# Deine Web-App hat ein Login. Wir prüfen, was dahinter liegt.

> Ein Penetrationstest für Webanwendungen ist eine manuelle Sicherheitsprüfung einer Webanwendung und ihrer APIs. Die Tester suchen nach Schwachstellen in Authentifizierung, Session-Handling, Zugriffskontrolle (IDOR, BOLA, BFLA), Eingabeverarbeitung und Business-Logik und orientieren sich an den OWASP Top 10 und den OWASP API Security Top 10. Zyberum liefert CVSS-bewertete Findings mit Proof-of-Concept, Fixes und einem Nachtest zum Festpreis.

Manueller Webanwendung Penetrationstest inklusive API: Business-Logik, Zugriffskontrolle (IDOR, BOLA, BFLA), Login und OWASP Top 10. Zum Festpreis.

Source: https://zyberum.com/de/web-pentest

Scanner finden fehlende Header. Wir finden den Request, der die Daten eines anderen Kunden zurückgibt. Manuelle Tests für Webanwendungen und APIs, mit Beweis für jedes Finding und einem Fix, den deine Entwickler direkt umsetzen können.

## Wo Webanwendungen wirklich brechen

### Authentifizierung & Sessions

Login, Passwort-Reset, Multi-Faktor, Single Sign-on, Tokens und Session-Handling.

### Zugriffskontrolle

Kann Nutzer A die Daten von Nutzer B lesen oder ändern? IDOR, BOLA und BFLA sind die Findings mit der größten Auswirkung.

### Business-Logik

Schritte übersprungen, Preise geändert, Limits umgangen: die Lücken, die kein Scanner versteht.

### Injection & Eingabeverarbeitung

SQL- und Command-Injection, Cross-Site-Scripting, Server-Side Request Forgery, unsichere Deserialisierung.

### APIs

REST und GraphQL: zu viele Daten in der Antwort, Mass Assignment, fehlende Rate Limits, undokumentierte Endpunkte.

### Konfiguration

Offene Admin-Oberflächen, geschwätzige Fehlermeldungen, veraltete Komponenten und schwache Transportverschlüsselung.

## Die ernsten Findings sind Logik, nicht Syntax

Bei den IoT-Produkten, die wir zuletzt getestet haben, waren die schlimmsten Findings keine exotischen Exploits. Es waren API-Aufrufe, die einfach die Geräte anderer Kunden zurückgaben oder änderten, weil der Server einer ID im Request vertraute.

So eine Lücke fällt nur auf, wenn jemand versteht, was die Anwendung tun soll, und dann ausprobiert, was sie nicht erlauben dürfte. Genau damit verbringen wir unsere Zeit. Unsere selbst gehosteten KI-Modelle helfen uns, in derselben Zeit mehr Endpunkte abzudecken, und jedes Finding wird von einem Tester geprüft.

**Das bekommst du**

- Findings mit CVSS-Bewertung
- Request und Response als Beweis
- Ein konkreter Fix pro Finding
- Debrief mit deinen Entwicklern
- Nachtest nach dem Fix

## API-Lücken mit echten Folgen

## FAQ

**Testet ihr auf Produktion oder Staging?**

Am besten ist ein Staging-System mit produktionsnahen Daten, weil wir dort ohne Risiko für deine Nutzer testen können. Tests auf Produktion sind mit abgestimmten Grenzen möglich.

**Was braucht ihr von uns?**

Die URL, Test-Accounts für jede Rolle und die API-Dokumentation, falls es eine gibt. Für einen White-Box-Test zusätzlich Zugriff auf den Quellcode.

**Wie lange dauert ein Pentest für eine Webanwendung?**

In der Regel 5 bis 10 Testtage pro Anwendung, je nach Anzahl der Rollen und Funktionen.

---
Zyberum GmbH. Canonical page: https://zyberum.com/de/web-pentest