Testen Sie Produktions- oder Staging-Umgebungen?

Wir testen die Umgebung, die Sie schriftlich autorisieren, in der Regel eine Staging- oder Pre-Production-Kopie mit repräsentativen Daten. Destruktive oder verfügbarkeitsrelevante Prüfungen führen wir ohne ausdrückliche Freigabe niemals gegen Produktion aus.

Wie unterscheidet sich das von einem Schwachstellen-Scan?

Ein Scan ist automatisiert und meldet bekannte Signaturen; unser Testing ist überwiegend manuell, sodass wir Business-Logic-Fehler, fehlerhafte Autorisierung und verkettete Exploits finden, die Scanner übersehen. Werkzeuge unterstützen die Arbeit, sie ersetzen sie nicht.

Testen Sie nach, nachdem wir die Findings behoben haben?

Ja, ein Retest der behobenen Findings ist enthalten, sofern im Scope vereinbart, und wir stellen einen aktualisierten Bericht aus, der angibt, was behoben, teilweise behoben oder noch offen ist.

Assessments

Web- & API-Tests

Vorwiegend manuelles Testen mit gezieltem Tooling, wo es hilft. Wir testen mit vereinbarten Konten gegen vereinbarte Umgebungen und führen ohne ausdrückliche Freigabe keine destruktiven oder verfügbarkeitskritischen Prüfungen aus.

← Assessments

Umfang

Authentifizierung, Session-Management und Konto-Wiederherstellung
Autorisierung: Rollen-, Mandanten- und Objektzugriffskontrolle
Eingabeverarbeitung: Injection, Dateiverarbeitung, Deserialisierung
Missbrauch der Geschäftslogik: Workflow-Umgehungen, Race Conditions, Zahlungs- und Quotenlogik
API-spezifisch: übermäßige Datenexposition, Mass Assignment, Rate Limiting

Methode

Ergebnis

Ein schriftlicher Bericht mit Management-Summary, reproduzierbaren Befunden (exakte Requests, betroffene Routen, Belege) und nach realem Risiko geordneter Behebung. Ein Nachtest behobener Befunde ist enthalten, wenn im Umfang vereinbart.

Vorgehen

So arbeiten wir

Umfang

Jedes Engagement beginnt mit einem Scoping-Gespräch und endet dieses Gespräch mit einer schriftlichen Vereinbarung: Ihr Zielframework oder die Systeme und Umgebungen im Umfang, was ausdrücklich außerhalb liegt, welche Konten und Daten wir nutzen und der Zeitrahmen.

Prüfung

Wir messen, wo Sie stehen: ein Gap-Assessment gegen Ihr Zielframework, eine Prüfung von Kontrollen, Policies und Risiken sowie praxisnahe Tests, wo es darauf ankommt. Die Arbeit ist manuell und methodisch, geleitet davon, wie das System tatsächlich genutzt wird und was ein Angreifer wirklich davon will. Tooling unterstützt die Arbeit; es ersetzt sie nicht.

Erklärung

Sie erhalten einen schriftlichen Bericht und einen Walkthrough-Call. Die Management-Summary ist für Menschen geschrieben, die nicht dabei waren; jeder Befund enthält Belege, Reproduktionsschritte, geschäftliche Auswirkung und einen konkreten Fix.

Nachtest

Hat Ihr Team behoben, testen wir die betroffenen Befunde erneut und liefern einen aktualisierten Bericht, der klar ausweist, was behoben, teilweise behoben oder offen ist. Bei einem Zertifizierungsprogramm bereiten wir die Evidenz vor und stehen Ihnen durch das Audit zur Seite, dann helfen wir Ihnen, sie aktuell zu halten.

Häufig gestellte Fragen

Testen Sie Produktions- oder Staging-Umgebungen?: Wir testen die Umgebung, die Sie schriftlich autorisieren, in der Regel eine Staging- oder Pre-Production-Kopie mit repräsentativen Daten. Destruktive oder verfügbarkeitsrelevante Prüfungen führen wir ohne ausdrückliche Freigabe niemals gegen Produktion aus.
Wie unterscheidet sich das von einem Schwachstellen-Scan?: Ein Scan ist automatisiert und meldet bekannte Signaturen; unser Testing ist überwiegend manuell, sodass wir Business-Logic-Fehler, fehlerhafte Autorisierung und verkettete Exploits finden, die Scanner übersehen. Werkzeuge unterstützen die Arbeit, sie ersetzen sie nicht.
Testen Sie nach, nachdem wir die Findings behoben haben?: Ja, ein Retest der behobenen Findings ist enthalten, sofern im Scope vereinbart, und wir stellen einen aktualisierten Bericht aus, der angibt, was behoben, teilweise behoben oder noch offen ist.

Weiterführende Artikel

6 Min. Lesezeit

Was ist VAPT? Schwachstellenbewertung und Penetrationstests erklärt

VAPT steht für Vulnerability Assessment and Penetration Testing (Schwachstellenbewertung und Penetrationstests). Hier erfahren Sie, was jede der beiden Hälften bedeutet, wie sie sich unterscheiden, was ein VAPT-Einsatz umfasst und wann Sie ihn tatsächlich benötigen.

Weitere Assessments

Cloud-Security-Review Application-Security-Review KI-System-Tests Digitale Forensik Compliance- & Zertifizierungs-Readiness

Engagements haben nach Vereinbarung festen Umfang und Festpreis. Wenn Sie unsicher sind, welcher Service passt, ob Zertifizierungs-Readiness, GRC-Beratung oder ein Penetrationstest, beschreiben Sie Ihre Situation und wir empfehlen einen Umfang, einschließlich der ehrlichen Auskunft, falls Sie uns noch nicht brauchen.