ILREDO SENTINEL
Angebot anfordern
Menü

Leistungen

Penetrationstest für Webanwendungen

Ihre Webanwendung ist Ihr Schaufenster und oft der einfachste Weg ins Unternehmen. Wir testen sie auf den Wegen, die ein Angreifer nehmen würde, aber kontrolliert und mit Ihrer Freigabe.

Angebot anfordern Methodik

Automatische Scanner erkennen bekannte Muster, übersehen aber Fehler in der Geschäftslogik, etwa wenn ein Nutzer die Bestellung eines anderen Kunden einsehen oder einen Rabattcode beliebig oft einlösen kann. Deshalb testen wir überwiegend manuell.

Wir testen als nicht angemeldeter Besucher und mit Benutzerrollen unterschiedlicher Berechtigungsstufen. So sehen Sie, was ein externer Angreifer und was ein böswilliger Nutzer erreichen könnte.

Was wir testen

  • Authentifizierung, Passwort-Reset, Multi-Faktor-Authentifizierung und Session-Management
  • Fehler in der Zugriffskontrolle (IDOR, horizontale und vertikale Rechteausweitung)
  • SQL-, NoSQL-, Command- und Template-Injection; XSS und CSRF
  • Geschäftslogik: Zahlungs-, Warenkorb-, Gutschein- und Bestellprozesse
  • Datei-Uploads, SSRF, XXE und unsichere Deserialisierung
  • Security-Header, TLS-Konfiguration und Offenlegung sensibler Daten

So gehen wir vor

  1. Aufklärung

    Wir erfassen die Anwendung und ermitteln Rollen, Endpunkte und eingesetzte Technologien.

  2. Analyse

    Wir passen die Testfälle des OWASP WSTG an Ihre Anwendung an und kombinieren automatisierte und manuelle Tests.

  3. Kontrollierte Ausnutzung

    Wir belegen die tatsächliche Auswirkung der Befunde, ohne Daten oder Verfügbarkeit zu beeinträchtigen.

  4. Reporting und Nachtest

    Wir priorisieren die Empfehlungen und testen nach der Behebung erneut.

Was Sie erhalten

  • Management Summary und Risikoübersicht
  • Technische Befunde mit Screenshots und Reproduktionsschritten
  • CVSS-v4.0-Bewertung und OWASP-Zuordnung
  • Konkrete Behebungshinweise für Entwickler

Geeignet für

  • Onlineshops und Buchungssysteme
  • SaaS-Produkte und Kundenportale
  • Neue Releases vor dem Go-live

Häufige Fragen

Beeinträchtigt der Test unser Live-System?

Wir testen in einem vereinbarten Zeitfenster und führen keine Denial-of-Service-Angriffe durch. Wenn möglich, empfehlen wir eine produktionsnahe Testumgebung.

Brauchen Sie unseren Quellcode?

Nein. Standardmäßig testen wir als Grey-Box, Testkonten reichen aus. Mit Zugriff auf den Quellcode lassen sich manche Befunde schneller und gründlicher bestätigen.

Wie lange dauert ein Test?

Das hängt von der Größe der Anwendung und der Anzahl der Rollen ab. Eine kleine Website dauert einige Tage, eine umfangreiche Plattform einige Wochen. Die Dauer legen wir im Angebot fest.

Verwandte Leistungen

API-Penetrationstest

Tests für REST- und GraphQL-APIs mit Fokus auf Autorisierung, Geschäftslogik und Datenabfluss.

Finden Sie Ihre Schwachstellen, bevor Angreifer es tun.

Lassen Sie uns den Umfang gemeinsam festlegen. Sie erhalten ein schriftliches Angebot mit dem passenden Test und einem klaren Zeitplan.

Erstgespräch vereinbaren