Web-Anwendungen
Login, Berechtigungen, Eingaben und Sitzungen – geprüft nach OWASP Top 10 und darüber hinaus.
Finden Sie die Lücken,bevor es jemand ausnutzt.
Wir prüfen Ihre Websites, Web-Apps und APIs kontrolliert auf Schwachstellen – methodisch nach OWASP, bewertet nach CVSS und in einem Bericht, den auch Nicht-Techniker verstehen. Immer nur mit Ihrer schriftlichen Freigabe.
Kritischer Befundvor dem Go-Live entdeckt
pentest — app.kunde.de
$ codefokus scope --verify
✓ Schriftliche Freigabe liegt vor · Testzeitraum 04.–08.11.
$ codefokus map app.kunde.de
→ 37 Endpunkte · 3 Subdomains · 2 Login-Formulare
$ codefokus check --owasp-top10
✗ A01 Zugriffskontrolle Prüfung ausständig
✗ A03 Eingabeprüfung Kommentarfunktion
! A07 Authentifizierung kein Anmelde-Limit
✓ A02 ✓ A05 ✓ A06 unauffällig
$ codefokus report --cvss --pdf
→ bericht_app-kunde_2026-11.pdf · 14 Befunde · 23 Seiten
$
Nachtest bestanden4/4 Befunde geschlossen
Was wir prüfen
Von Web-Apps bis Infrastruktur.
Jeder Test ist auf Ihr System zugeschnitten. Das sind die Bereiche, die wir abdecken.
APIs & Schnittstellen
REST und GraphQL: Authentifizierung, Zugriffskontrolle und ungewollte Datenpreisgabe.
Externe Infrastruktur
Öffentlich erreichbare Server, Dienste, TLS-Konfiguration und WordPress-Installationen.
Rollen & Mandanten
Wir testen mit mehreren Konten, ob Daten und Rechte sauber voneinander getrennt sind.
Komponenten
Abgleich aller Bibliotheken und Plugins mit bekannten, öffentlich dokumentierten Schwachstellen.
Bericht & Nachtest
Management-Summary, technische Details mit Reproduktion und ein kostenloser Retest nach der Behebung.
OWASP Top 10
Die häufigsten Schwachstellen – erklärt.
Klicken Sie sich durch die wichtigsten Risikoklassen. Wir zeigen verständlich, worum es geht und wie wir es prüfen.
OWASP · A01:2021Fehlerhafte Zugriffskontrolle
Fehlerhafte Zugriffskontrolle
Nutzer könnten Daten einsehen oder ändern, die nicht für sie bestimmt sind. Die häufigste und folgenreichste Schwachstellenklasse in Web-Anwendungen.
So prüfen wir das
Wir prüfen mit mehreren Konten und Rollen, ob Mandanten und Berechtigungen sauber getrennt sind – damit niemand an fremde Daten oder Admin-Funktionen gelangt.
OWASP · A02:2021Sicherheits-Fehlkonfiguration
Sicherheits-Fehlkonfiguration
Veraltete Standardeinstellungen, ein aktiver Debug-Modus, fehlende Schutz-Header oder versehentlich öffentliche Dateien. Kleine Nachlässigkeiten mit großer Wirkung.
So prüfen wir das
Wir kontrollieren Server- und Anwendungskonfiguration, Sicherheits-Header, Verschlüsselung und ob nichts öffentlich erreichbar ist, das es nicht sein sollte.
OWASP · A03:2021Fehlerhafte Eingabeverarbeitung
Fehlerhafte Eingabeverarbeitung
Wenn Eingaben nicht sauber geprüft werden, können Formulare und Suchfelder für unerwünschte Effekte missbraucht werden – von eingeschleustem Code bis zu manipulierten Abfragen.
So prüfen wir das
Wir prüfen, ob alle Eingaben serverseitig validiert und Ausgaben korrekt kodiert werden, sodass Inhalte nicht als Befehle interpretiert werden.
OWASP · A04:2021Schwachstellen bei Authentifizierung
Schwachstellen bei Authentifizierung
Schwache Passwortregeln, fehlende Sperren nach vielen Versuchen oder unsichere Sitzungsverwaltung erleichtern unbefugte Anmeldungen.
So prüfen wir das
Wir bewerten Login, Passwort-Reset, Mehr-Faktor-Optionen und die Sitzungsverwaltung und empfehlen zeitgemäße, benutzerfreundliche Schutzmaßnahmen.
OWASP · A05:2021Verwundbare Komponenten
Verwundbare Komponenten
Veraltete Bibliotheken, Frameworks oder Plugins mit bekannten, öffentlich dokumentierten Schwachstellen. Besonders häufig bei WordPress-Installationen.
So prüfen wir das
Wir erfassen alle eingesetzten Komponenten, gleichen sie mit bekannten Schwachstellen ab und erstellen einen klaren Update-Plan.
OWASP · A06:2021Unzureichende Protokollierung
Unzureichende Protokollierung
Ohne Protokolle und Alarme bleiben Angriffe oft lange unbemerkt – die Reaktion kommt dann zu spät.
So prüfen wir das
Wir prüfen, ob sicherheitsrelevante Ereignisse nachvollziehbar protokolliert werden, ohne dabei personenbezogene Daten unnötig zu speichern.
Selbsttest
Wie gefährdet ist Ihre Anwendung?
Sechs kurze Fragen geben Ihnen eine erste, unverbindliche Einschätzung. Ihre Antworten bleiben in Ihrem Browser.
Verarbeitet Ihre Anwendung personenbezogene oder Zahlungsdaten?
Können sich Nutzer mit einem Konto anmelden?
Gibt es unterschiedliche Rollen (z. B. Kunde und Admin)?
Bietet die Anwendung eine öffentliche API oder Schnittstellen?
Läuft sie auf WordPress oder mit vielen Plugins?
Wurde sie noch nie extern auf Sicherheit geprüft?
Jetzt einschätzen
Beantworten Sie die Fragen, um Ihre Risiko-Tendenz zu sehen.
Unverbindlich prüfen lassenDer Bericht
Verständlich für alle, präzise fürs Team.
Sie bekommen keinen kryptischen Scanner-Ausdruck, sondern einen Bericht, mit dem Geschäftsführung und Entwickler gleichermaßen arbeiten können.
Beispielberichtapp.kunde.de · 11/2026
0
1 Kritisch2 Hoch4 Mittel7 Niedrig
Nachtest: alle kritischen und hohen Befunde behoben
KRITISCHCVSS 9.1A01
Fehlerhafte Zugriffskontrolle
So wie jeder Befund im Bericht aufbereitet ist – verständlich für die Geschäftsführung, präzise genug für Ihr Entwicklungsteam.
AuswirkungUnbefugter könnte Daten anderer Kunden einsehen.
Betroffen
/api/rechnungen (Berechtigungsprüfung)EmpfehlungServerseitige Rechteprüfung je Objekt und Rolle ergänzen, zusätzlich Tests dafür einführen.
Status✓ Behoben & nachgetestet
Ablauf
Transparent und abgestimmt.
Jeder Schritt wird vorab mit Ihnen vereinbart – es passiert nichts ohne Ihre Freigabe.
Freigabe & Umfang
Wir legen gemeinsam Systeme, Testzeitraum und Ansprechpartner fest – schriftlich.
ScopingBestandsaufnahme
Wir verschaffen uns einen Überblick über Endpunkte, Rollen und Technologien.
ReconPrüfung
Systematischer Test nach OWASP. Kritische Funde melden wir sofort, nicht erst im Bericht.
TestingBericht & Nachtest
Priorisierte Befunde mit Lösungen, Abschlussgespräch und kostenloser Retest.
Reporting
Rechtlicher Rahmen: Wir testen ausschließlich Systeme, für die eine schriftliche Beauftragung durch den Eigentümer vorliegt. Umfang, Zeitraum und Ansprechpartner werden vorab verbindlich festgelegt. Ohne diese Freigabe findet kein Test statt.
Investition
Transparente Pakete.
Nach einem kurzen Scoping-Gespräch erhalten Sie ein festes Angebot für Ihren konkreten Umfang.
Website-Check
Sicherheitsprüfung für Websites und WordPress.
ab 990 €
- Automatisierter Schwachstellen-Scan
- Manuelle Prüfung der Konfiguration
- Komponenten- & Plugin-Abgleich
- Kompakter Bericht mit Maßnahmen
- 1 Tag Prüfaufwand
Web-App Pentest
Vollständiger Test Ihrer Anwendung nach OWASP.
ab 3.900 €
- 3–5 Tage manuelle Prüfung
- OWASP Top 10 & Geschäftslogik
- Mehrere Rollen & Mandanten
- Bericht mit CVSS-Bewertung
- Kostenloser Nachtest nach Behebung
Umfassend
Web, APIs und externe Infrastruktur.
auf Anfrage
- Individuell abgestimmter Umfang
- API- & Infrastruktur-Prüfung
- Abschlusspräsentation fürs Management
- Regelmäßige Wiederholungstests
- Begleitung bei der Behebung
Alle Preise netto zzgl. MwSt. Für Web-Apps, die wir selbst entwickeln, ist ein Sicherheits-Basischeck vor dem Go-Live inklusive.
FAQ
Häufige Fragen
Ihre Frage ist nicht dabei? Schreiben Sie uns – Sie erhalten innerhalb eines Werktags eine Antwort.
Ist ein Penetrationstest legal?
Ja – wenn der Eigentümer des Systems ihn schriftlich beauftragt. Wir legen vor jedem Test gemeinsam Umfang, Zeitraum und Ansprechpartner fest und testen ausschließlich freigegebene Systeme.
Stört der Test den laufenden Betrieb?
In der Regel nicht. Wir stimmen Testzeiten ab und arbeiten bevorzugt auf einer Staging-Umgebung. Bei Produktivsystemen vermeiden wir alles, was den Betrieb beeinträchtigen könnte.
Was unterscheidet einen Pentest von einem Schwachstellen-Scanner?
Ein Scanner findet nur Bekanntes nach Schema F. Beim Pentest prüfen wir zusätzlich manuell die Geschäftslogik und kombinieren Befunde – so, wie es ein echter Angreifer täte. Das deckt Lücken auf, die Scanner übersehen.
Was passiert mit gefundenen Schwachstellen?
Sie erhalten einen vertraulichen Bericht mit priorisierten Befunden und konkreten Lösungen. Kritische Funde melden wir sofort. Auf Wunsch unterstützen wir bei der Behebung und testen anschließend kostenlos nach.
Bekomme ich einen Nachweis für Kunden oder Partner?
Ja. Nach erfolgreichem Nachtest stellen wir eine Bestätigung über den durchgeführten Test und den behobenen Stand aus, die Sie Partnern oder im Rahmen von Audits vorlegen können.
Lassen Sie Ihre Anwendung prüfen.
In einem kurzen Scoping-Gespräch klären wir Umfang und Ziel – kostenlos und unverbindlich.