Kontakt
Telefon & 24/7-Notfall-Hotline+49 2932 465265-0 E-Mailinfo@rootsektor.deMo–Fr 08:00–17:00 Uhr · außerhalb der Geschäftszeiten: 24/7-Notfall-Hotline
Pentest-Angebot anfordern Notfall meldenPenetration Testing
REST · GraphQL · SOAP · gRPC
APIs verbinden Ihre Web- und Mobile-Apps mit Partnern, Zahlungsdienstleistern und Cloud-Diensten – und öffnen Angreifern oft den direkten Weg zu Ihren Daten. Mit einem API-Penetrationstest prüfen wir Ihre Schnittstellen manuell auf fehlerhafte Berechtigungen, schwache Authentifizierung und missbrauchbare Geschäftslogik, orientiert an den OWASP API Security Top 10.
Definition
Bei einem API-Penetrationstest prüfen wir Ihre Programmierschnittstellen (Application Programming Interfaces) gezielt auf ausnutzbare Schwachstellen. Dazu greifen wir die Endpunkte direkt an – ohne den Umweg über eine Benutzeroberfläche – und untersuchen, ob sich Authentifizierung, Berechtigungen, Eingabeverarbeitung oder Geschäftsprozesse missbrauchen lassen.
Kaum eine moderne Anwendung kommt ohne APIs aus. Sie versorgen Single-Page-Anwendungen und Mobile Apps mit Daten, binden Partner und Zahlungsdienstleister an, verbinden Microservices und stellen Open-Banking-Schnittstellen nach PSD2 bereit. Die Oberfläche zeigt dabei oft nur einen Ausschnitt dessen, was die API tatsächlich ausliefert – etwa vollständige Kundendatensätze, interne Felder oder Funktionen, die im Frontend gar nicht vorkommen.
Viele der kritischsten API-Schwachstellen entstehen nicht durch fehlende Eingabefilter, sondern durch fehlende Berechtigungsprüfungen auf Objekt-, Eigenschafts- und Funktionsebene. Ein Scanner kann nicht wissen, dass Konto A die Rechnungen von Konto B nicht sehen darf. Deshalb testen wir mit mehreren Benutzerkonten und Rollen gegeneinander – genau so, wie ein Angreifer mit einem regulär angelegten eigenen Konto vorgehen würde.
Verarbeiten Sie über APIs personenbezogene Daten, Zahlungen oder Gesundheitsdaten, liefert ein API-Pentest zudem einen wichtigen Nachweis: für die Wirksamkeitsprüfung nach Art. 32 DSGVO, für ISO/IEC 27001, PCI DSS 4.0.1 oder DORA – und gegenüber Kunden und Partnern, die sich auf die Sicherheit Ihrer Plattform verlassen.
Unser Vorgehen
Grundlage ist die Dokumentation Ihrer Schnittstelle, etwa eine OpenAPI- bzw. Swagger-Spezifikation, ein GraphQL-Schema, eine WSDL-Datei, Protobuf-Definitionen oder eine Postman-Collection. Fehlt sie, rekonstruieren wir die Endpunkte aus dem Datenverkehr Ihrer Web- oder Mobile-App und aus dem ausgelieferten JavaScript-Code.
Getestet wird mit mindestens zwei Konten pro Rolle, damit wir Zugriffe über Benutzer- und Mandantengrenzen hinweg systematisch prüfen können. Die Endpunkte im Prüfumfang untersuchen wir über ihre Methoden, Parameter und Objekt-IDs hinweg; Tokens wie JWT oder OAuth-Access-Tokens analysieren wir auf Signatur, Gültigkeit und Berechtigungsumfang.
Neben den OWASP API Security Top 10 (Ausgabe 2023) entwickeln wir individuelle Testfälle für Ihre Geschäftsprozesse. Denn die gefährlichsten Lücken stecken oft in Abläufen, die nur Ihre API so abbildet.
Typische Schwachstellen
Die API prüft nicht, ob das anfragende Konto auf ein bestimmtes Objekt zugreifen darf. Wer in einer Anfrage die Bestellnummer 1042 durch 1043 ersetzt, liest plötzlich fremde Daten – Platz 1 der OWASP API Security Top 10.
Fehlender Schutz vor Credential Stuffing, akzeptierte unsignierte JWTs („alg: none“), nie ablaufende Tokens oder API-Schlüssel im Code öffentlich verteilter Apps.
Die API liefert mehr Felder aus als nötig oder übernimmt ungeprüft zusätzliche Felder aus dem Request – etwa eine Rolle „admin“ (Mass Assignment).
Ohne Rate-Limits, Größen- und Paginierungsgrenzen drohen Brute-Force-Angriffe, massenhafter Datenabzug, Überlastung oder hohe Kosten bei kostenpflichtigen SMS-, E-Mail- oder KI-Diensten.
Administrative oder interne Funktionen sind für normale Konten erreichbar – oft genügt es, die HTTP-Methode zu wechseln oder einen Admin-Pfad zu erraten.
Prozesse wie Registrierung, Ticketkauf, Gutscheinvergabe oder Bewertungen lassen sich automatisiert in einem Ausmaß missbrauchen, das Ihrem Geschäft schadet.
Die API ruft übergebene URLs ab, etwa für Webhooks oder Dateiimporte. Angreifer erreichen darüber interne Dienste oder Cloud-Metadaten mit hinterlegten Zugangsdaten.
Vergessene Altversionen, Test-Endpunkte und undokumentierte „Schatten-APIs“ bleiben erreichbar – häufig ohne die Schutzmaßnahmen der aktuellen Version.
API-Technologien
Jede API-Technologie bringt eigene Angriffsflächen mit. Unsere Testfälle sind darauf abgestimmt.
Ressourcenorientiert
Der verbreitetste API-Stil – viele Endpunkte, viele Objekt-IDs und damit viele Stellen, an denen Berechtigungsprüfungen fehlen können.
Abfragesprache
Ein einziger Endpunkt, aber nahezu unbegrenzte Abfragemöglichkeiten – Berechtigungen müssen auf jedem Feld und in jedem Resolver greifen.
Enterprise & Microservices
XML-basierte Webservices in ERP-, Banken- und Verwaltungsumgebungen sowie gRPC für die Kommunikation zwischen Microservices.
Ablauf
Strukturiert, eng abgestimmt und mit nachvollziehbaren Ergebnissen – nach demselben bewährten Vorgehen wie alle Prüfungen im Penetration Testing.
Wir klären, welche APIs, Versionen und Umgebungen getestet werden, welche Rollen es gibt und welche Dokumentation vorliegt. Innerhalb von 24 Stunden (an Werktagen) erhalten Sie ein Festpreisangebot.
Sie stellen die Spezifikation sowie mindestens zwei Testkonten je Rolle bereit. Für Maschine-zu-Maschine-Schnittstellen benötigen wir API-Schlüssel oder Client-Zugangsdaten.
Wir erfassen alle Endpunkte, Objekte und Rollen und leiten aus Ihren Geschäftsprozessen konkrete Missbrauchsszenarien ab.
Wir prüfen die Endpunkte im Prüfumfang gegen die OWASP API Security Top 10 und Ihre individuellen Szenarien, verifizieren Befunde manuell und belegen sie mit Request und Response.
Sie erhalten Management Summary, technische Befunde mit CVSS-Bewertung und konkrete Maßnahmenempfehlungen – auf Wunsch erläutert in einer Abschlussbesprechung.
Behobene Schwachstellen prüfen wir kostenlos nach. Mit der Prüfbescheinigung belegen Sie den Test gegenüber Kunden, Partnern und Auditoren.
Ergebnisbericht
Für jede Schwachstelle dokumentieren wir den betroffenen Endpunkt, die verwendete Anfrage und die Antwort der API – so kann Ihr Entwicklungsteam jeden Befund direkt reproduzieren. Die Management Summary ordnet die Ergebnisse für die Geschäftsführung ein und zeigt, wo das größte Risiko liegt.
Lassen Sie prüfen, ob es wirklich verschlossen ist. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden ein Festpreisangebot.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Ein Web-Pentest prüft die Anwendung über den Browser – inklusive clientseitiger Risiken wie Cross-Site Scripting oder Clickjacking. Ein API-Pentest setzt direkt an den Endpunkten an und konzentriert sich auf Berechtigungen, Tokens, Datenfelder und Abläufe, auch für Schnittstellen ohne eigene Oberfläche wie Partner- oder Maschine-zu-Maschine-APIs. Hat Ihre Anwendung ein eigenes Frontend, lässt sich der API-Test gut mit einem Penetrationstest für Webanwendungen kombinieren.
Ideal sind eine aktuelle Spezifikation – etwa OpenAPI, GraphQL-Schema, WSDL oder Protobuf-Dateien – oder eine Postman-Collection, dazu mindestens zwei Testkonten je Rolle und gegebenenfalls API-Schlüssel. Auf Wunsch schließen wir bereits vor dem Austausch sensibler Unterlagen eine Vertraulichkeitsvereinbarung ab.
Ja. In einem Black-Box-Test rekonstruieren wir die Endpunkte aus dem Datenverkehr Ihrer Web- oder Mobile-App, aus ausgeliefertem JavaScript-Code und aus öffentlich auffindbaren Quellen. Das ist realistisch, kostet aber Testzeit, die bei einem Grey-Box-Test mit Dokumentation und Testkonten in die Tiefe fließt. Für die meisten APIs empfehlen wir deshalb den Grey-Box-Ansatz.
Der Aufwand richtet sich nach der Anzahl der Endpunkte bzw. Operationen, der Rollen und Authentifizierungsverfahren, der Komplexität der Geschäftslogik und der API-Technologie. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot – ohne Nachforderungen für den vereinbarten Umfang und einschließlich eines kostenlosen Retests.
Ja. Interne Schnittstellen testen wir wahlweise vor Ort oder remote – per VPN oder über ein bereitgestelltes Testsystem in Ihrem Netz. Dabei prüfen wir auch die Kommunikation zwischen Diensten – etwa Service-zu-Service-Authentifizierung, mTLS und das Vertrauen in interne Netze. Laufen Ihre Dienste in der Cloud, lässt sich der Test gut mit einem Cloud-Penetrationstest verbinden.
Ein API-Gateway übernimmt wichtige Aufgaben wie Authentifizierung, Rate-Limiting und Protokollierung. Ob Konto A auf das Objekt von Konto B zugreifen darf, entscheidet aber die Geschäftslogik hinter dem Gateway – genau dort entstehen BOLA, BOPLA und BFLA. Wir prüfen deshalb beides: die Gateway-Konfiguration und die Berechtigungslogik der Dienste dahinter.
Mindestens einmal jährlich sowie nach wesentlichen Änderungen – etwa neuen Endpunkten, einer neuen API-Version, geänderten Authentifizierungsverfahren oder neuen Integrationen. Bei häufigen Releases lohnt es sich, gezielte Tests der Änderungen fest in den Entwicklungsprozess einzuplanen.
Nennen Sie uns Ihre Schnittstellen, die eingesetzte Technologie und Ihren Wunschtermin. Wir stimmen den Prüfumfang mit Ihnen ab und senden Ihnen nach dem Scoping innerhalb von 24 Stunden ein Festpreisangebot – für Unternehmen in Deutschland und international.
This page is also available in English.