# Wissen, welche Web- und API-Schwachstellen zuerst behoben werden müssen.

> Manuelle Web- und API-Penetrationstests mit Robert Ressl. Klarer Umfang, reproduzierbare Befunde, priorisierte Massnahmen und fokussierter Nachtest.

Safematix prüft manuell, wie Benutzer, Browser und API-Clients Zugriffsgrenzen überschreiten oder Anwendungsabläufe missbrauchen können. Ihr Team erhält reproduzierbare Befunde, eine praktikable Reihenfolge für die Behebung und einen fokussierten Nachtest – innerhalb eines schriftlich vereinbarten und ausdrücklich autorisierten Umfangs.

## Ein nützlicher Test beginnt mit Ihrer anstehenden Entscheidung.

Das Assessment ist eine abgegrenzte Prüfung einer Anwendung, keine pauschale Prüfung aller umliegenden Systeme. Es hilft, wenn eine Freigabe, ein Berechtigungsmodell oder eine Risikoentscheidung mehr Nachweise braucht als das Ergebnis eines Scanners.

### Vor Änderungen an Zugriffen oder Funktionen

Ein neuer Login-Ablauf, eine API, eine Rolle oder eine Geschäftsfunktion verändert die Nutzung Ihrer Anwendung. Safematix prüft die vereinbarten Änderungen und relevanten Angriffspfade. Entwicklungs- und Release-Verantwortliche erhalten damit Nachweise zu Schwächen, die für die nächste Entscheidung relevant sind.

### Wenn Kunden oder Rollen dieselbe Plattform nutzen

Ihre Anwendung trennt Kunden, Teams oder Berechtigungsstufen. Safematix prüft, ob diese Grenzen auf dem Server durchgesetzt werden und nicht nur in der Oberfläche. Dazu gehören Zugriffe auf fremde Objekte oder Funktionsaufrufe ausserhalb der zugewiesenen Rolle.

### Wenn eine Befundliste validiert werden muss

Sie haben Scanner-Ergebnisse, gemeldete Probleme oder Sicherheitsbedenken, deren Priorisierung schwierig ist. Safematix untersucht die vereinbarten Anwendungspfade und dokumentiert reproduzierbares Verhalten. So lassen sich nachgewiesene Schwächen, notwendige Voraussetzungen und praktische Auswirkungen von ungeprüften Warnmeldungen unterscheiden.

### Wenn andere Verantwortliche technische Nachweise benötigen

Kunden, Einkauf oder interne Risikoverantwortliche fragen, was geprüft wurde und was offenbleibt. Ein abgegrenzter Bericht schafft eine nachvollziehbare Grundlage aus Testabdeckung, Befunden und Nachtest-Ergebnissen. Der Penetrationstest wird dabei weder als Zertifizierung noch als rechtliche Zusicherung dargestellt.

## Die Kontrollen zwischen erlaubter Nutzung und Missbrauch prüfen.

Safematix verbindet manuelle Untersuchung mit unterstützenden Tools und orientiert sich an Rollen, Daten und Abläufen Ihrer Anwendung. Die Abdeckung wird risikobasiert vereinbart. Ein Fünftagespaket ist keine vollständige Prüfung jeder denkbaren Schwachstelle.

### Authentisierung und Sitzungsverhalten

Safematix untersucht Login, Sitzungslebenszyklus, Tokens und relevante Vertrauensgrenzen zwischen Browser und Server. Im Mittelpunkt steht, wie Zugriffe aufgebaut, aufrechterhalten und beendet werden. Dazu gehören Schwächen, die eine Wiederverwendung von Sitzungen oder das Umgehen eines vorgesehenen Authentisierungsschritts ermöglichen könnten.

### API-Autorisierung und Mandantentrennung

Safematix prüft, ob Objektzugriffe und privilegierte Funktionen für den tatsächlich anfragenden Benutzer autorisiert sind. Dabei prüft Safematix relevante Identifikatoren, Rollen und Mandantengrenzen. Eine ausgeblendete Funktion in der Oberfläche gilt nicht als Nachweis dafür, dass der zugehörige API-Aufruf geschützt ist.

### Geschäftslogik und missbrauchbare Abläufe

Safematix untersucht vereinbarte Workflows auf unsichere Zustandswechsel, fehlende Freigabeprüfungen und missbrauchbare Rollenkombinationen. Die Tests zeigen, ob einzeln gültige Requests zusammen ein unerwünschtes Geschäftsergebnis ermöglichen. Solche Fragen lassen sich nicht allein mit einem Schwachstellenscanner beantworten.

### Eingaben und betrieblicher Kontext

Safematix verfolgt relevante Eingabepfade, Fehlerbehandlung, Konfiguration und den Umgang mit Geheimnissen innerhalb der vereinbarten Anwendung. Host- oder Cloud-Einstellungen werden berücksichtigt, wenn sie zum betreffenden Angriffspfad gehören. Daraus entsteht jedoch keine unbegrenzte Prüfung der gesamten Infrastruktur.

## Ein Bericht für Behebung, Verantwortung und Überprüfung.

Die Ergebnisse sollen sowohl Entscheidungen als auch die technische Umsetzung unterstützen. Geprüfte Tatsachen werden von Annahmen getrennt, Grenzen der Testabdeckung bleiben sichtbar und für Massnahmen werden nachvollziehbare Prüfkriterien beschrieben.

### Leistungsumfang und Testabdeckung

Eine klare Übersicht erfasst Anwendung, API, Rollen, Umgebung und vereinbarte Rahmenbedingungen. Ausschlüsse und relevante Grenzen werden ausdrücklich festgehalten. Spätere Leser können damit erkennen, was untersucht wurde, und die Aussagen des Assessments nicht versehentlich auf ungeprüfte Systeme übertragen.

### Management-Zusammenfassung und Prioritäten

Eine kompakte Einordnung erklärt die wichtigsten Befunde, betroffenen Geschäftsfunktionen und Behebungsprioritäten. Nicht spezialisierte Verantwortliche erhalten eine verständliche Entscheidungsgrundlage. Die Voraussetzungen und Grenzen, die für die Bedeutung eines Befunds entscheidend sind, bleiben dabei erhalten.

### Reproduzierbare technische Befunde

Jeder Befund nennt betroffene Komponente, Rolle, Voraussetzungen sowie erwartetes und beobachtetes Verhalten. Ein geeigneter Request oder schonender Nachweis stützt das Ergebnis. Sensible Werte werden unkenntlich gemacht; belegte Auswirkungen werden von nicht getesteten möglichen Folgen unterschieden.

### Massnahmenliste und Debriefing

Die Befunde enthalten Ursache, einen praktikablen Behebungsweg und ein Prüfkriterium für die Änderung. Im Debriefing kann Ihr Team Auswirkungen und Verantwortlichkeiten klären. Die Entwicklung der Fixes bleibt bei Ihnen, sofern keine separate Implementierung vereinbart wurde.

### Fokussierter Nachtest und verbleibende Schwächen

Das Paket enthält einen fokussierten Nachtest innert 30 Tagen nach dem ersten Debriefing auf dem von Ihnen bereitgestellten aktualisierten Build oder der Konfiguration. Das Ergebnis dokumentiert behobene, teilweise behobene und offene Befunde, aktualisierte Nachweise sowie verbleibende Schwächen im erneut geprüften Umfang.

### Aufbau eines verwertbaren Befunds.

Nur ein illustratives Beispiel – kein reales Kundensystem, keine sensiblen Daten und keine Angaben zu einem tatsächlichen Auftrag.

- **Endpunkt:** GET /api/accounts/{id}
- **Test:** Zugriff zweier autorisierter Testbenutzer aus unterschiedlichen Mandanten vergleichen.
- **Nachweis:** Ein Benutzer aus Mandant A ruft ein harmloses Objekt aus Mandant B ab. Die API liefert das Objekt statt 403 Forbidden.
- **Auswirkung:** Datenexposition über Mandantengrenzen hinweg bei fehlender serverseitiger Eigentümerprüfung.
- **Massnahme:** Mandanten- und Objektautorisierung bei jedem Request erzwingen und mandantenübergreifende Autorisierungstests ergänzen.
- **Nachtest:** Mandantenübergreifende Identifikatoren und Varianten werden abgelehnt; automatisierte Autorisierungstests helfen, Regressionen zu erkennen.

## Forschung und Systemerfahrung mit nachvollziehbaren Quellen.

Roberts öffentliche Forschung, verlinkte Zertifizierungen und Systemerfahrung bieten konkrete Anknüpfungspunkte für ein technisches Gespräch. Sie ersetzen weder den vereinbarten Leistungsumfang noch Testzugriffe oder die Nachweise für Ihre eigene Anwendung.

### Kritische WordPress-Core-Forschung

Robert veröffentlichte eine kritische WordPress-Core-Schwachstelle mit Ursachenanalyse, reproduzierbaren Labornachweisen und Offenlegungsverlauf. Der Beitrag unterscheidet lokale Dateieinbindung von bedingter Codeausführung und dokumentiert die nötigen Betriebsbedingungen. Er behauptet nicht, dass jede WordPress-Installation unter denselben Voraussetzungen angreifbar war.

[WordPress-Forschung lesen](https://ressl.ch/blog/cve-2026-87902-wordpress/)

### Öffentlich verlinkte Security-Zertifizierungen

Roberts öffentliches Profil verlinkt unter anderem OSWE, OSEP, OSCP und CISSP. Die Nachweise lassen sich einzeln einsehen, statt lediglich einer Logo-Leiste zu vertrauen. Sie beschreiben den fachlichen Hintergrund; welche Teile Ihrer Anwendung tatsächlich geprüft wurden, dokumentiert der auftragsspezifische Bericht.

[Öffentliche Zertifizierungen ansehen](https://ressl.ch/#career)

### Systeme und Betriebszusammenhänge

Roberts veröffentlichter Hintergrund umfasst über 20 Jahre Systemerfahrung mit Linux, Hochverfügbarkeit, Cloud und Offensive Security. Dieser Hintergrund fliesst in die Betrachtung von Anwendungen innerhalb ihrer Betriebs- und Deployment-Umgebung ein, statt einzelne Endpunkte losgelöst von ihren technischen Abhängigkeiten zu behandeln.

[Roberts CV ansehen](https://ressl.ch/robert-ressl-cv.pdf)

## Abgrenzen. Prüfen. Erklären. Die Behebung überprüfen.

Safematix arbeitet direkt mit Ihrer technischen Kontaktperson. Schriftliche Autorisierung, eine nutzbare Testumgebung und klare betriebliche Grenzen sind Teil des Vorgehens und werden nicht erst beim Testbeginn vorausgesetzt.

### Testumfang festlegen und autorisieren

Safematix klärt Anwendung, API, Geschäftsziel und bis zu zwei Testrollen. Gemeinsam mit Ihnen vereinbart Safematix Umgebung, Zeitfenster, erlaubte Techniken, Umgang mit Nachweisen und Abbruchbedingungen. Vor jedem Test werden die schriftliche Autorisierung durch die Systemverantwortung und die benötigten Zugriffe bestätigt.

**Ergebnisse:**
- Schriftlicher Umfang mit Ziel- und Rollenübersicht
- Rules of Engagement und Autorisierung
- Zugriffs-, Kommunikations- und Eskalationsplan

**Ihr Beitrag:** Bestätigen Sie Eigentümerschaft, stellen Sie vereinbarte Testkonten und vorhandene API- oder Architekturunterlagen bereit und benennen Sie eine Kontaktperson für betriebliche Fragen.

### Relevante Angriffspfade untersuchen

Safematix prüft manuell über die vereinbarten Rollen, Requests und Abläufe hinweg und setzt unterstützende Tools dort ein, wo sie sinnvoll sind. Befunde werden mit geeigneten Nachweisen validiert. Tests bleiben innerhalb der autorisierten Grenzen; Last-, Stress- oder destruktive Techniken benötigen eine ausdrückliche Autorisierung.

**Ergebnisse:**
- Test- und Abdeckungsnotizen
- Validierte Befunde mit reproduzierbaren Nachweisen
- Meldungen kritischer Befunde, sofern vorhanden

**Ihr Beitrag:** Halten Sie vereinbarte Zugriffe verfügbar, beantworten Sie technische Fragen und informieren Sie über Releases oder Umgebungsänderungen, die den Test beeinflussen könnten.

### Berichten und Massnahmen planen

Safematix erläutert technischen und geschäftlichen Verantwortlichen die Befunde samt Auswirkungen, Ursachen, Behebungswegen und Prüfkriterien. Das Debriefing unterstützt Priorisierung und Verantwortungszuordnung. Dabei bleibt klar, dass das Assessment nicht automatisch einen Entwicklungsauftrag für die Umsetzung der Massnahmen enthält.

**Ergebnisse:**
- Technischer Bericht und Management-Zusammenfassung
- Priorisierte Massnahmenliste
- Debriefing und vereinbarte Prüfkriterien

**Ihr Beitrag:** Binden Sie Personen ein, die Auswirkungen bewerten und Fixes umsetzen können, bestätigen Sie Prioritäten und entscheiden Sie über den Umgang mit offenen Befunden.

### Nachtesten und Ergebnis festhalten

Ihr Team stellt den aktualisierten Build oder die Konfiguration für einen fokussierten Nachtest innert 30 Tagen nach dem ersten Debriefing bereit. Safematix wiederholt die relevanten Prüfungen und dokumentiert das Ergebnis. Zusätzliche Ziele, Rollen, Testabdeckung oder Nachtestrunden benötigen einen separat vereinbarten Umfang.

**Ergebnisse:**
- Ergebnis des fokussierten Nachtests
- Aktualisierter Befundstatus mit Nachweisen
- Verbleibende Risiken und nächste Massnahmen

**Ihr Beitrag:** Setzen Sie die vereinbarten Fixes um, benennen Sie den aktualisierten Build oder die Konfiguration und ermöglichen Sie geeignete Zugriffe innerhalb des Nachtestfensters.

## Eine Anwendung. Klarer Umfang und sichtbarer Preis.

Das Web- & API-Security-Assessment kostet CHF 9’800 für 5 Arbeitstage. Es umfasst eine Webanwendung mit zugehöriger API und bis zu zwei Rollen, manuelle Tests, einen priorisierten Bericht, Debriefing und einen fokussierten Nachtest. Zusätzliche Ziele oder eine weitergehende Infrastrukturprüfung erhalten einen separat vereinbarten Umfang.

### Web- & API-Security-Assessment — CHF 9’800

5 Arbeitstage

Ausnutzbare Schwachstellen in einer Webanwendung finden und in priorisierte, reproduzierbare Massnahmen übersetzen.

- Eine Webanwendung mit zugehöriger API und bis zu zwei Rollen
- Manuelle Tests, Nachweise und priorisierter Bericht
- Debriefing und ein fokussierter Nachtest innert 30 Tagen nach dem ersten Debriefing, auf Basis des vom Kunden bereitgestellten Builds oder der Konfiguration mit umgesetzten Behebungsmassnahmen

**Nicht enthalten:**
- Last-, Stress- oder destruktive Tests ohne ausdrückliche Autorisierung
- Remediation-Entwicklung oder zusätzliche Ziele und Rollen
- Mehr als ein fokussierter Nachtest

[Paket anfragen](https://safematix.com/de/?package=web-api-security#contact)

Flexible Mandate: CHF 2’200 pro Arbeitstag. Längere, klar definierte Remote-Projekte: CHF 2’000–2’100. Kurzfristige OT-, Red-Team- und Hochsicherheitseinsätze: CHF 2’400–2’600, nach Scope. Paketpreise entsprechen Fixpreis-Äquivalenten von CHF 1’850–2’100 pro Arbeitstag; der Tagessatz gilt, wenn sich der Umfang nicht im Voraus festlegen lässt.

Alle Paketpreise und Tagessätze verstehen sich exkl. allfälliger MwSt. sowie vorab genehmigter Reise- und Drittkosten, sofern nicht ausdrücklich im Auftragsformular enthalten. Fixpreispakete gelten im genannten Umfang. Scope, Autorisierung und Starttermin werden vor Arbeitsbeginn schriftlich vereinbart. Die Zuordnung zu regulatorischen Anforderungen erfolgt technisch und ist keine Rechtsberatung. Einsparungen und Compliance werden nicht zugesichert.

## Was vor dem Assessment geklärt sein sollte.

### Was umfasst das Fixpreispaket?

Das Web- & API-Security-Assessment kostet CHF 9’800 für 5 Arbeitstage. Abgedeckt sind eine Webanwendung mit zugehöriger API und bis zu zwei Rollen sowie manuelle Tests, Nachweise, ein priorisierter Bericht, Debriefing und ein fokussierter Nachtest. Zusätzliche Anwendungen, Ziele oder Rollen sind nicht stillschweigend enthalten, sondern werden separat vereinbart.

### Welche Zugriffe und Vorbereitungen benötigen Sie?

Safematix benötigt eine schriftliche Autorisierung durch die Systemverantwortung, eine technische Kontaktperson, vereinbarte Testkonten und vorhandene Architektur- oder API-Dokumentation. Der Leistungsumfang beschreibt zudem die Umgebung und wichtige Abläufe. Zugangsdaten und sensible technische Unterlagen gehören in den vereinbarten sicheren Kanal, nicht in die erste Nachricht über das Kontaktformular.

### Was unterscheidet das Assessment von einem automatisierten Scan?

Ein Scanner kann auf mögliche Probleme hinweisen, versteht aber Rollen, Eigentumsregeln und Geschäftsabläufe Ihrer Anwendung nicht vollständig. Safematix untersucht die vereinbarten Pfade manuell und validiert das relevante Verhalten. Der Bericht erklärt Voraussetzungen und Auswirkungen, statt jede Tool-Warnung als bestätigte Schwachstelle oder einen unauffälligen Scan als Sicherheitsbeweis darzustellen.

### Können Sie Produktion ohne Betriebsstörung testen?

Tests in der Produktion erfordern eine ausdrückliche Vereinbarung und Risikoprüfung. Eine gleichwertige Staging-Umgebung wird bevorzugt, wenn sie die benötigte Aussagekraft bietet. Die Rules of Engagement regeln Zeitfenster, Grenzen, Kontakte und Abbruchbedingungen. Kein Test kann jedes Betriebsrisiko ausschliessen. Last-, Stress- oder destruktive Tests erfolgen nicht ohne ausdrückliche Autorisierung.

### Beheben Sie die Probleme, und was enthält der Nachtest?

Das Paket enthält Behebungsempfehlungen, nicht die Entwicklung von Fixes. Ihr Team setzt Änderungen um und stellt den aktualisierten Build oder die Konfiguration bereit. Ein fokussierter Nachtest innert 30 Tagen nach dem ersten Debriefing prüft die relevanten Befunde und dokumentiert den Status behoben, teilweise behoben oder offen. Zusätzliche Ziele, Rollen oder Nachtestrunden werden separat vereinbart.

### Bescheinigt der Bericht Sicherheit oder Compliance?

Nein. Er dokumentiert den vereinbarten Umfang, die geprüften Bedingungen, Befunde und Grenzen zum Testzeitpunkt. Er kann Freigabe-, Risiko- und Kundengespräche unterstützen, garantiert aber weder das Auffinden jeder Schwachstelle noch formale Compliance. Er ist keine Zertifizierung und keine Rechtsberatung. Änderungen nach dem Test können eine weitere Prüfung erforderlich machen.

## Beschreiben Sie, was Ihre Anwendung schützen muss.

Nennen Sie Anwendung, Benutzergruppen und die anstehende Entscheidung. Gemeinsam mit Ihnen klärt Safematix daraus Testgrenzen und den passenden Einstieg. Für die erste Anfrage genügt eine allgemeine Übersicht. Bitte senden Sie keine Zugangsdaten, Produktionsgeheimnisse oder sensiblen Exploit-Details. Ich antworte persönlich, in der Regel innerhalb eines Arbeitstages (Mo–Fr, MEZ).

[Anwendung und Testumfang besprechen](https://safematix.com/de/?service=ethical-hacking#contact)