Penetrationstests und Sicherheitstests

Ich greife Ihre eigene Software mit Ihrer schriftlichen Erlaubnis an und suche, was ein Angreifer finden würde: anmelden ohne das richtige Passwort, an die Daten eines anderen Kunden kommen, einen Betrag in einer Bestellung ändern. Was gelingt, bekommen Sie schriftlich mit Beweis und mit der Prüfung, mit der Sie später nachweisen, dass es wirklich geschlossen ist.

Ein Pentest ist kein Scan mit schönerem Namen. Der Scan findet, was zu finden ist; danach kommt die Arbeit, die eine Maschine nicht leistet: Feststellungen verifizieren, damit Sie keinen Fehlalarm bekommen, einzelne Schwachstellen zu einer Angriffskette verknüpfen und beurteilen, was das für Ihren Betrieb bedeutet. Ich teste in drei Varianten, die sich darin unterscheiden, was Sie vorab herausgeben: nur Ihre Webadresse, zusätzlich ein Testkonto, oder zusätzlich den Quellcode. Je mehr ich sehe, desto mehr lässt sich testen — und genau deshalb legt sich ein echter Angreifer ebenfalls ein Konto an.