwendung, Endpunkte, Rollen und alles Erreichbare, von dem Sie vielleicht nichts wissen.
- 04
Testen
Manuelles Testen nach OWASP und PTES, Automatisierung nur dort, wo sie die Abdeckung erhöht.
- 05
Bericht
Befunde nach Risiko eingestuft, mit Nachweisen, Geschäftsauswirkung und klaren Anweisungen zur Behebung.
- 06
Nachtest
Sobald Sie die Probleme behoben haben, bestätigen wir jede Korrektur und aktualisieren den Bericht.
Was einen Penetrationstest nützlich macht
Ein nützlicher Test wird um das herum abgegrenzt, was für das Unternehmen zählt. Jede vergessene Subdomain zu prüfen und den Zahlungsablauf auszulassen ergibt einen langen Bericht und wenig Sicherheit. Wir fragen zuerst, welche Daten und Aktionen am meisten schaden würden, wenn ein Angreifer sie erreichte, und stellen sicher, dass diese Pfade die meiste Aufmerksamkeit bekommen.
Ein nützlicher Bericht ist außerdem lesbar. Jeder Befund erklärt, was möglich war, was ein Angreifer gewinnen könnte, wie wahrscheinlich das ist und wie genau es zu beheben ist, mit Verweisen, denen Ihre Entwickler folgen können. Das Management erhält eine kurze Zusammenfassung des Gesamtrisikos und der anstehenden Entscheidungen.
Schließlich ist ein Test nur etwas wert, wenn die Befunde behoben werden. Deshalb gehört ein Nachtest zu jedem Auftrag, und deshalb können wir als Entwicklungsteam auch Ihren Leuten helfen, die Probleme zu beheben, statt Ihnen nur eine Liste zu überlassen.
So funktioniert Penetrationstesting, Schritt für Schritt
Jeder Schritt hat ein klares Ergebnis, das Sie prüfen können. Der Zeitrahmen wird in Ihrem Angebot vereinbart.
- 1
Scoping-Gespräch
Ziele, Vorgaben, Einschränkungen und der passende Testansatz gemeinsam abgestimmt.
- 2
Einsatzregeln
Umfang, Zeitfenster, Accounts und Notfallkontakte schriftlich festgehalten und unterschrieben.
- 3
Tests
Kartierung, Scans und manuelles Testen ausschließlich gegen die vereinbarten Ziele.
- 4
Berichte
Befunde nach Risiko eingestuft, mit Belegen und Hinweisen zur Behebung.
- 5
Nachbesprechung
Ein Gespräch, um Ihr Team durch die Befunde und Prioritäten zu führen.
- 6
Nachtest
Korrekturen verifiziert und Abschlussbericht ausgestellt.
Tools und was Ihr Angebot beeinflusst
Die Preisgestaltung richtet sich nach Ihrem Projekt und wird in Ihrem Angebot vereinbart. Diese Faktoren bestimmen es.
| Faktor | Warum er wichtig ist |
|---|---|
| Anzahl und Größe der Ziele | Eine einzelne Marketing-Website ist schneller getestet als mehrere Anwendungen, APIs und Netzwerke. |
| Anzahl der Nutzerrollen | Jede Rolle muss darauf getestet werden, was sie sehen und tun kann; mehr Rollen bedeuten mehr Testfälle. |
| Testansatz | White-Box-Tests mit Quellcode gehen tiefer und sind aufwendiger als Black-Box-Tests. |
| Komplexität der Geschäftslogik | Zahlungen, Freigaben und mehrstufige Workflows brauchen sorgfältige manuelle Tests. |
| Einschränkungen und Zeitfenster | Tests außerhalb der Geschäftszeiten oder empfindliche Produktivsysteme brauchen mehr Abstimmung. |
| Bereich | Tools |
|---|---|
| Web und API | Burp Suite, OWASP ZAP, Postman, eigene Skripte |
| Netzwerk | Nmap, Schwachstellenscanner, Verkehrsanalyse |
| Mobil | MobSF, Tests auf Geräten und Emulatoren |
| Frameworks | OWASP Top 10, OWASP ASVS, PTES, NIST SP 800-115, CVSS |
Häufige Fehler, die Sie vermeiden sollten
Was bei uns am häufigsten schiefgeht und wie ein gutes Projekt es vermeidet.
Einen Scan als Penetrationstest behandeln
Automatisierte Scans übersehen Logikfehler und Zugriffskontrollprobleme, die oft die schwerwiegendsten Befunde sind.
Wichtige Teile aus dem Umfang ausnehmen
Login, Zahlungen oder den Admin-Bereich auszuschließen, um Risiko zu vermeiden, lässt die wertvollsten Ziele ungetestet.
Einmal testen und nie wieder
Jedes Release verändert die Angriffsfläche. Testen Sie nach größeren Änderungen und in regelmäßigen Abständen.
Den Bericht ablegen
Ein Bericht mit unbehobenen kritischen Befunden ist ein Nachweis bekannten Risikos, kein Schutz.
Häufig gestellte Fragen
Sind Penetrationstests legal?
Ja, wenn der Eigentümer des Systems eine schriftliche Erlaubnis erteilt und der Umfang vereinbart ist. Wir beginnen nie ohne unterzeichnete Autorisierung und testen nur, was im Umfang liegt.
Wird das Testen unser Live-System beeinträchtigen?
Wir testen sorgfältig, vermeiden zerstörerische Aktionen, sofern nicht ausdrücklich vereinbart, und können gegen eine Staging-Umgebung arbeiten, die die Produktion abbildet. Wir vereinbaren Notfallkontakte für den Fall, dass etwas Unerwartetes geschieht.
Was ist der Unterschied zwischen einem Schwachstellenscan und einem Penetrationstest?
Ein Scan ist automatisiert und listet bekannte Probleme auf. Ein Penetrationstest ergänzt manuelle Arbeit eines Testers, der Befunde verifiziert, Schwachstellen kombiniert und Geschäftslogik prüft, die Scanner nicht verstehen.
Wie oft sollten wir testen?
Mindestens einmal im Jahr und nach größeren Änderungen, etwa einem neuen Produkt, einem großen Release, einem neuen Hosting-Setup oder der Zusammenführung von Systemen.
Ist ein Nachtest enthalten?
Ja. Nachdem Sie die Befunde behoben haben, testen wir sie erneut und stellen einen aktualisierten Bericht aus, der zeigt, was behoben ist.
Können Sie uns helfen, das Gefundene zu beheben?
Ja. Unsere Entwickler können die Korrekturen in Ihrem Code und Ihrer Konfiguration umsetzen oder Ihr eigenes Team mit Anleitung und Review unterstützen.
Genügt der Bericht den Sicherheitsfragebögen unserer Kunden?
Der Bericht dokumentiert Umfang, Methode, Befunde und Korrekturen, was Kunden in der Regel verlangen. Wenn ein Kunde einen Tester mit einer bestimmten Akkreditierung verlangt, klären Sie diese Anforderung mit ihm, bevor wir beginnen.
Unterschreiben Sie eine NDA?
Ja. Befunde sind vertraulich, der Bericht wird nur den von Ihnen genannten Kontakten zugänglich gemacht, und Testdaten werden am Ende des Auftrags entfernt.
Können Sie auch unser Cloud-Setup testen?
Ja, im Rahmen der Regeln des Cloud-Anbieters. Unser Cloud-Security-Assessment prüft die Konfiguration von AWS, Azure und Google Cloud.
Was brauchen Sie von uns zum Start?
Die Ziele, Testkonten für jede Rolle, vorhandene Dokumentation, bevorzugte Testzeiträume und einen benannten Ansprechpartner während des Tests.
Können Sie eine mobile App und ihr Backend testen?
Ja. Wir prüfen, wie die App Daten auf dem Gerät speichert, wie sie mit ihrem Backend kommuniziert und ob sich das Backend gegen Anfragen wehrt, die die App normalerweise nie senden würde.
Verwandte Leistungen
Penetrationstests für Webanwendungen
Manuelle OWASP-Tests von Logins, Zugriffskontrolle und Logik.
API-Sicherheitstests
REST- und GraphQL-Tests gegen die OWASP API Top 10.
Schwachstellenanalyse
Bekannte Schwachstellen finden, einstufen und Korrekturen planen.
Sicherer Code-Review
Prüfen Sie Ihre Codebasis vor dem Release auf Sicherheitsmängel.
Cloud-Sicherheitsbewertung
AWS, Azure und Google Cloud auf Fehlkonfigurationen prüfen.
Website-Sicherheit
Härtung, Malware-Bereinigung und Sicherheitsprüfungen.
Penetrationstesting nach Branche
Testen Sie Ihre Sicherheit, bevor es Angreifer tun.
Sagen Sie uns, was Sie brauchen. Sie erhalten eine ehrliche Einschätzung, einen klaren Plan und ein schriftliches Angebot. Die erste Beratung ist immer kostenlos.
- Wie es weitergeht
- 1Sie sagen uns, was Sie brauchen
- 2Wir melden uns möglichst innerhalb von 24 Stunden mit Rückfragen
- 3Sie erhalten ein schriftliches Angebot für Ihr Projekt