Penetrationstest für Webanwendungen, APIs und Apps
Mit Ihrer schriftlichen Freigabe greifen wir Ihre Webanwendung, API oder App gezielt an und dokumentieren jeden Weg ins System. Scanner decken die Breite ab. Unsere Ingenieure testen dort von Hand, wo Scanner schwach sind: Berechtigungen, Geschäftslogik und Schwachstellen, die erst zusammen gefährlich werden. Sie bekommen echte Befunde mit konkreter Behebung, keinen Scanner-Export.
Auf einen Blick
- Web, API und MobileFokus auf Anwendungen
- Festpreis im schriftlichen AngebotBevor der Test beginnt
- Rules of EngagementVor dem Test von beiden Seiten unterschrieben
- Pentest-Bescheinigung für Ihre AuditorenWas, wann und von wem getestet wurde
Was wir testen
Wir testen Anwendungen. Ein Pentest kann eine, zwei oder alle drei Ebenen umfassen.
Webanwendungen
Erst die OWASP Top 10, dann das, was kein Scanner sieht.
- Login, Sitzungen und Passwort-Reset
- Ein Kunde sieht die Daten eines anderen
- Preise, Rabatte und übersprungene Prozessschritte
APIs
REST und GraphQL, geprüft nach den OWASP API Security Top 10.
- Zugriff auf Objekte, Felder und Funktionen
- Tokens, API-Schlüssel und Rate-Limits
- Eingaben, mit denen die API nicht rechnet
Mobile Apps
iOS- und Android-Builds samt der APIs dahinter, nach OWASP MASVS und MASTG.
- Daten, die auf dem Gerät gespeichert werden
- Datenverkehr und Zertifikatsprüfung
- Schlüssel und Testserver, die im Build stecken
Umfang: Webanwendungen, APIs und mobile Apps. Funktionale Tests Ihrer Software finden Sie unter Softwaretest, Prüfungen nach BFSG unter Barrierefreiheitstest, wiederkehrende Regressionstests in Ihrer CI-Pipeline unter Testautomatisierung.
Methodik: automatisiert und von Hand
- OWASP Top 10
- OWASP API Security Top 10
- OWASP MASVS / MASTG
- PTES
Scope
URLs, Endpunkte, App-Builds und Benutzerrollen, schriftlich festgelegt.
Automatisierter Durchlauf
Unser AI Security Toolkit prüft die laufende Anwendung mit Nuclei und sqlmap. Liegt der Quellcode vor, kommen Semgrep, Trivy und gitleaks hinzu. Dazu kommen 20 selbst entwickelte Prüfungen.
Manueller Test
Ein Ingenieur arbeitet sich in jeder Rolle durch Ihr Produkt, so wie es ein Angreifer tun würde.
Verifizierung
Jeder kritische Befund wird manuell nachvollzogen, bevor er im Bericht steht.
Black-Box von außen oder Grey-Box mit Testzugängen für jede Rolle. Zwei mittlere Schwachstellen können zusammen eine kritische ergeben. Solche Angriffsketten weisen wir im Bericht als Kette aus.
Was Sie bekommen
Umsetzbare Befunde
Schweregrad, Schritte zur Reproduktion, Nachweis und eine Behebung auf Code-Ebene.
Angriffsketten
Wo sich Befunde verbinden: der Weg vom ersten Schritt bis zum Schaden.
Management Summary
Eine Zusammenfassung für die Geschäftsführung, getrennt von den Details für Ihre Entwickler.
Befunde in Echtzeit
In BugBoard, sobald ein Befund bestätigt ist, nicht erst Wochen später als PDF.
Rules of Engagement
Vor dem Test unterschrieben: was wir testen, wie, wann und wen wir im Notfall anrufen.
Pentest-Bescheinigung
Für Ihre Auditoren oder Kunden: was getestet wurde, wann und von wem.
Bericht und Gespräche auf Englisch, auf Wunsch auf Deutsch. Berichte und Tool-Konfiguration behalten Sie auch nach Projektende.
So läuft ein Pentest ab
Erstgespräch
Was Ihr Produkt tut, wer es nutzt und was Ihnen Sorgen macht.
NDA und AVV
Geheimhaltungsvereinbarung und Auftragsverarbeitungsvertrag, bevor wir Zugänge erhalten.
Rules of Engagement
Ziele, Rollen, Umgebungen, Zeitfenster und Ansprechpartner, schriftlich vereinbart.
Test
Automatisiert und manuell, standardmäßig auf Ihrer Staging-Umgebung.
Bericht
Jeder Befund mit Nachweis und Behebung, dazu die Management Summary.
Nachtest (optional)
Nach Ihren Korrekturen prüfen wir, ob sie halten. Abrechnung nach Stundensatz.
Sie brauchen den Test öfter als einmal im Jahr? Dann testen wir jedes größere Release, als Security-Tester in Ihrem Team.
Kosten eines Penetrationstests
Der Satz hängt von der Seniorität der Ingenieure und der Art der Arbeit ab. Den Festpreis für Ihren Scope nennen wir im schriftlichen Angebot, bevor der Test beginnt.
Nachtests sind nicht im Festpreis enthalten und werden zum selben Stundensatz abgerechnet. Unsere Tools sind ohne Lizenzkosten enthalten.
Was kostet ein Penetrationstest?
Das hängt vom Aufwand ab, und der Aufwand vom Umfang. Diese Faktoren bestimmen den Aufwand:
- Größe der Anwendung: Anzahl der Seiten, Funktionen und API-Endpunkte
- Benutzerrollen: jede Rolle wird einzeln getestet
- Plattformen: Web, iOS, Android oder alles zusammen
- Testansatz: Black- oder Grey-Box, mit oder ohne Quellcode
- Geschäftslogik: Zahlungen, Freigaben, Mandantentrennung
- Umgebung: Staging oder Produktion mit vereinbarten Grenzen
Den Probemonat unserer laufenden Team-Einsätze gibt es für einen einmaligen Pentest nicht.
Warum BetterQA als Pentest-Anbieter
Unabhängig
Wir testen nur. Wir haben Ihren Code nicht geschrieben und verkaufen Ihnen nicht die Behebung.
Eigenes Toolkit
Auf einer öffentlichen, absichtlich verwundbaren Testanwendung hat unser Toolkit sechs funktionierende Angriffsketten nachgewiesen. Zum Benchmark (Englisch)
Sitz in der EU, DSGVO
Wir sitzen in Rumänien, es gilt die DSGVO. Befunde behandeln wir unter NDA und im Rahmen unseres ISO-27001-Managementsystems.
Deutschsprachige Ansprechpartner auf Wunsch
Projektsprache Englisch, auf Wunsch Deutsch. Eine Stunde Zeitunterschied zu Deutschland.
Die englische Seite: Penetration testing services (Englisch).
Häufige Fragen zum Penetrationstest
Was kostet ein Penetrationstest bei BetterQA?
20 bis 45 € pro Stunde. Nach dem Erstgespräch erhalten Sie ein schriftliches Angebot mit Festpreis für Ihren Scope. Nachtests rechnen wir separat zum Stundensatz ab.
Was ist der Unterschied zwischen Pentest und Schwachstellenscan?
Ein Scan listet mögliche Schwachstellen. Beim Pentest prüft ein Mensch, welche davon sich tatsächlich ausnutzen lassen und was ein Angreifer damit erreicht. Wir machen beides.
Welche Systeme testen Sie?
Webanwendungen, APIs sowie iOS- und Android-Apps.
Black-Box oder Grey-Box?
Black-Box zeigt, was ein Angreifer ohne Zugang von außen erreicht. Grey-Box mit Testzugängen für jede Rolle prüft zusätzlich, was ein angemeldeter Nutzer darf und was nicht. Teilen Sie den Quellcode, prüfen wir auch Code und Abhängigkeiten.
Testen Sie auch die Produktivumgebung?
Nur wenn Sie das wünschen und wir die Grenzen vorher schriftlich festlegen. Eine Staging-Umgebung mit Testdaten ist sicherer und meist genauso aussagekräftig.
Was brauchen Sie von uns für den Start?
Die URLs, Endpunkte oder App-Builds im Scope, Testzugänge für jede Benutzerrolle, vorhandene API-Dokumentation und, falls gewünscht, Zugriff auf den Quellcode.
Bekommen wir einen Nachweis für unsere Auditoren?
Ja. Vor dem Test unterschreiben wir die Rules of Engagement, nach dem Test erhalten Sie eine Pentest-Bescheinigung für Ihre Auditoren: was getestet wurde, wann und von wem.
Ist der Nachtest im Preis enthalten?
Nein. Den Nachtest rechnen wir zum selben Stundensatz ab. So zahlen Sie nur für die Korrekturen, die Sie tatsächlich prüfen lassen.
Lassen Sie uns Ihren Penetrationstest planen
Sagen Sie uns, was Sie entwickeln, wer es nutzt und was Ihnen Sorgen macht. Wir sagen Ihnen, was wir zuerst testen würden und was es kostet. Deutschsprachige Ansprechpartner auf Wunsch.