360digital · Schweiz
Webapp- und API-Pentest für Schweizer KMU
Ein Kundenportal muss mehr leisten als eine erfolgreiche Anmeldung. Entscheidend ist, welche Daten und Aktionen danach tatsächlich zugänglich sind. Wir prüfen vereinbarte Nutzerwege Ihrer Webanwendung und ihrer APIs – mit definierten Rollen, geeigneten Testdaten und nachvollziehbaren Ergebnissen für Ihr Entwicklungsteam.
Prüfumfang besprechen ↗Wann dieser Einstieg sinnvoll ist
Geeignet vor einem wichtigen Release, nach Änderungen an Anmeldung oder Rollen und bei Anwendungen mit vertraulichen Daten. Besonders relevant sind Kundenportale, Buchungsprozesse, interne Fachanwendungen und Schnittstellen zwischen mehreren Diensten.
Der vereinbarte Prüfumfang
- Architektur, Datenflüsse, Endpunkte und kritische Geschäftsprozesse gemeinsam abgrenzen.
- Anmeldung, Sitzungen und Berechtigungen anhand vereinbarter Benutzerrollen untersuchen.
- Mandantentrennung, sensible Funktionen und Datenzugriffe mit passenden Testkonten überprüfen.
- Konfiguration und Fehlermeldungen im Kontext der Anwendung betrachten; Befunde fachlich einordnen.
Ihre Ergebnisse
- Bericht mit betroffenen Komponenten, Beobachtungen und nachvollziehbaren Nachweisen.
- Bewertung der möglichen Auswirkungen im vereinbarten Geschäftsprozess.
- Konkrete Empfehlungen für Entwickler und priorisierte Aufgaben für die Verantwortlichen.
- Optionaler Retest der behobenen Befunde mit klarer Trennung zwischen geschlossen und noch offen.
So bereiten wir den Auftrag vor
Hilfreich sind eine Testumgebung, API-Dokumentation, ein Architekturüberblick und Konten für unterschiedliche Rollen. Klären Sie vorab, wer bei externen Zahlungs-, Hosting- oder Identitätsdiensten zustimmen muss. Testdaten sollten typische Fälle abbilden, ohne unnötig personenbezogene Daten zu verwenden.
Aufwand, Angebot und Grenzen
Ein automatischer Scanner ersetzt die Prüfung von Berechtigungen und Geschäftslogik nicht. Die Abdeckung wird im Angebot benannt; ausgeschlossene Endpunkte und nicht prüfbare Funktionen bleiben im Bericht sichtbar. Ein Pentest ist eine zeitlich begrenzte Untersuchung und keine Zertifizierung.
Nach einem Erstgespräch erhalten Sie ein Angebot mit Umfang, Voraussetzungen und vereinbarten Ergebnissen. Technische Prüfungen starten erst nach Freigabe. Über das Anfrageformular werden keine automatischen Tests ausgelöst.
Fachliche Orientierung: OWASP: Web Security Testing Guide ↗Passendes Wissen vor der Beauftragung
Pentest vorbereiten: Die Checkliste für Schweizer KMU →
API-Sicherheit: Was Schweizer KMU vor dem Go-live prüfen sollten →
Sprechen wir über Ihr Vorhaben.
Beschreiben Sie kurz Ihre Umgebung und das Ziel der Prüfung. Bitte übermitteln Sie keine Passwörter, Zugangsschlüssel oder vertraulichen Kundendaten.
Analyse anfragen ↗