Fehlerhafte Zugriffskontrolle
Nutzende erreichen Daten oder Funktionen, die ihnen nicht zustehen – etwa fremde Bestellungen durch Ändern einer ID (IDOR) oder Admin-Funktionen ohne Adminrechte. Broken Access Control führt die OWASP Top 10 an.
Penetration Testing
Penetrationstest für Webanwendungen
Webshops · Portale · Online-Banking · SaaS
Ihre Webanwendung ist jederzeit erreichbar – auch für Angreifer. Mit einem Penetrationstest für Webanwendungen prüfen wir Webshops, Kundenportale, Online-Banking-Plattformen und SaaS-Anwendungen manuell auf ausnutzbare Schwachstellen – von der Zugriffskontrolle über Injection bis zur Geschäftslogik.
- Festpreis nach Scoping
- Kostenloser Retest
- Angebot in 24 h
Definition
Was ist ein Penetrationstest für Webanwendungen?
Ein Penetrationstest für Webanwendungen – auch Web Application Pentest genannt – ist eine kontrollierte Sicherheitsprüfung, bei der wir Ihre Anwendung so angreifen, wie es ein echter Angreifer tun würde: über den Browser, über manipulierte Anfragen und über die Schnittstellen im Hintergrund. Ziel ist es, ausnutzbare Schwachstellen zu finden, ihre tatsächlichen Auswirkungen zu belegen und Ihnen konkrete Wege zur Behebung aufzuzeigen.
Webanwendungen sind das digitale Schaufenster vieler Unternehmen und zugleich das Tor zu sensiblen Daten: Kundenkonten, Bestellungen, Zahlungsinformationen, Verträge oder Gesundheitsdaten. Weil sie öffentlich erreichbar sind, werden sie permanent automatisiert abgetastet. Oft genügt eine einzige fehlende Berechtigungsprüfung, um fremde Kundendaten auszulesen.
Automatisierte Scanner erkennen bekannte Muster wie veraltete Bibliotheken oder fehlende Security-Header. Viele der gefährlichsten Lücken stecken aber in der Logik Ihrer Anwendung: ein Gutschein, der sich beliebig oft einlösen lässt, ein Warenkorb, der negative Mengen akzeptiert, oder ein Freigabeschritt, den man überspringen kann. Solche Fehler findet nur, wer die Anwendung versteht – deshalb testen unsere Penetrationstester überwiegend manuell.
Ein Web-Pentest liefert zudem Nachweise für Compliance und Kundenanforderungen: für die regelmäßige Überprüfung der Sicherheitsmaßnahmen nach Art. 32 DSGVO, für ISO/IEC 27001:2022 (Anhang A, Maßnahmen 8.8 und 8.29), für PCI DSS 4.0.1 bei Kartenzahlungen sowie für Sicherheitsanforderungen in Ausschreibungen und Lieferantenbewertungen.
Unser Vorgehen
So testen wir Ihre Webanwendung
Wir orientieren uns am OWASP Web Security Testing Guide (WSTG) und am OWASP Application Security Verification Standard (ASVS) und ergänzen beide um anwendungsspezifische Testfälle. Bevor wir die erste Anfrage verändern, verstehen wir Ihre Anwendung: Welche Rollen gibt es, welche Daten sind schützenswert, welche Prozesse dürfen auf keinen Fall missbraucht werden?
Dann prüfen wir die Funktionen aus der Sicht aller vereinbarten Rollen – ohne Anmeldung, mit Kundenkonto, mit erweiterten Rechten für Mitarbeitende und mit Administrationsrechten. Mit einem abfangenden Proxy analysieren und manipulieren wir den Datenverkehr zwischen Browser und Server, testen Eingaben auf Injection, prüfen Sitzungen, Tokens und Datei-Uploads und versuchen, Berechtigungsgrenzen horizontal und vertikal zu überwinden.
Jeden Befund verifizieren wir manuell und belegen ihn – wo sinnvoll – mit einem kontrollierten Proof of Concept. So sieht Ihr Team genau, was ein Angreifer erreichen könnte – und verliert keine Zeit mit Fehlalarmen.
Typische Schwachstellen
Schwachstellen in Webanwendungen
Injection
Ungeprüfte Eingaben werden als Teil eines Befehls oder einer Datenbankabfrage ausgeführt. Über SQL-, Command- oder Template-Injection lesen Angreifer Datenbanken aus, verändern Datensätze oder führen Code auf dem Server aus.
Cross-Site Scripting (XSS)
Eingeschleuster JavaScript-Code läuft im Browser anderer Nutzender, übernimmt deren Sitzung, verändert Inhalte oder löst Aktionen in ihrem Namen aus.
Schwache Authentifizierung
Fehlender Schutz vor Brute Force und Credential Stuffing, umgehbare Zwei-Faktor-Authentifizierung oder Passwort-Reset-Links, die sich erraten oder mehrfach verwenden lassen.
Unsichere Sitzungsverwaltung
Vorhersagbare Session-IDs, fehlende Cookie-Attribute oder Sitzungen, die nach dem Logout gültig bleiben, ermöglichen Session Hijacking und Kontoübernahmen.
Fehler in der Geschäftslogik
Preise, Mengen oder Rabatte lassen sich manipulieren, Prozessschritte überspringen oder Limits per Race Condition umgehen – mit technisch völlig „korrekten“ Anfragen.
Server-Side Request Forgery (SSRF)
Die Anwendung ruft von außen übergebene URLs ab, etwa beim Bildimport. Angreifer erreichen so interne Systeme oder Cloud-Metadaten-Dienste mit hinterlegten Zugangsdaten.
Fehlkonfiguration & veraltete Komponenten
Offene Admin-Oberflächen, Debug-Modi, ausführliche Fehlermeldungen oder Plugins mit bekannten Schwachstellen – gerade bei Shopsystemen und CMS ein häufiger Einstieg.
Testschwerpunkte
Jede Webanwendung hat eigene Risiken
Ein Webshop wird anders angegriffen als ein Banking-Portal. Testfälle und Prüftiefe richten wir an Ihrer Anwendung aus.
Handel
Webshops & E-Commerce
Für die Webshop-Sicherheit zählen vor allem Warenkorb, Checkout und Kundenkonto – überall dort, wo Geld und personenbezogene Daten fließen.
- Preis-, Mengen- und Gutscheinmanipulation
- Zahlungsanbindung und Bestellstatus
- Eingebundene Skripte auf Zahlungsseiten (PCI DSS 4.0.1, Anf. 6.4.3)
Finanzen
Online-Banking & Finanzportale
Hier zählen die Integrität jeder Transaktion und der Schutz vor Kontoübernahmen.
- Starke Kundenauthentifizierung und Transaktionsfreigabe
- Manipulation von Beträgen, Empfängern und Limits
- Session-Sicherheit und Betrugsszenarien
Plattformen
Portale & SaaS-Anwendungen
Kunden-, Partner- und Beschäftigtenportale sowie SaaS-Frontends bedienen viele Nutzende – oft mehrere Mandanten auf einer Plattform.
- Mandantentrennung und Rollenmodelle
- Single Sign-on mit SAML und OpenID Connect
- Datei-Uploads, Exporte und Integrationen
Ablauf
Ablauf Ihres Web-Pentests
Vom Scoping bis zum Retest – klar geplant und eng mit Ihrem Team abgestimmt. Der Ablauf folgt unserem bewährten Vorgehen im Penetration Testing, ergänzt um webspezifische Schritte.
-
01
Scoping
Wir klären Anwendung, Umgebung, Rollen und besonders kritische Funktionen. Innerhalb von 24 Stunden (an Werktagen) erhalten Sie ein Festpreisangebot.
-
02
Vorbereitung
Sie stellen Testkonten für alle relevanten Rollen bereit und benennen eine Ansprechperson. Testzeitraum, Tabus und den Umgang mit Ihrer Web Application Firewall legen wir gemeinsam fest.
-
03
Analyse & Kartierung
Wir erfassen Funktionen, Parameter, Rollen und Datenflüsse und leiten daraus Testfälle ab – einschließlich der Missbrauchsszenarien Ihrer Geschäftsprozesse.
-
04
Manuelle Tests
Wir testen in Anlehnung an den OWASP WSTG, verifizieren jeden Befund manuell und zeigen anhand kontrollierter Nachweise, was ein Angreifer erreichen könnte. Kritische Schwachstellen melden wir sofort – noch während des Tests, telefonisch oder per E-Mail an die vereinbarte Ansprechperson.
-
05
Bericht & Abschlussbesprechung
Sie erhalten Management Summary, technische Befunde mit CVSS-Bewertung und Maßnahmenempfehlungen – auf Wunsch erläutert in einer Abschlussbesprechung mit Ihrem Entwicklungsteam.
-
06
Retest & Prüfbescheinigung
Behobene Schwachstellen prüfen wir kostenlos nach. Mit der Prüfbescheinigung belegen Sie den Test gegenüber Kunden, Partnern und Auditoren.
Ergebnisbericht
Ein Bericht für Management und Entwicklung
Der Bericht spricht zwei Zielgruppen an. Die Management Summary zeigt der Geschäftsführung auf wenigen Seiten, wie es um die Sicherheit der Anwendung steht und wo Handlungsbedarf besteht. Der technische Teil gibt Ihrem Entwicklungsteam alles an die Hand, um jede Schwachstelle nachzuvollziehen und zu beheben.
- Management Summary mit Gesamtbewertung und wichtigsten Handlungsfeldern
- Befunde mit Nachweisen wie Requests, Responses und Screenshots
- Risikobewertung nach CVSS und Zuordnung zu den OWASP-Kategorien
- Konkrete Maßnahmenempfehlungen für Entwicklung und Betrieb
- Kostenloser Retest der behobenen Schwachstellen
- Prüfbescheinigung nach Abschluss des Tests
Wie sicher ist Ihre Webanwendung wirklich?
Schildern Sie uns kurz Ihre Anwendung – nach dem Scoping erhalten Sie innerhalb von 24 Stunden ein Festpreisangebot.
FAQ
Häufige Fragen zum Penetrationstest für Webanwendungen
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was kostet ein Penetrationstest für eine Webanwendung?
Der Aufwand hängt vom Funktionsumfang, der Anzahl der Benutzerrollen, der Komplexität der Geschäftsprozesse und der Testperspektive ab. Besonders ins Gewicht fallen die Rollen: Berechtigungen müssen zwischen allen Rollen gegeneinander geprüft werden – horizontal wie vertikal. Nach einem kurzen Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein verbindliches Festpreisangebot – der kostenlose Retest ist bereits enthalten.
Testen Sie in der Produktion oder in einer Testumgebung?
Beides ist möglich. Ideal ist eine Staging-Umgebung, die der Produktion technisch entspricht – dort können wir auch tiefgreifende Tests durchführen, ohne echte Kundendaten zu berühren. Testen wir in der Produktion, stimmen wir Zeitfenster ab, verzichten auf destruktive Tests und arbeiten ausschließlich mit Testkonten und Testdaten.
Black Box, Grey Box oder White Box – was empfehlen Sie?
Für die meisten Webanwendungen empfehlen wir einen Grey-Box-Test mit Testkonten für jede Rolle. So prüfen wir in der verfügbaren Zeit auch die Bereiche hinter dem Login – dort, wo Zugriffskontrolle, Geschäftslogik und sensible Daten zusammenkommen. Ein Black-Box-Test zeigt, was ein anonymer Angreifer von außen erreicht; beim White-Box-Test erhalten wir zusätzlich Einblick in den Quellcode – ideal in Kombination mit einem Code Review.
Wann sollte eine Webanwendung getestet werden?
Spätestens vor dem Go-live, danach mindestens einmal jährlich und nach wesentlichen Änderungen – etwa einem neuen Checkout- oder Zahlungsprozess, einer neuen Login- oder SSO-Anbindung, einem Wechsel des Frameworks oder einer Umstellung der Hosting-Umgebung. Wer häufig ausrollt, sollte Sicherheitstests fest in den Entwicklungsprozess integrieren und Änderungen gezielt prüfen lassen.
Welche Standards legen Sie zugrunde?
Wir orientieren uns am OWASP Web Security Testing Guide, am Application Security Verification Standard (ASVS) und an den OWASP Top 10. Den organisatorischen Rahmen bildet das BSI-Durchführungskonzept für Penetrationstests. Jede Schwachstelle bewerten wir nach CVSS, damit Sie Befunde einheitlich priorisieren können.
Reicht eine Web Application Firewall nicht aus?
Eine Web Application Firewall blockiert viele bekannte Angriffsmuster, behebt aber keine Schwachstellen in Ihrer Anwendung. Fehler in der Zugriffskontrolle oder der Geschäftslogik bestehen aus völlig regulären Anfragen und passieren eine WAF in der Regel ungehindert; zudem lassen sich Filterregeln oft umgehen. Auf Wunsch testen wir deshalb mit und ohne WAF – so sehen Sie, wie sicher die Anwendung selbst ist.
Was benötigen Sie von uns für den Test?
In der Regel die URLs der Anwendung, Testkonten für alle relevanten Rollen, eine Ansprechperson und das vereinbarte Testfenster. Für White-Box-Tests kommen Quellcode oder Architekturunterlagen hinzu. Auf Wunsch schließen wir bereits vor dem Austausch sensibler Unterlagen eine Vertraulichkeitsvereinbarung ab.
Weiterführende Seiten
Lassen Sie Ihre Webanwendung testen
Nennen Sie uns Anwendung, Umfang und Wunschtermin. Wir stimmen den Prüfumfang mit Ihnen ab und senden Ihnen nach dem Scoping innerhalb von 24 Stunden ein Festpreisangebot – für Unternehmen in Deutschland und international.