Vorgehensweise

1. Vorbereitung

   Zu Beginn besprechen wir wesentliche Kriterien wie Typ und Ziel des Audits, sowie organisatorische Maßnahmen mit Ihnen: Um welche Anwendungen geht es? Wie sollen diese betrachtet werden? Wer ist unsere Ansprechperson? Agieren wir als anonym Angreifende oder registrierte User? Diese und weitere Fragen entscheiden über das grundsätzliche Vorgehen, Black- oder Whiteboxtest bzw. Source Code Audit, die Aggressivität der Methoden oder deren Detektierbarkeit.
   Ziel ist, die Grundlagen eines erfolgreichen Audits zu schaffen.

2. Informationsbeschaffung

   In dieser Phase sammeln wir relevante Daten, um verwertbare Erkenntnisse zu gewinnen. Während dieser Phase erkunden wir Ihre Anwendung mit nicht invasiven Methoden. Um den Angriff vorzubereiten, analysieren unsere Analyst:innen die Anwendung aus Angreiferperspektive, identifizieren potenzielle Angriffsflächen und definieren geeignete Angriffsvektoren.
   Anschließend beginnen wir mit dem Scannen, um wichtige Eckdaten Ihrer Anwendung wie beispielsweise die Backend-Infrastruktur, eingesetzte Frameworks, Plug-ins und deren Versionsnummern sowie etwaige Konfigurationsmängel zu erfassen.

3. Analyse

   Aufbauend auf den so gewonnenen Informationen setzen wir eine Vielzahl an Testschritten und Tools ein, um ihre Web- oder Mobile-App eingehender zu überprüfen. Dabei werden die zuvor automatisiert ermittelten Informationen und Schwachstellen durch manuelle Tests verifiziert und ausgenutzt. Bei der Überprüfung Ihrer Systeme und Anwendungen analysieren wir verschiedene sicherheitskritische Aspekte, um potenzielle Schwachstellen und Risiken aufzudecken.

   Die Sicherheitsprüfung von Web- und Mobile-Anwendungen richtet sich nach den eingesetzten Technologien und Architekturen (z. B. REST, SOAP, JSON) sowie den funktionalen Komponenten der Anwendung.
   Typische Prüfaktivitäten umfassen:

   • Identifikation sicherheitsrelevanter Funktionen und Komponenten innerhalb der Anwendung
   • Bedrohungsmodellierung zur Erkennung potenzieller Angriffsvektoren, etwa unbefugter Zugriff, Rechteausweitung oder Datenmanipulation
   • Analyse spezifischer Schwachstellen wie unsicheres Session-Management oder Cross-Site Scripting (XSS)
   • Prüfung der Anwendungslogik auf potenzielle Missbrauchsmöglichkeiten
   • Sicherheitsbewertung der eingesetzten Webschnittstellen (z. B. REST-/SOAP-APIs)
   • Untersuchung der Web- und Backend-Infrastruktur auf Schwachstellen wie Pufferüberläufe, SQL- oder XML-/XPath-Injection sowie fehlerhafte (De-)Serialisierung

   Für die Sicherheitsanalyse kommen sowohl Tools als auch manuelle Testverfahren zum Einsatz.

   U. a. beziehen wir in unsere Prüfhandlungen auch die aktuelle OWASP Top 10 ein, welche die zehn häufigsten Sicherheitsrisiken in Anwendungen auflistet.

4. Reporting

   Sie erhalten eine ausführliche Dokumentation inklusive Management Summary, in der alle Ergebnisse verständlich und strukturiert aufbereitet sind.
   Jede identifizierte Schwachstelle wird im Detail beschrieben, nach ihrem Gefährdungspotenzial klassifiziert (z. B. gemäß CVSS) und mit konkreten Handlungsempfehlungen zur Behebung ergänzt. Das Reporting unterstützt IT- und Entwicklungsteams dabei, die Angriffsszenarien nachzuvollziehen und gezielte Sicherheitsmaßnahmen umzusetzen.

5. Cleaning

   Nach Abschluss des Auftrags entfernen unsere Analyst:innen alle Code Snippets, Skripte, Tools und Testdaten, die bei dem „Angriff“ eingesetzt wurden, sodass sie später bei einem realen Angriff von Dritten nicht mehr verwendet werden können. Sollte das eigenständige Aufräumen nicht möglich sein, informieren wir Sie anhand einer genauen Anleitung, wie Sie verbliebene Artefakte selbst entfernen können.