Penetrationstests & Sicherheitsaudits für SaaS — Extern, Webanwendung, Mobile, API und Cloud

Das hängt von Ihrer Angriffsfläche ab. Ein externer Netzwerk-Pentest (PTES-Methodik, NIST SP 800-115) deckt internetexponierte Infrastruktur ab — DNS, E-Mail, Perimeterdienste, exponierte Admin-Interfaces. Ein Webanwendungs-Pentest deckt Ihre Anwendungslogik ab und wird gegen OWASP ASVS (Application Security Verification Standard) L1 für opportunistische Bedrohungen, L2 für die meisten SaaS-Anwendungen mit sensiblen Daten, L3 für hochsicherheitsrelevante Bereiche (Gesundheitswesen, Fintech, Verteidigung) durchgeführt. Ein Mobile-Pentest folgt OWASP MASVS (Mobile ASVS) und umfasst Plattformkontrollen (iOS/Android), Netzwerk, Kryptografie, Auth und Codequalität. Ein API-Pentest folgt dem OWASP API Security Top 10 2023 (BOLA, Broken Auth, BOPLA, Unrestricted Resource Consumption usw.) und testet Authn/Authz auf Anforderungsebene. Ein Cloud-Konfigurations-Audit überprüft AWS/GCP/Azure gegen CIS Benchmarks plus den sicherheitsspezifischen Pfeiler des Well-Architected Framework des Anbieters. Die meisten SaaS-Unternehmen benötigen jährlich Webanwendung + API + Cloud-Konfiguration; Mobile zusätzlich, wenn Sie eine Mobile-App ausliefern.

Unsere leitenden Tester halten eine Kombination aus OSCP (Offensive Security Certified Professional — praktische 24-Stunden-Prüfung), OSCE/OSEP (fortgeschrittene Exploitation), CREST CRT/CCT (in der britischen Industrie anerkannt, akzeptiert von HMG und Bank of England CBEST) sowie CISSP für die Rolle des Senior-Beraters. Warum das wichtig ist: Ein OSCP-Inhaber hat nachweislich Multi-Host-Umgebungen unter Zeitdruck ausgenutzt; ein automatisierter Scanner nicht. Enterprise-Beschaffung, Bank of England CBEST, EU TIBER-EU und die meisten Cyberversicherungs-Underwriter verlangen heute namentlich genannte zertifizierte Tester in einem Engagement — nicht nur die Marketing-Aussage eines Unternehmens über ‘zertifizierte Fachleute’.

Jeder Befund wird nach CVSS v4.0 bewertet (der aktuelle FIRST-veröffentlichte Vektor, der Bedrohungs- und Umgebungsmetriken sowie die Safety/Automated/Recovery-Erweiterungen einschließt). Wir vergeben außerdem eine kontextbezogene geschäftliche Risikoeinstufung, da CVSS allein den Kontext der Mandantenisolierung und Datenklassifizierung übersieht. Der Bericht enthält: eine für den Vorstand lesbare Zusammenfassung, einen Methodikteil mit Verweis auf PTES-Phasen und die getesteten ASVS/MASVS/API-Top-10-Kapitel, einen Befundteil mit Reproduktionsschritten, CVSS-Vektor, Geschäftsauswirkung und priorisierter Sanierung, eine Angriffs-Narrative, die den Pfad eines Angreifers rekonstruiert, sowie einen Anhang mit Testnachweisen. Wir liefern außerdem einen als JIRA-importierbare CSV aufbereiteten Sanierungsplan.

Ja — jedes Engagement beinhaltet einen kostenlosen Nachtest innerhalb von 90 Tagen nach dem Bericht. Wir führen den Proof-of-Concept für jeden als Hoch und Kritisch eingestuften Befund erneut aus, verifizieren die Behebung und stellen ein sauberes Nachtest-Schreiben aus, das Sie an die Enterprise-Beschaffung oder einen Auditor weitergeben können. Nachtests außerhalb des Scopes (mehr als 90 Tage oder erweiterter Scope) werden mit 30% des ursprünglichen Engagements berechnet. Für kontinuierliche Sicherheitssicherung hält ein vierteljährliches Retainer die Tests in einem rollierenden Rhythmus mit kontinuierlichen Nachtests zwischen den Engagements.

SOC 2 erwartet einen regelmäßigen Pentest als Nachweis für CC4.1-Monitoring und CC7.1-Schwachstellenerkennung; unsere Berichte werden von jeder großen Wirtschaftsprüfungsgesellschaft akzeptiert. PCI DSS v4.0.1 Req 11.4.3 verlangt jährliche externe/interne Penetrationstests sowie nach wesentlichen Änderungen; Req 11.4.5 verlangt Segmentierungstests (jährlich für Händler, alle 6 Monate für Dienstleister). HIPAA nennt ‘Penetrationstest’ nicht explizit, §164.308(a)(8) verlangt jedoch regelmäßige technische Evaluierungen — Pentests sind der de-facto-Nachweis. EU AI Act Art. 15 verlangt Tests auf Genauigkeit, Robustheit und Cybersicherheit; DORA (Verordnung (EU) 2022/2554) schreibt bedrohungsgeleitete Penetrationstests (TLPT) für bedeutende Finanzinstitute ab Januar 2025 vor. Wir ordnen jeden Befund der entsprechenden Kontrolle zu, sodass der Bericht in Audits doppelten Nutzen hat.

Fester Scope, All-in-Preise in USD über vier Stufen. Ein grundlegender Schwachstellenscan läuft ab 700 $ (2–3 Tage): automatisiertes Scannen mit manueller Triage und einer priorisierten Fix-Liste. Ein App- oder Site-Pentest ab 1.400 $ (1–2 Wochen): eine einzelne Webanwendung oder Site, standardmäßig OWASP ASVS L2 mit authentifiziertem Multi-Rollen- und Geschäftslogik-Test. Ein externer Infrastruktur-Pentest ab 2.300 $ (1–2 Wochen): der internetseitige Perimeter nach PTES + NIST SP 800-115. Ein interner Netzwerk- oder umfassender Test ab 4.100 $ (2–4 Wochen): Multi-Surface Web/API/Mobile/Cloud mit Mandantenisolierungs- und Lateral-Movement-Tests. Ausschlaggebend für den Preis sind Scope-Größe, Anzahl der Angriffsflächen und das erforderliche Assurance-Niveau. Sie sehen das Budget als Einzelposten am Ende des Scopings und geben es frei, bevor der Test beginnt — kein Recruiting-Aufschlag, keine Tool-Zuschläge, und ein kostenloser Nachtest innerhalb von 90 Tagen ist in jeder Stufe enthalten.