Sicherheitsaudit

Was ist im Leistungsumfang enthalten

Wir prüfen Ihre Website, Anwendung und AI-Integrationen mit dem Blick eines Angreifers auf Schwachstellen und liefern einen Bericht mit Prioritäten und einem Plan zur Behebung. Zum Leistungsumfang gehören die Aufklärung des Perimeters – was von außen mit anonymem Zugriff sichtbar ist –, die Prüfung nach der OWASP-Methodik, der Test von Rechten und Zugriffstrennung, die Suche nach durchgesickerten Schlüsseln und Secrets im Client-Code sowie die Analyse von Sicherheits-Headern und Einstellungen. Gesondert betrachten wir typische Lücken: Umgehung der Autorisierung, Zugriff auf fremde Daten über einen direkten Link, Injections, unsichere Speicher- und API-Einstellungen. Für Projekte mit neuronalen Netzen prüfen wir die spezifischen Risiken von AI-Integrationen – Leaks über Prompts und Modellzugriffe auf Daten. Am Ende erhalten Sie keine Liste abstrakter Scanner-Warnungen, sondern durchgearbeitete Funde mit Schweregrad-Einschätzung und konkreten Behebungsschritten.

Wie das Audit im Kern aufgebaut ist

Das Audit läuft in zwei Schichten – automatisch und manuell. Zuerst durchlaufen Scanner den Perimeter und erstellen eine Karte: offene Einstiegspunkte, Komponentenversionen, Header, öffentliche Dateien und Bundles. Dann beginnt die manuelle Arbeit, denn reale Schwachstellen markiert ein Scanner oft als zweifelhaft oder übersieht sie: Geprüft wird, ob sich die Autorisierung umgehen lässt, ob man durch Vertauschen eines Bezeichners an fremde Daten kommt, ob man Secrets aus dem JavaScript ziehen oder die API missbrauchen kann. Jeder Fund wird auf Reproduzierbarkeit geprüft – ob er tatsächlich ausnutzbar ist oder ein Fehlalarm –, denn ein Bericht mit hundert theoretischen Punkten ist nutzlos. Die Funde werden nach Schweregrad und Wahrscheinlichkeit geordnet, damit Sie zuerst das beheben, was wirklich gefährlich ist. Das Audit betrachtet das System so, wie ein Angreifer es täte, und nicht so, wie es sich der Entwickler gedacht hat.

Woher das Sicherheitsaudit kommt

Die Systematisierung von Schwachstellen begann mit dem Projekt CVE, das die MITRE Corporation im September 1999 startete und einen einheitlichen Bezeichner für jede bekannte Lücke sowie eine gemeinsame Sprache für die gesamte Branche einführte. Die angewandte Sicherheit von Webanwendungen prägte das Projekt OWASP: Es gründete Mark Curphey am 9. September 2001 als offene Community, die Anwendungsrisiken sichtbar macht. 2003 veröffentlichte OWASP die erste Ausgabe der OWASP Top 10 – einer Liste der zehn kritischsten Schwachstellenkategorien von Webanwendungen, die zum Branchenstandard der Prüfung wurde und mit dem Wandel der Bedrohungen aktualisiert wird. Diese beiden Säulen – der CVE-Katalog und die OWASP-Methodik – gaben die Sprache und den Rahmen vor, auf denen das moderne Audit beruht. Wir stützen uns auf die aktuelle Ausgabe der OWASP Top 10 und nicht auf veraltete Checklisten aus dem letzten Jahrzehnt.

Warum die Präzision der Prüfung entscheidend ist

Beim Sicherheitsaudit sind beide Extreme gleichermaßen schädlich. Eine übersehene reale Schwachstelle lässt die Tür für ein Datenleck oder einen Hack offen, dessen Preis in keinem Verhältnis zu den Kosten der Prüfung steht. Aber auch eine Flut von Fehlalarmen schadet: Besteht der Bericht aus hundert theoretischen Punkten, ertrinkt das Team im Rauschen und behebt das Wesentliche nicht. Deshalb liegt der Wert des Audits nicht in der Länge der Liste, sondern in geprüften, reproduzierbaren Funden mit ehrlicher Schweregrad-Einschätzung. Eine gesonderte Feinheit ist die Prüfung der Zugriffsrechte: Viele kritische Lücken sind für einen Scanner nicht sichtbar und offenbaren sich erst im manuellen Test der Autorisierungslogik. Wir führen jeden bedeutenden Fund bis zur bestätigten Ausnutzung und erklären, wie man ihn schließt, statt den Kunden mit bunten Diagrammen ohne Substanz zu erschrecken.

Auf welchem Stack und nach welcher Methodik wir arbeiten

Der Grundrahmen ist die OWASP-Methodik und ihre Top-10-Liste in der aktuellen Ausgabe, ergänzt um Prüfungen für API und AI-Integrationen. Aufklärung und Scanning führen wir mit einer Reihe von Werkzeugen zur Analyse von Perimeter, Headern, Komponentenversionen und Client-Bundles durch, und den Kernteil – den Test von Autorisierung, Zugriff auf fremde Daten und Umgehung der Logik – erledigen wir manuell. Gesondert prüfen wir, was ein Angreifer mit anonymem Zugriff sieht: welche API-Endpunkte offen sind, welche Daten ohne Authentifizierung durchsickern, ob im veröffentlichten JavaScript keine Secrets stehen. Für Projekte auf Cloud-Datenbanken prüfen wir die Zugriffsregeln auf Zeilenebene und die Rechtetrennung. Die Werkzeuge wählen wir auf Ihren Stack zugeschnitten, und die Ergebnisse geben wir in verständlicher Sprache mit Prioritäten aus, nicht als rohen Scanner-Export.

Wann die Schlüsselstandards entstanden

Die tragenden Audit-Standards entstanden an der Jahrhundertwende. Den Schwachstellenkatalog CVE startete die MITRE Corporation im September 1999, und er wurde zur gemeinsamen Sprache der Branche. Die Community OWASP wurde am 9. September 2001 gegründet. Die erste Ausgabe der OWASP Top 10 erschien 2003 und wird seither regelmäßig aktualisiert, im Takt der sich wandelnden Bedrohungslage – von klassischen Injections zu Problemen der Zugriffskontrolle und unsicherer Konfiguration. Gesonderte Methodiken für mobile Anwendungen und später für die Risiken großer Sprachmodelle ergänzten diesen Rahmen um neue Systemklassen. Wir arbeiten nach den aktuellen Ausgaben dieser Standards, denn ein Audit nach einer zehn Jahre alten Checkliste übersieht ganze Klassen moderner Angriffe.

Warum Sie das uns anvertrauen können

Die Gesamterfahrung unseres Teams in der IT übersteigt 45 Jahre, und Audits führen wir aus eigener Praxis durch: Wir prüfen unsere eigenen Projekte von außen – Zugriffsrechte auf Datenbanken, API-Schutz, Verhalten bei anonymem Zugriff – mit demselben Angreiferblick. Wir gehen die Aufgabe ingenieurmäßig an: Wir führen Funde bis zur Reproduktion, ordnen sie nach realer Gefahr und erklären, wie man sie schließt, statt einen rohen Scanner-Bericht abzuliefern. Die Grenzen der Arbeit benennen wir ehrlich: Ein Audit zeigt den Zustand zum Prüfzeitpunkt, und wir sagen offen, was nach den Korrekturen eine erneute Prüfung erfordert. Wir handeln nicht mit Angst und blähen die Liste nicht des Umfangs wegen auf – Priorität hat, was für Ihr Geschäft wirklich gefährlich ist. Im Ergebnis erhalten Sie ein klares Risikobild und einen konkreten Plan zu seiner Schließung – und keinen Anlass zur Panik.