// 02 — Leistung
Web-Pentest
Automatische Scanner übersehen Logikfehler. Deshalb prüfen wir von Hand.
Ein Scanner erkennt bekannte Muster. Er merkt nicht, dass sich ein Nutzer mit einer kleinen Änderung in der Adresszeile plötzlich die Bestellung eines anderen Kunden ansehen kann. Solche Fehler stecken in der Logik einer Anwendung, nicht in einer Signatur. Genau die suchen wir, so wie ein echter Angreifer, ohne Vorwissen und ohne Ihren Quellcode.
Was wir konkret prüfen
Nach dem OWASP Web Security Testing Guide, dem anerkannten Standard für Webtests:
- Eingabefelder und Parameter: Injections wie SQL-Injection und Cross-Site-Scripting
- Anmeldung und Sitzungen: lässt sich der Login umgehen, sind Sitzungen sauber geschützt
- Zugriffsrechte: kann ein Nutzer auf Daten oder Funktionen zugreifen, die ihm nicht gehören (IDOR)
- Versteckte Bereiche: nicht verlinkte Seiten, Admin-Panels, offene Schnittstellen
- Konfiguration: Debug-Modi, verräterische Server-Header, unsichere Voreinstellungen
Umfang: genau eine Webanwendung, bis zu 15 dynamische Seiten oder Endpunkte, eine Benutzerrolle oder ohne Anmeldung.
Was bewusst nicht dazugehört
Kein Quellcode-Audit, keine Überlastungstests (DoS), keine Tests an fremden Schnittstellen außerhalb Ihrer Domain. Der Test bleibt exakt in dem Rahmen, den Sie freigeben.
Was Sie am Ende bekommen
Einen PDF-Bericht mit Zusammenfassung für die Geschäftsführung und einer technischen Befundtabelle. Zu jedem echten Fund gibt es einen Nachweis (Proof-of-Concept), der zeigt, wie die Lücke funktioniert, eine CVSS-Bewertung und eine konkrete Empfehlung. Kein Alarm ohne Beleg.
Warum das gerade jetzt wichtig ist
Das BSI beobachtet, dass Web-Angriffsflächen an Bedeutung gewinnen, während klassische E-Mail-Angriffe zurückgehen. Ihre Anwendung ist rund um die Uhr erreichbar, für Kunden und für jeden anderen. Ein Kundenportal oder ein Bestellsystem, das Daten verarbeitet, ist ein lohnendes Ziel. Ein manueller Test zeigt, ob es hält.
So läuft es ab
In vier Schritten: Anfrage, kurzes Gespräch und Angebot, Ihre unterschriebene Freigabe, dann Prüfung im vereinbarten Fenster und Bericht. Ohne Ihre unterschriebene Freigabe testen wir nichts.
// Anfrage
Bereit, anzufangen?
Starten Sie die Anfrage mit vorgewähltem Paket. Sie ist unverbindlich und bindet Sie zu nichts.