Zum Inhalt springen
info@rootsektor.de
24/7-Notfall: +49 2932 465265-0 Pentest-Angebot anfordern Notfall melden
Notfall

Kontakt

Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.de

Mo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline

Pentest-Angebot anfordern Notfall melden

Branchen

SaaS-Penetrationstest für Software-Anbieter

Sicherheit, die Ihre Kunden nachprüfen können

Ihre Plattform verarbeitet die Daten vieler Kunden – ein Fehler in Mandantentrennung, API oder Cloud-Konfiguration kann alle gleichzeitig treffen. Ein SaaS-Penetrationstest von Rootsektor zeigt, welche Schwachstellen tatsächlich ausnutzbar sind, und liefert belastbare Nachweise für Sicherheitsfragebögen, Audits und Ausschreibungen.

  • Festpreis nach Scoping
  • Kostenloser Retest
  • Angebot in 24 h
Pentest-Angebot anfordern Beratung vereinbaren

Herausforderungen

IT-Sicherheit für SaaS-Plattformen: die Herausforderungen

Ihre Plattform besteht aus Webanwendungen, APIs, Cloud-Infrastruktur und Integrationen. Genau diese Bausteine bilden Ihre Angriffsfläche – und die verändert sich mit jedem Release.

  • Herausforderung 1

    Mandantentrennung

    In einer Multi-Tenant-Architektur liegen die Daten vieler Kunden in derselben Anwendung, oft sogar in derselben Datenbank. Schon eine fehlende Rechteprüfung an einem einzigen Endpunkt kann genügen, damit eine Person aus einem Mandanten – oder ein Angreifer mit übernommenem Konto – über manipulierte IDs, Exporte oder gemeinsam genutzte Speicher Daten eines anderen Mandanten sieht.

  • Herausforderung 2

    APIs und Integrationen

    Frontend, Mobile Apps, Kundenintegrationen und Webhooks hängen an Ihren Schnittstellen. Fehlende Autorisierung auf Objektebene – Platz 1 der OWASP API Security Top 10 –, zu weit gefasste Tokens oder unsichere OAuth-Abläufe öffnen Angreifern die Tür. Automatisierte Scanner erkennen solche Fehler selten.

  • Herausforderung 3

    Schnelle Releases und Lieferkette

    Bei kontinuierlichem Deployment entstehen laufend neue Endpunkte, Rollen und Abhängigkeiten. Hinzu kommen Secrets in Build-Pipelines und Open-Source-Pakete Dritter. Ein einzelner Jahrestest bildet diese Dynamik nur begrenzt ab.

Ihre Kunden fragen nach dem letzten Pentest?

Sprechen Sie mit uns über Ihre Plattform, Ihre Release-Planung und die Nachweise, die Ihre Kunden erwarten. Für Ihren Penetrationstest erhalten Sie nach dem Scoping innerhalb von 24 Stunden (werktags) ein Festpreisangebot.

Beratung vereinbaren

Vorteile

Vorteile eines SaaS-Penetrationstests

Ein Scanner liefert Treffer, ein Pentest liefert Zusammenhänge: Wir zeigen, welche Schwachstellen Ihrer Plattform sich tatsächlich ausnutzen lassen und wie weit ein Angreifer damit käme – bis hin zum Zugriff auf fremde Mandanten.

  • Ausnutzbare Schwachstellen finden

    Manuelle Tests über Webanwendung, API, Mobile App und Cloud hinweg – einschließlich Geschäftslogik und Rechteketten, die automatisierte Scanner kaum erfassen.

  • Mandantentrennung überprüfen

    Aus der Perspektive eines Kunden greifen wir gezielt die Grenzen zu anderen Mandanten an. Hält die Trennung, haben Sie einen belastbaren Beleg – hält sie nicht, erfahren Sie es von uns und nicht von einem Kunden oder Angreifer.

  • Enterprise-Vertrieb unterstützen

    Mit der Prüfbescheinigung belegen Sie gegenüber Kunden und in Lieferantenaudits, dass Ihre Plattform unabhängig geprüft wurde – ohne den vollständigen technischen Bericht herausgeben zu müssen.

  • Behebung gezielt planen

    Jeder Befund mit CVSS-Bewertung, Reproduktionsschritten und konkreter Empfehlung – direkt übertragbar in Ihr Ticketsystem. Der kostenlose Retest zeigt, ob die Korrekturen wirken.

Leistungen

Unsere Leistungen für Software- und SaaS-Anbieter

  • Webanwendungen & Webshops

    Kunden-Dashboards, Admin-Oberflächen, Self-Service-Portale und Onboarding-Strecken – mit Fokus auf Rollenmodelle, Sitzungen und Geschäftslogik.

  • API-Penetrationstest

    REST-, GraphQL- und Webhook-Schnittstellen – Autorisierung auf Objekt- und Funktionsebene, Token-Handling, Rate Limiting und Mass Assignment.

  • Cloud-Penetrationstest

    Die AWS-, Azure- oder Google-Cloud-Umgebung Ihrer Plattform – IAM-Berechtigungen, Storage, Container, Kubernetes und Netzsegmentierung.

  • Mobile Apps (iOS & Android)

    iOS- und Android-Apps zu Ihrem Produkt – lokale Datenspeicherung, Transportverschlüsselung und die APIs dahinter.

  • KI- & LLM-Penetrationstest

    KI-Assistenten und LLM-Funktionen in Ihrem Produkt – Prompt Injection, Datenabfluss zwischen Mandanten und unsichere Tool-Anbindungen.

  • Code Review & Reverse Engineering

    Quellcode-Analyse sicherheitskritischer Komponenten wie Authentifizierung, Mandantenlogik und Kryptografie – ideal als Ergänzung zum White-Box-Test.

Regulatorik & Standards

Nachweise für Kunden, Auditoren und Regulierung

Ein Penetrationstest ersetzt weder Zertifizierung noch Testat. Er liefert aber genau die technischen Belege, nach denen Auditoren und Kunden fragen.

  • Zertifizierung & Testat

    ISO/IEC 27001, SOC 2 & C5

    Im Audit nach ISO/IEC 27001:2022 belegt der Pentest das Management technischer Schwachstellen (A.8.8) und Sicherheitstests in Entwicklung und Abnahme (A.8.29). In SOC-2-Prüfungen dient er als Nachweis für die Überwachung und Wirksamkeit Ihrer Kontrollen, etwa zu den Kriterien CC4.1 und CC7.1. Auch der Kriterienkatalog C5 des BSI für Cloud-Dienste sieht regelmäßige Penetrationstests vor.

    • Prüfumfang, Methodik und Zeitraum dokumentiert
    • Befunde nach CVSS bewertet
    • Retest belegt die Behebung

  • Datenschutz

    DSGVO & Auftragsverarbeitung

    Ihre Kunden dürfen als Verantwortliche nur Auftragsverarbeiter einsetzen, die geeignete technische und organisatorische Maßnahmen verlässlich nachweisen können (Art. 28 DSGVO). Art. 32 Abs. 1 lit. d verlangt zudem ein Verfahren, um deren Wirksamkeit regelmäßig zu überprüfen.

    • Beleg für die regelmäßige Wirksamkeitsprüfung
    • Grundlage für TOM-Dokumentation und Kundenaudits

  • EU-Regulierung

    NIS2 & Cyber Resilience Act

    Je nach Größe und Angebot können Cloud- und Managed-Service-Anbieter selbst unter NIS2 fallen; zudem geben NIS2-pflichtige Kunden Sicherheitsanforderungen an ihre Lieferkette weiter. Wer installierbare Software oder Apps herstellt und in der EU anbietet, muss nach dem Cyber Resilience Act künftig Schwachstellen systematisch behandeln und die Produktsicherheit regelmäßig testen.

    • Nachweise für die Lieferkettenanforderungen Ihrer Kunden
    • Sicherheitstests für Produkte mit digitalen Elementen

So läuft Ihr SaaS-Penetrationstest ab

Wir richten den Software-Pentest an Ihrer Architektur und Ihrem Release-Rhythmus aus – als jährlichen Komplett-Test, vor großen Releases oder als fokussierten Test neuer Funktionen. Die Methodik ist dieselbe wie in allen Branchen, der Fokus liegt auf Mandantentrennung und APIs.

Scoping

Wir klären Architektur, Mandantenmodell, Rollen, API-Umfang, Cloud-Plattform, Testumgebung und Termine.

Festpreisangebot

Innerhalb von 24 Stunden (werktags) nach dem Scoping erhalten Sie ein Festpreisangebot – ohne versteckte Kosten.

Vorbereitung

Sie stellen Testkonten für mindestens zwei Mandanten und alle relevanten Rollen bereit; Testfenster und Ansprechpersonen sind abgestimmt.

Testdurchführung

Manuelle Tests in Anlehnung an OWASP WSTG, ASVS und die OWASP API Security Top 10. Kritische Schwachstellen melden wir sofort – noch während des Tests, telefonisch oder per E-Mail an die vereinbarte Ansprechperson.

Bericht & Abschlussbesprechung

Management Summary, technischer Teil mit CVSS-Bewertung und konkrete Maßnahmenempfehlungen – auf Wunsch besprechen wir die Ergebnisse mit Ihrem Entwicklungsteam.

Retest & Prüfbescheinigung

Nach der Behebung prüfen wir kostenlos nach. Die Prüfbescheinigung können Sie Kunden, Partnern und Auditoren vorlegen.

FAQ

Häufige Fragen zum SaaS-Penetrationstest

Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.

Wie oft sollten wir unsere SaaS-Plattform testen lassen?

Ein jährlicher Penetrationstest ist ein verbreiteter Mindeststandard – viele Enterprise-Kunden fragen genau danach. Zusätzlich empfehlen wir Tests nach wesentlichen Änderungen, etwa einem Umbau der Authentifizierung, neuen Mandantenfunktionen, einer Cloud-Migration oder größeren API-Erweiterungen. Bei hoher Release-Frequenz lassen sich fokussierte Tests einzelner Funktionen gut in die Release-Planung einbinden.

Testen Sie in der Produktion oder in einer Staging-Umgebung?

Beides ist möglich. Eine produktionsnahe Staging-Umgebung ist ideal, weil wir dort intensiver testen können, ohne Kundendaten zu berühren. Tests in der Produktion stimmen wir eng mit Ihnen ab – mit eigenen Testmandanten, festen Zeitfenstern und ohne Methoden, die die Verfügbarkeit gefährden.

Können Sie die Mandantentrennung prüfen?

Ja. Dafür benötigen wir Testkonten in mindestens zwei Mandanten, idealerweise mit unterschiedlichen Rollen. Wir versuchen dann gezielt, über Objekt-IDs, API-Aufrufe, Exporte, Suchfunktionen, Datei-Uploads oder Einladungsfunktionen auf fremde Daten zuzugreifen.

Wie passt ein Pentest zu unserer CI/CD-Pipeline?

Automatisierte Werkzeuge wie SAST, DAST und Dependency-Scanning gehören in die Pipeline – sie finden bekannte Muster schnell. Ein Pentest ergänzt sie um das, was Automatisierung nicht leistet: Geschäftslogik, Rechteketten und verkettete Schwachstellen. Gern unterstützen wir Sie dabei, beides sinnvoll in Ihre Entwicklungsprozesse zu integrieren.

Was können wir unseren Kunden vorlegen?

Für Kunden, Partner und Auditoren ist die Prüfbescheinigung gedacht: Sie belegt den Test, ohne dass Sie den vollständigen Bericht herausgeben müssen. Verlangt ein Kunde dennoch Einblick in die Details, geben Sie den Bericht am besten nur unter einer Vertraulichkeitsvereinbarung weiter.

Was kostet ein SaaS-Penetrationstest?

Das hängt vom Prüfumfang ab: Wie viele Rollen und Mandantenfunktionen gibt es, wie groß ist die API, welche Integrationen und Cloud-Dienste gehören dazu – und soll als Grey- oder White-Box-Test geprüft werden? Nach einem kurzen Scoping erhalten Sie innerhalb von 24 Stunden (werktags) ein Festpreisangebot – ohne Nachforderungen für den vereinbarten Umfang.

Sprechen Sie mit uns über Ihre Plattform

Schildern Sie uns kurz Ihr Produkt, Ihre Architektur und Ihren Zeitplan. Wir melden uns mit einem Vorschlag für den passenden Prüfumfang – unverbindlich und vertraulich.

Mit * gekennzeichnete Felder sind Pflichtfelder.

Für Rückfragen oder einen Rückruf

Wir melden uns dazu bei Ihnen und unterzeichnen die Vertraulichkeitsvereinbarung auf Wunsch vor dem ersten Gespräch – gern auch auf Basis Ihrer eigenen Vorlage.

Wir verwenden Ihre Angaben ausschließlich zur Bearbeitung Ihrer Anfrage. Weitere Informationen finden Sie in unserer Datenschutzerklärung. Bitte senden Sie uns über dieses Formular keine Passwörter oder Zugangsdaten.