DAST einfach erklärt
DAST steht für „Dynamic Application Security Testing“, auf Deutsch etwa dynamische Anwendungssicherheitstests. „Dynamisch“ bedeutet: Die Anwendung läuft, während sie geprüft wird. Das Werkzeug verhält sich wie ein Besucher – allerdings wie ein sehr neugieriger, der in jedes Formularfeld ungewöhnliche Eingaben tippt und genau beobachtet, was passiert.
Man kann sich DAST wie einen Crashtest beim Auto vorstellen. Die Prüfer zerlegen nicht den Motor, sondern testen das fertige Fahrzeug unter realistischen Bedingungen. Das Gegenstück ist SAST: Dabei wird der Bauplan, also der Quellcode, untersucht, ohne die Anwendung zu starten.
Typische Einsatzgebiete sind Webanwendungen, Webshops und Programmierschnittstellen (APIs), über die Programme automatisiert Daten austauschen.
So funktioniert DAST
- Erkunden: Das Werkzeug ruft die Anwendung auf und folgt den Links, die es findet. So entsteht eine Art Lageplan mit allen Seiten, Formularen und Parametern – also den Werten, die eine Anwendung entgegennimmt.
- Angreifen: An jeder Eingabestelle sendet es präparierte Werte. Das sind etwa Sonderzeichen, die Datenbankabfragen stören können (SQL-Injection), oder Code-Schnipsel, die im Browser anderer Nutzender ausgeführt werden könnten (XSS).
- Beobachten: Es wertet die Antworten aus: verräterische Fehlermeldungen, auffällige Antwortzeiten oder eingeschleusten Code, der unverändert zurückkommt.
- Berichten: Am Ende steht eine Liste möglicher Schwachstellen mit Einstufung und Hinweisen zur Behebung.
Zusätzlich prüfen viele Werkzeuge die Konfiguration. Sie melden zum Beispiel fehlende Sicherheits-Header – Anweisungen, mit denen der Server dem Browser zusätzliche Schutzregeln vorgibt – oder veraltete Verschlüsselung. Weil DAST automatisiert läuft, lässt es sich fest in den Entwicklungsprozess einbauen und bei jeder neuen Version wiederholen.
Ein Beispiel aus der Praxis
Ein typisches Szenario: Ein Onlinehändler lässt vor jedem größeren Update seines Webshops einen DAST-Scan laufen. Der Scan meldet fehlende Sicherheits-Header und eine Suchfunktion, die für XSS anfällig ist. Das Entwicklungsteam behebt beides zügig.
Später deckt ein manueller Penetrationstest eine weitere Lücke auf: Wer im Kundenkonto die Bestellnummer in der Adresszeile ändert, sieht fremde Bestellungen samt Lieferadressen. Diesen Fehlertyp, IDOR genannt, hatte der Scanner nicht erkannt. Ihm fehlte das Wissen, welche Bestellung zu welchem Kundenkonto gehört.
Warum ist das für Unternehmen wichtig?
Webanwendungen sind rund um die Uhr aus dem Internet erreichbar und verarbeiten oft Kunden- oder Zahlungsdaten. DAST findet typische Fehler schnell und mit wenig Aufwand, und zwar bevor eine neue Version live geht. Das spart Geld und Ärger, denn ein früh entdeckter Fehler ist leichter zu beheben als einer, den ein Angreifer findet.
DAST hat aber klare Grenzen. Das Werkzeug testet nur, was es findet: Bereiche hinter komplexen Anmeldeverfahren oder mehrstufigen Abläufen bleiben oft unentdeckt. Es produziert Fehlalarme und übersieht Logikfehler – etwa wenn sich ein Rabattcode mehrfach einlösen lässt oder Berechtigungen falsch geprüft werden. Ein unauffälliges Scan-Ergebnis bedeutet deshalb nicht, dass eine Anwendung sicher ist.
Worauf Sie achten sollten
- Testumgebung nutzen: Aktive Scans können Datensätze anlegen, E-Mails auslösen oder Systeme belasten. Scannen Sie möglichst eine Testumgebung, die dem Livesystem entspricht.
- Angemeldet scannen: Hinterlegen Sie Testkonten, damit das Werkzeug auch geschützte Bereiche erreicht.
- Regelmäßig wiederholen: Binden Sie DAST in Ihren Entwicklungsprozess ein, etwa vor jeder neuen Version.
- Ergebnisse prüfen lassen: Fachleute sollten Funde bewerten und Fehlalarme aussortieren.
- Methoden kombinieren: Ergänzen Sie DAST durch SAST, Code Reviews – also Prüfungen des Quellcodes durch Fachleute – und manuelle Tests.
- Keine falsche Sicherheit: Ein Scan ersetzt keinen Penetrationstest, der auch Logik und Berechtigungen prüft.
Wie Rootsektor unterstützt
Bei Penetrationstests für Webanwendungen & Webshops setzen wir automatisierte Werkzeuge gezielt ein und konzentrieren uns dann auf das, was Scanner nicht leisten: Logikfehler, Berechtigungsprüfungen und verkettete Angriffe. Ihr Festpreisangebot erhalten Sie nach dem Scoping innerhalb von 24 Stunden (an Werktagen) über unser Pentest-Angebot; der Retest der behobenen Schwachstellen ist kostenlos.