Ein Penetrationstest – kurz Pentest – ist ein kontrollierter, beauftragter Angriff auf Ihre eigenen Systeme. Anders als ein automatisierter Scan versucht er gezielt, gefundene Schwachstellen auszunutzen und miteinander zu verknüpfen. So wird sichtbar, ob eine Lücke nur theoretisch besteht oder tatsächlich Zugriff auf Daten ermöglicht.
Wir führen Penetrationstests für Webanwendungen, Kundenportale, APIs und die darunterliegenden Server durch. Grundlage sind unsere Erfahrung aus der Entwicklung solcher Systeme und Shieldgaps, unser eigenes Werkzeug für Sicherheitsanalysen.
Ein Penetrationstest greift Systeme an – deshalb ist die Freigabe die wichtigste Voraussetzung. Wir testen ausschließlich Systeme, deren Inhaber uns schriftlich beauftragt hat. Das unbefugte Eindringen in fremde Systeme ist in Deutschland strafbar, und daran ändert auch eine gute Absicht nichts.
Vor Beginn legen wir gemeinsam fest, welche Domains, Server und Anwendungen geprüft werden, in welchem Zeitraum der Test stattfindet und welche Methoden ausgeschlossen sind. Dazu gehören eine Ansprechperson für Notfälle und gegebenenfalls die Abstimmung mit Ihrem Hoster oder Cloud-Anbieter, dessen Bedingungen ebenfalls gelten können.
Der Schwerpunkt liegt auf Webanwendungen und ihren Schnittstellen – also dort, wo wir als Entwicklungsstudio die typischen Fehler aus eigener Erfahrung kennen. Wir prüfen, ob sich Anmeldungen umgehen lassen, ob Sitzungen sicher verwaltet werden und ob eine angemeldete Person Daten anderer Konten sehen oder verändern kann. Gerade solche Fehler in der Rechteprüfung kommen bei Portalen häufig vor und sind mit automatisierten Scans kaum zu finden.
Hinzu kommen Eingaben, die Datenbankabfragen oder Seiteninhalte manipulieren könnten, Schnittstellen ohne ausreichenden Zugriffsschutz und die Server, auf denen alles läuft. Besonders relevant ist das für Kundenportale und APIs, die personenbezogene oder geschäftskritische Daten verarbeiten.
Wie viel wir vorab über Ihr System wissen, beeinflusst Aufwand und Aussagekraft des Tests. Beim Black-Box-Test gehen wir vor wie ein Angreifer von außen, ohne Zugangsdaten oder interne Informationen. Beim Grey-Box-Test erhalten wir Testkonten mit unterschiedlichen Rollen und prüfen, was eine angemeldete Person ausrichten kann. Beim White-Box-Test stehen zusätzlich Quellcode und Konfiguration zur Verfügung.
Für Webanwendungen mit Benutzerkonten ist ein Grey-Box-Test oft ein guter Kompromiss: Er deckt Angriffe von außen ebenso ab wie Fehler in der Rechteverwaltung, ohne den Aufwand einer vollständigen Code-Prüfung. Welcher Ansatz passt, empfehlen wir nach dem Erstgespräch.
Jeder Befund wird im Bericht so beschrieben, dass er sich nachvollziehen lässt: Was haben wir gefunden, wie lässt es sich ausnutzen, wie hoch ist das Risiko und wie wird die Lücke geschlossen? Eine Zusammenfassung ordnet die Ergebnisse für die Geschäftsführung ein, der technische Teil richtet sich an Ihr Entwicklungsteam.
Kritische Funde melden wir nicht erst mit dem Bericht, sondern sofort. Auf Wunsch beheben wir die Schwachstellen selbst – etwa in Laravel- oder PHP-Anwendungen – und führen anschließend einen Nachtest durch, der zeigt, ob die Maßnahmen wirken.
Beschreiben Sie uns die Anwendung, die geprüft werden soll. Wir besprechen Umfang, Vorgehen und Freigabe und erstellen Ihnen ein kostenloses Angebot.
Unser Studio liegt in Königstein im Taunus. Wir kommen zu Ihnen oder sprechen per Video-Call – hier finden Sie unsere Seiten für Ihren Ort:
Ja, wenn der Inhaber des Systems ihn beauftragt und schriftlich freigibt. Ohne diese Erlaubnis wäre ein solcher Test ein unbefugter Zugriff. Deshalb vereinbaren wir vor jedem Test schriftlich, welche Systeme in welchem Zeitraum geprüft werden. Diese Einordnung ersetzt keine Rechtsberatung.
Wir testen kontrolliert und stimmen riskante Prüfungen vorher mit Ihnen ab. Ein Restrisiko lässt sich bei aktiven Tests aber nie ganz ausschließen. Deshalb empfehlen wir aktuelle Backups und, wo möglich, eine Testumgebung, die dem Live-System entspricht.
Sinnvoll ist ein Test vor dem Livegang einer neuen Anwendung, nach größeren Änderungen und in regelmäßigen Abständen, wenn Sie sensible Daten verarbeiten. Manche Geschäftskunden oder Branchenvorgaben verlangen solche Tests auch ausdrücklich.
