Benötigen Sie Zugriff auf unseren Quellcode?

Ja, über einen schreibgeschützten Repository-Zugang oder einen begleiteten Walkthrough, je nachdem, was Sie bevorzugen. Die Prüfung ist code-gestützt und konzentriert sich auf die Pfade, die ein Angreifer nehmen würde.

Ist das ein automatisierter SAST-Scan?

Nein. Wir nutzen Werkzeuge zur Orientierung, aber die Prüfung ist manuell und auf Authentifizierung, Autorisierung, Eingabeverarbeitung, Secrets und Trust Boundaries ausgerichtet, kein zeilenweises Audit des gesamten Codebestands.

Findings, die an konkrete Dateien und Code-Pfade gebunden sind, jeweils mit konkreten Maßnahmen zur Behebung, die Ihre Entwickler direkt umsetzen können.

Assessments

Application-Security-Review

Code-gestütztes Review fokussiert auf die Pfade eines Angreifers, kein Zeile-für-Zeile-Audit der gesamten Codebasis. Zugang per Read-only-Repository-Freigabe oder begleitetem Walkthrough, wie Sie möchten.

← Assessments

Umfang

Authentifizierungs- und Autorisierungslogik im Code
Eingabevalidierung und Output-Encoding an Vertrauensgrenzen
Secrets-Handling, Kryptografie-Einsatz und Abhängigkeitsrisiken
Sicherheitsrelevante Architektur: Vertrauensgrenzen, Mandanten, Datenfluss

Methode

Ergebnis

Befunde mit Bezug auf konkrete Dateien und Code-Pfade, jeweils mit konkreter Behebungsempfehlung für Ihre Entwickler.

Vorgehen

So arbeiten wir

Umfang

Jedes Engagement beginnt mit einem Scoping-Gespräch und endet dieses Gespräch mit einer schriftlichen Vereinbarung: Ihr Zielframework oder die Systeme und Umgebungen im Umfang, was ausdrücklich außerhalb liegt, welche Konten und Daten wir nutzen und der Zeitrahmen.

Prüfung

Wir messen, wo Sie stehen: ein Gap-Assessment gegen Ihr Zielframework, eine Prüfung von Kontrollen, Policies und Risiken sowie praxisnahe Tests, wo es darauf ankommt. Die Arbeit ist manuell und methodisch, geleitet davon, wie das System tatsächlich genutzt wird und was ein Angreifer wirklich davon will. Tooling unterstützt die Arbeit; es ersetzt sie nicht.

Erklärung

Sie erhalten einen schriftlichen Bericht und einen Walkthrough-Call. Die Management-Summary ist für Menschen geschrieben, die nicht dabei waren; jeder Befund enthält Belege, Reproduktionsschritte, geschäftliche Auswirkung und einen konkreten Fix.

Nachtest

Hat Ihr Team behoben, testen wir die betroffenen Befunde erneut und liefern einen aktualisierten Bericht, der klar ausweist, was behoben, teilweise behoben oder offen ist. Bei einem Zertifizierungsprogramm bereiten wir die Evidenz vor und stehen Ihnen durch das Audit zur Seite, dann helfen wir Ihnen, sie aktuell zu halten.

Häufig gestellte Fragen

Benötigen Sie Zugriff auf unseren Quellcode?: Ja, über einen schreibgeschützten Repository-Zugang oder einen begleiteten Walkthrough, je nachdem, was Sie bevorzugen. Die Prüfung ist code-gestützt und konzentriert sich auf die Pfade, die ein Angreifer nehmen würde.
Ist das ein automatisierter SAST-Scan?: Nein. Wir nutzen Werkzeuge zur Orientierung, aber die Prüfung ist manuell und auf Authentifizierung, Autorisierung, Eingabeverarbeitung, Secrets und Trust Boundaries ausgerichtet, kein zeilenweises Audit des gesamten Codebestands.
Was erhalten wir?: Findings, die an konkrete Dateien und Code-Pfade gebunden sind, jeweils mit konkreten Maßnahmen zur Behebung, die Ihre Entwickler direkt umsetzen können.

Weiterführende Artikel

6 Min. Lesezeit

Was ist VAPT? Schwachstellenbewertung und Penetrationstests erklärt

VAPT steht für Vulnerability Assessment and Penetration Testing (Schwachstellenbewertung und Penetrationstests). Hier erfahren Sie, was jede der beiden Hälften bedeutet, wie sie sich unterscheiden, was ein VAPT-Einsatz umfasst und wann Sie ihn tatsächlich benötigen.

Weitere Assessments

Web- & API-Tests Cloud-Security-Review KI-System-Tests Digitale Forensik Compliance- & Zertifizierungs-Readiness

Engagements haben nach Vereinbarung festen Umfang und Festpreis. Wenn Sie unsicher sind, welcher Service passt, ob Zertifizierungs-Readiness, GRC-Beratung oder ein Penetrationstest, beschreiben Sie Ihre Situation und wir empfehlen einen Umfang, einschließlich der ehrlichen Auskunft, falls Sie uns noch nicht brauchen.