Externer Netzwerk-Penetrationstest
Die Sicht eines Angreifers auf Ihre aus dem Internet erreichbaren Server, Dienste und Fernzugänge.
Leistungen
API-Penetrationstest
In modernen Anwendungen findet die eigentliche Arbeit in den APIs statt. Mobile App, Web-Frontend und Partner greifen auf dieselben Endpunkte zu, und ein einziger Autorisierungsfehler kann sämtliche Kundendaten offenlegen.
Das wichtigste Thema bei API-Tests ist die Autorisierung auf Objektebene (BOLA). Wir prüfen systematisch, ob ein Nutzer durch das Ändern einer ID auf fremde Daten zugreifen kann.
Wir arbeiten mit OpenAPI-/Swagger-Dokumentation, Postman-Collections oder Beispiel-Traffic. Gibt es keine Dokumentation, ermitteln wir die Endpunkte selbst.
Was wir testen
- Autorisierung auf Objekt- und Funktionsebene (BOLA, BFLA)
- Authentifizierung, Token-Handling, JWT und OAuth-2.0-Flows
- Mass Assignment und übermäßige Datenrückgabe
- Rate Limiting, Ressourcenverbrauch und Missbrauchsszenarien
- Injection und Eingabevalidierung; GraphQL-spezifische Risiken
- Versionierung, Alt-Endpunkte und Lücken im API-Inventar
So gehen wir vor
Inventar
Anhand von Dokumentation und Traffic erfassen wir alle Endpunkte, Rollen und Datenmodelle.
Berechtigungsmatrix
Wir legen fest, welche Rolle auf welche Ressourcen zugreifen darf, und testen auf Abweichungen.
Angriffsszenarien
Wir übertragen die Risiken der OWASP API Top 10 auf Ihre Geschäftsprozesse und testen manuell.
Reporting
Befunde je Endpunkt, Beispiel-Requests und -Responses sowie Behebungshinweise.
Was Sie erhalten
- Management Summary
- Befundliste je Endpunkt
- Beispiel-HTTP-Requests und Nachweise
- Berechtigungsmatrix und Empfehlungen
Geeignet für
- Backends von Mobile Apps
- Integrations-APIs für Partner
- Microservice-Architekturen
Häufige Fragen
Testen Sie auch GraphQL?
Ja. Wir prüfen auch GraphQL-spezifische Themen wie Introspection, Abfragetiefe, Batching und Autorisierung auf Feldebene.
Was benötigen Sie von uns?
Mindestens zwei Testkonten pro Rolle, die API-Dokumentation (falls vorhanden) und die Adresse der Testumgebung.
Verwandte Leistungen
Interner Netzwerk-Penetrationstest
Wie weit kommt ein Angreifer, der bereits im Netzwerk ist? Tests für Active Directory und interne Systeme.
Schwachstellenanalyse
Umfassender Scan, Verifizierung und Priorisierung bekannter Schwachstellen in Ihren Systemen.
Finden Sie Ihre Schwachstellen, bevor Angreifer es tun.
Lassen Sie uns den Umfang gemeinsam festlegen. Sie erhalten ein schriftliches Angebot mit dem passenden Test und einem klaren Zeitplan.