Penetrationstest für Webanwendungen
Ein kontrollierter, überwiegend manueller Angriff auf Ihre Webanwendung, so wie ein echter Angreifer vorgehen würde. Wir richten die Abdeckung am OWASP Web Security Testing Guide aus, prüfen Controls gegen OWASP ASVS und verketten reale, ausnutzbare Angriffspfade, die Scanner übersehen.
Was wir testen
Die Abdeckung basiert auf dem OWASP Web Security Testing Guide (WSTG v4.2), dessen Kapitel 4 zwölf Testkategorien definiert, von Authentifizierung und Autorisierung bis zu Geschäftslogik und Client-Seite. Die Tiefe passen wir an Ihr Risiko und Ihr Assurance-Ziel an, im Black-, Grey- oder White-Box-Modus.
- Authentifizierung, Session-Management und Autorisierung (Broken Access Control)
- Injection, Eingabevalidierung und unsichere Deserialisierung
- Geschäftslogikfehler und unsicheres Design
- Kryptografische Schwächen und Transportsicherheit
- Sicherheitsfehlkonfiguration und offengelegte Fehlerbehandlung
- Client-seitige Probleme (XSS, DOM, postMessage) und API-Berührungspunkte
Eine überwiegend manuelle Methodik
Automatisierte Tools sind nützlich für die Breite, doch ASVS selbst weist darauf hin, dass sie die komplexeren Anforderungen oder die an Geschäftslogik und Zugriffskontrolle gebundenen nicht verifizieren können. Wir führen mit manuellen Tests und setzen Werkzeuge unterstützend ein, entlang eines strukturierten Projektablaufs.
- 1
Scoping & Rules of Engagement
Wir legen Grenzen, das Bedrohungsmodell, Konten und das Testfenster fest und unterzeichnen vor jedem Zugriff ein NDA.
- 2
Mapping & Enumeration
Wir bilden die Anwendung, ihre Rollen und Einstiegspunkte ab, um eine WSTG-getriebene Abdeckung jeder erreichbaren Oberfläche zu planen.
- 3
Manuelles Testen
Wir arbeiten die WSTG-Kategorien von Hand durch: Authentifizierung, Autorisierung, Injection, Geschäftslogik und mehr.
- 4
Exploitation & Verkettung
Wir bestätigen die Auswirkung mit einem Proof of Concept und verketten einzeln geringfügige Probleme zu realistischen Angriffspfaden.
- 5
Berichterstattung & kostenloser Re-Test
Sie erhalten einen priorisierten Bericht. Nach Ihrer Behebung testen wir die behobenen Probleme ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.
Was Sie erhalten
Dieselbe Tiefe wie in unserem Beispielbericht: ein Management Summary plus ein vollständiger Eintrag für jeden Befund, mit Verweisen auf anerkannte Standards, damit die Abdeckung auditierbar ist.
- Management Summary und Gesamtrisikoprofil für Entscheidungsträger
- Jeder Befund: Beschreibung, Auswirkung, Nachweis, Reproduktionsschritte und Behebung
- Schweregrad bewertet mit CVSS 3.1 und in Geschäftsrisiko übersetzt
- Verweise auf CWE, die WSTG-Test-ID und die einschlägige ASVS-Anforderung
- Befunde eingeordnet in die Risikokategorien der OWASP Top 10 2025
- Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters, dokumentiert in einem aktualisierten Bericht oder einer Re-Test-Zusammenfassung
Gegründet auf anerkannten Web-Security-Standards
Wir bilden die Abdeckung auf OWASP WSTG v4.2 ab und verifizieren gegen OWASP ASVS 5.0.0. ASVS 5.0 hat Level 1 neu gefasst, daher wählen wir das Verifizierungslevel nach Risiko, statt L1 als bestandenen Black-Box-Test zu behandeln. Das Risiko wird in die OWASP Top 10 2025 eingeordnet, und Befunde werden mit CVSS 3.1 bewertet (FIRST veröffentlicht auch v4.0; wir nennen bei jedem Befund die verwendete Version).