WEBANWENDUNGEN · APIs · AUTORISIERTE TESTS
Safematix prüft manuell, wie Benutzer, Browser und API-Clients Zugriffsgrenzen überschreiten oder Anwendungsabläufe missbrauchen können. Ihr Team erhält reproduzierbare Befunde, eine praktikable Reihenfolge für die Behebung und einen fokussierten Nachtest – innerhalb eines schriftlich vereinbarten und ausdrücklich autorisierten Umfangs.
01 / PASSENDE SITUATIONEN
Das Assessment ist eine abgegrenzte Prüfung einer Anwendung, keine pauschale Prüfung aller umliegenden Systeme. Es hilft, wenn eine Freigabe, ein Berechtigungsmodell oder eine Risikoentscheidung mehr Nachweise braucht als das Ergebnis eines Scanners.
01
Ein neuer Login-Ablauf, eine API, eine Rolle oder eine Geschäftsfunktion verändert die Nutzung Ihrer Anwendung. Safematix prüft die vereinbarten Änderungen und relevanten Angriffspfade. Entwicklungs- und Release-Verantwortliche erhalten damit Nachweise zu Schwächen, die für die nächste Entscheidung relevant sind.
02
Ihre Anwendung trennt Kunden, Teams oder Berechtigungsstufen. Safematix prüft, ob diese Grenzen auf dem Server durchgesetzt werden und nicht nur in der Oberfläche. Dazu gehören Zugriffe auf fremde Objekte oder Funktionsaufrufe ausserhalb der zugewiesenen Rolle.
03
Sie haben Scanner-Ergebnisse, gemeldete Probleme oder Sicherheitsbedenken, deren Priorisierung schwierig ist. Safematix untersucht die vereinbarten Anwendungspfade und dokumentiert reproduzierbares Verhalten. So lassen sich nachgewiesene Schwächen, notwendige Voraussetzungen und praktische Auswirkungen von ungeprüften Warnmeldungen unterscheiden.
04
Kunden, Einkauf oder interne Risikoverantwortliche fragen, was geprüft wurde und was offenbleibt. Ein abgegrenzter Bericht schafft eine nachvollziehbare Grundlage aus Testabdeckung, Befunden und Nachtest-Ergebnissen. Der Penetrationstest wird dabei weder als Zertifizierung noch als rechtliche Zusicherung dargestellt.
02 / LEISTUNGEN
Safematix verbindet manuelle Untersuchung mit unterstützenden Tools und orientiert sich an Rollen, Daten und Abläufen Ihrer Anwendung. Die Abdeckung wird risikobasiert vereinbart. Ein Fünftagespaket ist keine vollständige Prüfung jeder denkbaren Schwachstelle.
01
Safematix untersucht Login, Sitzungslebenszyklus, Tokens und relevante Vertrauensgrenzen zwischen Browser und Server. Im Mittelpunkt steht, wie Zugriffe aufgebaut, aufrechterhalten und beendet werden. Dazu gehören Schwächen, die eine Wiederverwendung von Sitzungen oder das Umgehen eines vorgesehenen Authentisierungsschritts ermöglichen könnten.
02
Safematix prüft, ob Objektzugriffe und privilegierte Funktionen für den tatsächlich anfragenden Benutzer autorisiert sind. Dabei betrachten wir relevante Identifikatoren, Rollen und Mandantengrenzen. Eine ausgeblendete Funktion in der Oberfläche gilt nicht als Nachweis dafür, dass der zugehörige API-Aufruf geschützt ist.
03
Safematix untersucht vereinbarte Workflows auf unsichere Zustandswechsel, fehlende Freigabeprüfungen und missbrauchbare Rollenkombinationen. Die Tests zeigen, ob einzeln gültige Requests zusammen ein unerwünschtes Geschäftsergebnis ermöglichen. Solche Fragen lassen sich nicht allein mit einem Schwachstellenscanner beantworten.
04
Safematix verfolgt relevante Eingabepfade, Fehlerbehandlung, Konfiguration und den Umgang mit Geheimnissen innerhalb der vereinbarten Anwendung. Host- oder Cloud-Einstellungen werden berücksichtigt, wenn sie zum betreffenden Angriffspfad gehören. Daraus entsteht jedoch keine unbegrenzte Prüfung der gesamten Infrastruktur.
03 / ERGEBNISSE
Die Ergebnisse sollen sowohl Entscheidungen als auch die technische Umsetzung unterstützen. Geprüfte Tatsachen werden von Annahmen getrennt, Grenzen der Testabdeckung bleiben sichtbar und für Massnahmen werden nachvollziehbare Prüfkriterien beschrieben.
01
Eine klare Übersicht erfasst Anwendung, API, Rollen, Umgebung und vereinbarte Rahmenbedingungen. Ausschlüsse und relevante Grenzen werden ausdrücklich festgehalten. Spätere Leser können damit erkennen, was untersucht wurde, und die Aussagen des Assessments nicht versehentlich auf ungeprüfte Systeme übertragen.
02
Eine kompakte Einordnung erklärt die wichtigsten Befunde, betroffenen Geschäftsfunktionen und Behebungsprioritäten. Nicht spezialisierte Verantwortliche erhalten eine verständliche Entscheidungsgrundlage. Die Voraussetzungen und Grenzen, die für die Bedeutung eines Befunds entscheidend sind, bleiben dabei erhalten.
03
Jeder Befund nennt betroffene Komponente, Rolle, Voraussetzungen sowie erwartetes und beobachtetes Verhalten. Ein geeigneter Request oder schonender Nachweis stützt das Ergebnis. Sensible Werte werden unkenntlich gemacht; belegte Auswirkungen werden von nicht getesteten möglichen Folgen unterschieden.
04
Die Befunde enthalten Ursache, einen praktikablen Behebungsweg und ein Prüfkriterium für die Änderung. Im Debriefing kann Ihr Team Auswirkungen und Verantwortlichkeiten klären. Die Entwicklung der Fixes bleibt bei Ihnen, sofern keine separate Implementierung vereinbart wurde.
05
Das Paket enthält einen fokussierten Nachtest innert 30 Tagen nach dem ersten Debriefing auf dem von Ihnen bereitgestellten aktualisierten Build oder der Konfiguration. Das Ergebnis dokumentiert behobene, teilweise behobene und offene Befunde, aktualisierte Nachweise sowie verbleibende Schwächen im erneut geprüften Umfang.
04 / ERFAHRUNG
Roberts öffentliche Forschung, verlinkte Credentials und Systemerfahrung bieten konkrete Anknüpfungspunkte für ein technisches Gespräch. Sie ersetzen weder den vereinbarten Leistungsumfang noch Testzugriffe oder die Nachweise für Ihre eigene Anwendung.
Robert veröffentlichte eine kritische WordPress-Core-Schwachstelle mit Ursachenanalyse, reproduzierbaren Labornachweisen und Offenlegungsverlauf. Der Beitrag unterscheidet lokale Dateieinbindung von bedingter Codeausführung und dokumentiert die nötigen Betriebsbedingungen. Er behauptet nicht, dass jede WordPress-Installation unter denselben Voraussetzungen angreifbar war.
WordPress-Forschung lesenRoberts öffentliches Profil verlinkt unter anderem OSWE, OSEP, OSCP und CISSP. Die Nachweise lassen sich einzeln einsehen, statt lediglich einer Logo-Leiste zu vertrauen. Sie beschreiben den fachlichen Hintergrund; welche Teile Ihrer Anwendung tatsächlich geprüft wurden, dokumentiert der auftragsspezifische Bericht.
Öffentliche Credentials ansehenRoberts veröffentlichter Hintergrund umfasst über 20 Jahre Systemerfahrung mit Linux, Hochverfügbarkeit, Cloud und Offensive Security. Dieser Hintergrund fliesst in die Betrachtung von Anwendungen innerhalb ihrer Betriebs- und Deployment-Umgebung ein, statt einzelne Endpunkte losgelöst von ihren technischen Abhängigkeiten zu behandeln.
Roberts CV ansehen05 / Vorgehen
Safematix arbeitet direkt mit Ihrer technischen Kontaktperson. Schriftliche Autorisierung, eine nutzbare Testumgebung und klare betriebliche Grenzen sind Teil des Vorgehens und werden nicht erst beim Testbeginn vorausgesetzt.
Safematix klärt Anwendung, API, Geschäftsziel und bis zu zwei Testrollen. Gemeinsam vereinbaren wir Umgebung, Zeitfenster, erlaubte Techniken, Umgang mit Nachweisen und Abbruchbedingungen. Vor jedem Test werden die schriftliche Autorisierung durch die Systemverantwortung und die benötigten Zugriffe bestätigt.
Ihr Beitrag Bestätigen Sie Eigentümerschaft, stellen Sie vereinbarte Testkonten und vorhandene API- oder Architekturunterlagen bereit und benennen Sie eine Kontaktperson für betriebliche Fragen.
Safematix prüft manuell über die vereinbarten Rollen, Requests und Abläufe hinweg und setzt unterstützende Tools dort ein, wo sie sinnvoll sind. Befunde werden mit geeigneten Nachweisen validiert. Tests bleiben innerhalb der autorisierten Grenzen; Last-, Stress- oder destruktive Techniken benötigen eine ausdrückliche Autorisierung.
Ihr Beitrag Halten Sie vereinbarte Zugriffe verfügbar, beantworten Sie technische Fragen und informieren Sie über Releases oder Umgebungsänderungen, die den Test beeinflussen könnten.
Safematix erläutert technischen und geschäftlichen Verantwortlichen die Befunde samt Auswirkungen, Ursachen, Behebungswegen und Prüfkriterien. Das Debriefing unterstützt Priorisierung und Verantwortungszuordnung. Dabei bleibt klar, dass das Assessment nicht automatisch einen Entwicklungsauftrag für die Umsetzung der Massnahmen enthält.
Ihr Beitrag Binden Sie Personen ein, die Auswirkungen bewerten und Fixes umsetzen können, bestätigen Sie Prioritäten und entscheiden Sie über den Umgang mit offenen Befunden.
Ihr Team stellt den aktualisierten Build oder die Konfiguration für einen fokussierten Nachtest innert 30 Tagen nach dem ersten Debriefing bereit. Safematix wiederholt die relevanten Prüfungen und dokumentiert das Ergebnis. Zusätzliche Ziele, Rollen, Testabdeckung oder Nachtestrunden benötigen einen separat vereinbarten Umfang.
Ihr Beitrag Setzen Sie die vereinbarten Fixes um, benennen Sie den aktualisierten Build oder die Konfiguration und ermöglichen Sie geeignete Zugriffe innerhalb des Nachtestfensters.
06 / PAKETE
Das Web- & API-Security-Assessment kostet CHF 9’800 für 5 Arbeitstage. Es umfasst eine Webanwendung mit zugehöriger API und bis zu zwei Rollen, manuelle Tests, einen priorisierten Bericht, Debriefing und einen fokussierten Nachtest. Zusätzliche Ziele oder eine weitergehende Infrastrukturprüfung erhalten einen separat vereinbarten Umfang.
AUTORISIERTES TESTEN
CHF 9’800
5 Arbeitstage
Ausnutzbare Schwachstellen in einer Webanwendung finden und in priorisierte, reproduzierbare Massnahmen übersetzen.
Flexible Mandate: CHF 2’200 pro Arbeitstag. Längere, klar definierte Remote-Projekte: CHF 2’000–2’100. Kurzfristige OT-, Red-Team- und Hochsicherheitseinsätze: CHF 2’400–2’600, nach Scope.
Alle Paketpreise und Tagessätze verstehen sich exkl. allfälliger MwSt. sowie vorab genehmigter Reise- und Drittkosten, sofern nicht ausdrücklich im Auftragsformular enthalten. Fixpreispakete gelten im genannten Umfang. Scope, Autorisierung und Starttermin werden vor Arbeitsbeginn schriftlich vereinbart. Technische Regulierungszuordnung, keine Rechtsberatung. Keine Zusage von Einsparungen oder Compliance.
07 / FAQ
Das Web- & API-Security-Assessment kostet CHF 9’800 für 5 Arbeitstage. Abgedeckt sind eine Webanwendung mit zugehöriger API und bis zu zwei Rollen sowie manuelle Tests, Nachweise, ein priorisierter Bericht, Debriefing und ein fokussierter Nachtest. Zusätzliche Anwendungen, Ziele oder Rollen sind nicht stillschweigend enthalten, sondern werden separat vereinbart.
Safematix benötigt eine schriftliche Autorisierung durch die Systemverantwortung, eine technische Kontaktperson, vereinbarte Testkonten und vorhandene Architektur- oder API-Dokumentation. Der Leistungsumfang beschreibt zudem die Umgebung und wichtige Abläufe. Zugangsdaten und sensible technische Unterlagen gehören in den vereinbarten sicheren Kanal, nicht in die erste Nachricht über das Kontaktformular.
Ein Scanner kann auf mögliche Probleme hinweisen, versteht aber Rollen, Eigentumsregeln und Geschäftsabläufe Ihrer Anwendung nicht vollständig. Safematix untersucht die vereinbarten Pfade manuell und validiert das relevante Verhalten. Der Bericht erklärt Voraussetzungen und Auswirkungen, statt jede Tool-Warnung als bestätigte Schwachstelle oder einen unauffälligen Scan als Sicherheitsbeweis darzustellen.
Tests in der Produktion erfordern eine ausdrückliche Vereinbarung und Risikoprüfung. Eine gleichwertige Staging-Umgebung wird bevorzugt, wenn sie die benötigte Aussagekraft bietet. Die Rules of Engagement regeln Zeitfenster, Grenzen, Kontakte und Abbruchbedingungen. Kein Test kann jedes Betriebsrisiko ausschliessen. Last-, Stress- oder destruktive Tests erfolgen nicht ohne ausdrückliche Autorisierung.
Das Paket enthält Behebungsempfehlungen, nicht die Entwicklung von Fixes. Ihr Team setzt Änderungen um und stellt den aktualisierten Build oder die Konfiguration bereit. Ein fokussierter Nachtest innert 30 Tagen nach dem ersten Debriefing prüft die relevanten Befunde und dokumentiert den Status behoben, teilweise behoben oder offen. Zusätzliche Ziele, Rollen oder Nachtestrunden werden separat vereinbart.
Nein. Er dokumentiert den vereinbarten Umfang, die geprüften Bedingungen, Befunde und Grenzen zum Testzeitpunkt. Er kann Freigabe-, Risiko- und Kundengespräche unterstützen, garantiert aber weder das Auffinden jeder Schwachstelle noch formale Compliance. Er ist keine Zertifizierung und keine Rechtsberatung. Änderungen nach dem Test können eine weitere Prüfung erforderlich machen.
08 / Kontakt
Nennen Sie Anwendung, Benutzergruppen und die anstehende Entscheidung. Gemeinsam klären wir daraus Testgrenzen und den passenden Einstieg. Für die erste Anfrage genügt eine allgemeine Übersicht. Bitte senden Sie keine Zugangsdaten, Produktionsgeheimnisse oder sensiblen Exploit-Details.
Anwendung und Testumfang besprechen