Cybersecurity & Penetration Testing

Manuelle Prüfung entlang OWASP, mit Befunden, die Ihre Entwickler direkt umsetzen können.

Wir prüfen Webanwendungen, APIs und Plattformen manuell entlang OWASP und berichten Befunde mit Reproduktionsschritten, Nachweisen und Gegenmaßnahmen, die zur Architektur passen. Unser Hintergrund liegt im Bau derselben Klasse von Systemen — darauf beruhen die Empfehlungen zur Behebung.

Zwei Formen der Zusammenarbeit. Eine abgegrenzte Prüfung eines definierten Systems mit Bericht und Nachtest. Oder Sicherheit als fester Bestandteil eines längeren Engineering-Engagements — Prüfungen in der Pipeline, Tests pro Release-Zyklus und Review neuer Angriffsfläche, während sie entsteht. Die zweite Form ist die, bei der Fehlerklassen tatsächlich aufhören wiederzukehren.

Zusammenarbeit. Längere Engagements, typischerweise 3–12 Monate, in Teil- oder Vollzeit. Remote oder vor Ort im Raum München. Deutsch und Englisch. Wir arbeiten in Ihrem Team und in Ihrem Repository, mit Verantwortung für einen Bereich von Anfang bis Ende.

Unsere Schwerpunkte in Cybersecurity

  • Webanwendungen und Plattformen
    Manuelle Prüfung über automatisierte Abdeckung hinaus: Mutation XSS, HTTP Request Smuggling, Session- und Token-Handling, fehlerhafte Authentifizierung und Autorisierung, Insecure Direct Object References und Logikfehler in mehrstufigen Abläufen.
  • APIs und Backends
    REST- und GraphQL-Endpunkte, Autorisierungsgrenzen, OAuth-Flows, Rate Limiting und Mandantentrennung in Multi-Tenant-Systemen.
  • Plattform und Infrastruktur
    Container- und Kubernetes-Konfiguration, Umgang mit Secrets, exponierte Dienste und Zugriffspfade über die CI/CD-Pipeline.
  • DevSecOps
    Automatisierte Sicherheitsprüfungen in der Pipeline, darunter OWASP ZAP, Dependency- und Secret-Scanning, Zugriffskontrollen und sichere API-Praxis. Wir haben das in einer laufenden Produktivplattform eingeführt — nicht nur von außen bewertet.
  • Bericht und Nachtest
    Befunde nach Ausnutzbarkeit und Auswirkung priorisiert, jeweils mit Reproduktionsschritten, Nachweis und konkreter Behebung; eine Zusammenfassung, die ohne Security-Hintergrund lesbar ist; ein Walkthrough mit Ihren Entwicklern; Verifikation, sobald die Fixes drin sind.
  • Umfang, Autorisierung und Vertraulichkeit
    Umfang und Autorisierung werden vor Beginn der Prüfung schriftlich vereinbart. Befunde bleiben vertraulich.

Referenz

  • P0-Schwachstelle in einer großen europäischen SaaS-Plattform
    Nutzersitzungen über Cross-Site Scripting kompromittierbar — von uns identifiziert und direkt und verantwortungsvoll an den CTO des Unternehmens gemeldet. Weitere praktische Arbeit mit mXSS, HTTP Request Smuggling und Web-Sicherheit auf Plattformebene.

Standards & Tooling: OWASP Top 10 · OWASP ZAP · manuelle Prüfung · DevSecOps in CI/CD (GitHub Actions, GitLab CI) · OAuth / JWT · Dependency- & Secret-Scanning · Docker · Kubernetes

Nennen Sie uns Plattform, Stack und Projektphase.

Sie erhalten einen Vorschlag zum Prüfumfang, bevor irgendetwas getestet wird.