Pfad
Start / Leistungen / Sicherheitsaudits
Umfang
Pentest, Code-Audit, Härtung
Ergebnis
Bericht mit Fix-Vorschlägen
Gemeldete Sicherheitslücken
45+

Wir prüfen Ihre Anwendung, bevor sie live geht.

Projekt anfragen → Beispiele ↓

Pentests von Webanwendungen, Code-Audits und Härtung von Servern, auch für Software, die nicht von uns stammt. Mit dem Wissen aus über 45 gemeldeten Sicherheitslücken.

1Was wir prüfen

Einzeln buchbar oder kombiniert.

Pentest
Angriff von außen auf Ihre Webanwendung, mit den Rechten verschiedener Rollen.
Code-Audit
Durchsicht des Quellcodes auf Rechteprüfung, Eingaben, Ausgaben und Dateizugriffe.
Plugin-Audit
Moodle- und ILIAS-Plugins, bevor sie produktiv gehen.
Härtung
Server, Webserver und Konfiguration, damit nur erreichbar ist, was erreichbar sein muss.
Auswirkungsanalyse
Nach einem Vorfall: Wurde die Lücke ausgenutzt, und wer ist betroffen?
Nachprüfung
Nach Ihrem Fix prüfen wir, ob die Lücke wirklich geschlossen ist.

2Beispiele

Zwei typische Fälle: eine Lücke im Plugin, und die Frage danach.

AusgangslageEin Hinweis von außen oder ein ungutes Gefühl: Im Plugin könnte eine Lücke stecken.

Abb. 2.1: Weg der Lücke, vorher und nachher
Teilnehmende Plugin Lehrende Kommentar mit Skript Ausgabe wird gefiltert FIX vorher: Skript läuft beim Öffnen nachher: nur Text 1 2 3
  1. ①Verständlicher Befund. Wer die Lücke auslösen kann und was dann passiert.
  2. ②Fix an der richtigen Stelle, als Merge Request gegen Ihr Repository.
  3. ③Mit Test, damit die Lücke beim nächsten Umbau nicht zurückkommt.

AusgangslageDie Lücke ist bekannt und gefixt. Offen ist: Wurde sie ausgenutzt, und wer ist betroffen?

Abb. 2.2: Wer ist betroffen?
LückeSTORED XSS, GEFIXT 2 Einträge1 URHEBER 9 Betroffene DAVON 2 LEHRENDE Admin-Sitzungen: 0 EinschätzungFÜR LEITUNGUND DATENSCHUTZ 1 2 3
  1. ①Spuren suchen statt raten. Direkt in Datenbank und Logs.
  2. ②Betroffene eingrenzen. Wer hat die präparierten Inhalte gesehen, und wann?
  3. ③Klare Einschätzung. Für Leitung und Datenschutz: was passiert ist und was nicht.

3Ablauf

  1. 3.1

    Umfang

    Was geprüft wird, mit welchen Rollen, auf welchem System.

  2. 3.2

    Prüfung

    Bevorzugt auf einem Testsystem, auf Produktivsystemen nur abgestimmt.

  3. 3.3

    Bericht

    Befunde mit Schwere, Nachweis und Fix-Vorschlag, verständlich für Technik und Leitung.

  4. 3.4

    Nachprüfung

    Nach Ihrem Fix prüfen wir erneut.

4Häufige Fragen

Brauchen Sie den Quellcode?

Nein, ein Pentest geht auch von außen. Mit Quellcode finden wir aber mehr in kürzerer Zeit.

Stört der Test den Betrieb?

Wir testen bevorzugt auf einem Testsystem. Tests auf Produktivsystemen stimmen wir vorher genau ab.

Was steht im Bericht?

Jeder Befund mit Schwere, Nachweis und konkretem Vorschlag für den Fix, dazu eine Zusammenfassung für die Leitung.

Bleibt das vertraulich?

Ja. Auf Wunsch schließen wir vorab eine Vertraulichkeitsvereinbarung.

5 / Kontakt

Soll jemand Ihre Anwendung prüfen?

Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.

Anfrage starten → kontakt@madasolis.de