Penetrationstests & Security für Fintech
Im Fintech treffen Geld, Regulierung und APIs aufeinander, und eine einzige fehlerhafte Autorisierungsprüfung kann Gelder bewegen oder die Daten aller Kunden offenlegen. Wir testen Zahlungsabläufe, öffentliche und Partner-APIs sowie die Controls, die Ihre Prüfer und Partner erwarten. Überwiegend manuell, unter NDA und mit einem kostenlosen Re-Test innerhalb des im SoW festgelegten Zeitfensters.
Was in Fintech auf dem Spiel steht
Die folgenreichsten Befunde im Fintech sind selten ein fehlender Patch. Meist sind es Logik- und Autorisierungsfehler in den Abläufen, die Geld und persönliche Finanzdaten verarbeiten. Genau diese Probleme übersehen automatisierte Scanner.
Logik der Geldbewegung
Race Conditions, umgangene Limits und manipulierte Beträge in Zahlungs- und Überweisungsabläufen. Für solche Logikfehler sind manuelle Tests gemacht.
Gebrochene Autorisierung über Mandanten hinweg
BOLA/IDOR, durch das ein Kunde die Kontoauszüge, Salden oder Rechnungen eines anderen lesen kann. Das ist der häufigste API-Fehler mit hohem Schweregrad.
Offenlegung von Karteninhaberdaten
Schwaches Scoping oder schwache Segmentierung rund um die Karteninhaberdaten-Umgebung, wo PCI DSS aktives Testen statt eines Scans verlangt.
Open-Banking- & Partner-APIs
Token-, Einwilligungs- und Scope-Handhabung über Drittanbieter-Integrationen hinweg, wo ein einziger falsch abgegrenzter Grant Daten überexponieren kann.
Wie wir Fintech-Systeme testen
Wir beginnen mit den Projekten, die die Fehler finden, die einem Finanzprodukt wirklich schaden: authentifizierte API-Tests über mehrere Rollen, die Anwendung selbst, das Netzwerk und die Segmentierung rund um die CDE sowie PCI-DSS-Vorbereitung, wenn Sie Compliance nachweisen müssen.
Gegründet auf den Standards, an denen Fintech gemessen wird
Anwendungs- und API-Tests richten sich nach OWASP WSTG v4.2, den OWASP API Security Top 10 (2023) und OWASP ASVS 5.0; Netzwerk- und Segmentierungstests unterstützen Ihre Pflichten nach PCI DSS v4.0.1 Requirement 11.4. Wir liefern Vorbereitung und Tests, sind aber kein QSA und stellen keinen Report on Compliance aus. Befunde werden mit CVSS 3.1 bewertet.
Was Sie bei einem Fintech-Projekt erwarten können
Vexaro entwickelt selbst Software und Infrastruktur und testet sie auch. Dieser Blick von innen sorgt dafür, dass unsere Berichte nach Geschäftsrisiko priorisieren und nicht nach Scanner-Rauschen. Wir nennen keine Kunden.
- Manuelle Tests von Zahlungsabläufen und APIs mit mehreren Rollen
- Manuell-zuerst-Tests, die Logikfehler bei Geldbewegung und Autorisierung finden
- PCI-DSS-Readiness und die Tests nach Requirement 11.4, von denen sie abhängt
- Berichte, die das Geschäftsrisiko priorisieren, mit einem kostenlosen Re-Test der Korrekturen innerhalb des im SoW festgelegten Zeitfensters
- NDA vor jedem Zugang; Nachweise verschlüsselt, danach gelöscht oder zurückgegeben