Sicherheitsaudit & Code Review — Schwachstellen finden, bevor andere es tun

Das Open Web Application Security Project (OWASP) veröffentlicht regelmäßig eine Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen, basierend auf realen Vorfällen und Daten aus der gesamten Branche. Dazu zählen etwa Injection-Schwachstellen, bei denen Angreifer über Eingabefelder Datenbankbefehle einschleusen, fehlerhafte Zugriffskontrollen, die Nutzern Zugriff auf fremde Daten erlauben, sowie unsichere Konfigurationen und veraltete Komponenten mit bekannten Schwachstellen. Die Liste dient als anerkannter Mindeststandard für Sicherheitsprüfungen, ersetzt aber keine vollständige, auf Ihre konkrete Anwendung zugeschnittene Analyse. Deshalb prüfen wir zusätzlich anwendungsspezifische Risiken, etwa in der Geschäftslogik oder bei individuellen Schnittstellen, die in einer allgemeinen Liste naturgemäß nicht auftauchen. Wir orientieren uns damit an einem etablierten Rahmen, ergänzen ihn aber gezielt um die Risiken, die nur in Ihrer konkreten Anwendung auftreten.

In der Regel nicht. Tests führen wir bevorzugt in einer Staging-Umgebung oder schonend durch, damit der Produktivbetrieb nicht beeinträchtigt wird.

Der Abschlussbericht gliedert sich in drei Teile. Zunächst eine verständliche Zusammenfassung für Entscheider ohne technischen Hintergrund, die den Gesamtzustand der Anwendung und die wichtigsten Risiken auf einen Blick zeigt. Danach folgt die technische Detailansicht: jede gefundene Schwachstelle mit Beschreibung, Nachweis der Ausnutzbarkeit, betroffenen Systemkomponenten und einer Einstufung nach Schweregrad von niedrig bis kritisch. Den Abschluss bilden konkrete Handlungsempfehlungen je Schwachstelle, priorisiert danach, wie leicht sie ausnutzbar ist und wie schwerwiegend die möglichen Folgen wären. So lässt sich entscheiden, welche Punkte sofort behoben werden müssen und welche mit geringerem Risiko warten können. Auf Wunsch übernehmen wir die Behebung direkt im Anschluss, sodass die im Audit gefundenen Schwachstellen nachweislich geschlossen und im Retest bestätigt sind.

Ja. Auf Wunsch setzen wir die Fixes um, härten die Anwendung und prüfen anschließend in einem Retest, ob die Lücken geschlossen sind.

Für Websites, Web-Apps, Shops und APIs — unabhängig davon, ob wir sie entwickelt haben oder nicht.