01
Vorbereitung
Wir bestätigen Umfang, Freigabe und Testbedingungen und prüfen den Zugang zu Umgebung, Konten und Dokumentation.
Sicherheit von Anwendungen
Pentests für Anwendungen
Wir prüfen, ob Konten übernommen, fremde Daten abgerufen oder wichtige Anwendungsregeln umgangen werden können. Wir testen Webanwendungen und APIs im vereinbarten Umfang und erläutern die Befunde so, dass Ihr Team Korrekturen planen kann.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Anwendungssicherheit in der Praxis
Kundenportal, Mitarbeiteroberfläche und Partner-API können dieselben Daten auf unterschiedliche Weise zugänglich machen. Der Test umfasst vereinbarte Funktionen und Benutzerrollen, nicht nur die Anmeldung. Er unterstützt die Sicherheitsprüfung vor dem Start, nach Änderungen oder bei der Bewertung eines Anbieters.
Was wir untersuchen
Die Szenarien richten sich nach den Funktionen des Systems, den verarbeiteten Daten und der tatsächlichen Nutzung.
Konten und Berechtigungen
Wir prüfen, ob Nutzer Daten anderer Personen, Unternehmen oder Rollen einsehen oder verändern können. Auch der Zugriff auf administrative Funktionen wird untersucht.Anmeldung und Sitzungen
Wir testen die vereinbarten Verfahren für Anmeldung, Passwortzurücksetzung und zusätzliche Authentifizierung sowie die Verwaltung und Beendigung von Sitzungen.APIs und Datenverarbeitung
Wir untersuchen API-Zugriffskontrollen, Eingaben und Dateiverarbeitung, die Offenlegung von Informationen sowie die Begrenzung von Anfragen.Geschäftsprozesse
Wir prüfen anwendungsspezifische Abläufe wie Zahlungen, Bestellungen, Limits und Freigaben auf Möglichkeiten, die vereinbarten Regeln zu umgehen.Informationen für das Testteam
Das Modell stimmen wir mit Ihnen ab. Mehr Informationen verändern den möglichen Prüfumfang, garantieren aber nicht, dass jeder Fehler gefunden wird.
Ohne Konten und Dokumentation — Black-Box
Wir untersuchen die Anwendung aus externer Sicht anhand der im vereinbarten Umfang verfügbaren Informationen.Mit Konten und ausgewählten Unterlagen — Grey-Box
Wir vergleichen Funktionen und Daten für unterschiedliche Benutzerrollen und können bereitgestellte API-Dokumentation einbeziehen.Mit Quellcodezugriff — White-Box
Der vereinbarte Umfang kann Code, Architektur und Konfiguration einschließen. Vor Beginn bestimmen wir, welche Komponenten geprüft werden.Was Ihr Team erhält
Der Bericht bezieht sich auf eine konkrete Anwendungsversion und einen festgelegten Umfang. Er garantiert keine Fehlerfreiheit und ist kein Nachweis vollständiger Compliance des Unternehmens.
Nachvollziehbare Befunde
Betroffene Funktionen und Rollen, Voraussetzungen, Anfragen und Antworten oder andere Unterlagen zur Reproduktion eines bestätigten Problems.Risikobewertung und Empfehlungen
Technische Bewertung, Auswirkungen auf Daten und Prozesse sowie empfohlene Prioritäten. Die Empfehlungen besprechen wir mit dem für die Anwendung verantwortlichen Team.Zusammenfassung und nächste Schritte
Wesentliche Erkenntnisse für die Geschäftsleitung, Testgrenzen sowie Bereiche für Korrekturen und mögliche Nachprüfungen.Baseline — seit 10 Jahren regelmäßige Penetrationstests
Seit 10 Jahren führen wir regelmäßig Penetrationstests der Baseline-Plattform durch, die Geschäftsprozesse und Dokumentenabläufe unterstützt. Wir prüfen die Kundenmodule und den Administrationsbereich und verbinden automatisierte Tests mit einer detaillierten manuellen Prüfung. Nach der Umsetzung von Korrekturen überprüfen wir deren Wirksamkeit durch Retests. Unsere Arbeit unterstützt Baseline dabei, die Sicherheit der Plattform aufrechtzuerhalten und Audits von TÜV NORD Polska erfolgreich zu bestehen.ISO 27001 · TÜV NORD Polska
Das Informationssicherheitsmanagementsystem von Virtline ist durch TÜV NORD Polska zertifiziert. Das veröffentlichte Zertifikat nennt Geltungsbereich und Gültigkeit.
Virtline-Zertifikat ansehenSo läuft die Zusammenarbeit ab
Wir verbinden werkzeuggestützte Tests mit der manuellen Analyse von Funktionen, Berechtigungen und Abläufen.
02
Testdurchführung
Wir führen die vereinbarten Szenarien aus, analysieren Ergebnisse und überprüfen Schwachstellen kontrolliert. Wesentliche Einschränkungen dokumentieren wir im Bericht.
03
Ergebnisse besprechen
Wir übergeben den Bericht und erläutern die Befunde den technischen Teams und Entscheidungsverantwortlichen. Wir stimmen die Prioritäten der Korrekturen ab.
04
Änderungen prüfen
Sofern vereinbart, testen wir ausgewählte Schwachstellen nach der Behebung erneut und dokumentieren ihren Status sowie die Grenzen des Retests.
Praktischer Umfang
Was wir vor dem Test abstimmen
Wir benötigen eine Testfreigabe und klare Grenzen. Unterschiedliche Umgebungen und Rollen können eigene Szenarien erfordern.
Wir legen Adressen, Systemversion, betroffene APIs und Abhängigkeiten von anderen Anbietern fest. Wir stimmen ab, welche Maßnahmen im Produktivsystem zulässig sind.
Wir vereinbaren Testrollen und die Vorbereitung der Daten. Konten und Unterlagen werden über einen abgestimmten sicheren Kanal bereitgestellt.
Wir besprechen Abläufe, deren Missbrauch besonders schaden würde, etwa der Zugriff auf Kundendaten oder Zahlungsfreigaben.
Wir definieren zulässige Methoden, Limits, Termine, Kontakte und Abbruchbedingungen.
Testmethodik und Quellen
OWASP ASVS beschreibt Anforderungen zur Prüfung der Anwendungssicherheit, WSTG die Testszenarien. Umfang und Referenzversionen vereinbaren wir für die Anwendung und ihre APIs unter Berücksichtigung der Daten, Benutzerrollen und gemeinsam besprochenen Risiken. Die Rechtsquellen ergänzen den Kontext; sie ersetzen keine Testmethodik und ein Pentest belegt keine vollständige Compliance.
Quelle
OWASP ASVS
Anforderungen zur Prüfung von Sicherheitskontrollen in Anwendungen.
OWASP-Anforderungen ansehenQuelle
OWASP WSTG
Leitfaden für Testszenarien zur Sicherheit von Webanwendungen.
OWASP-Leitfaden ansehenQuelle
Verordnung (EU) 2016/679 — DSGVO
Amtlicher Text der Datenschutz-Grundverordnung in EUR-Lex.
Quelle öffnenQuelle
Richtlinie (EU) 2022/2555 — NIS2
Amtlicher Text der NIS2-Richtlinie in EUR-Lex.
Quelle öffnenQuelle
ISO — ISO/IEC 27001:2022
Offizielle Normseite mit den Anforderungen an ein Informationssicherheits-Managementsystem.
Quelle öffnenFragen zu Penetrationstests
Sind APIs eingeschlossen?
+
Ja, wenn sie zum vereinbarten Umfang gehören. Wir bestimmen Schnittstellen, Funktionen, Rollen und Daten für die Prüfung. API-Dokumentation und Testkonten helfen, Szenarien abzudecken, die allein im Browser nicht sichtbar sind.
Benötigen Sie Testkonten und Quellcode?
+
Nicht immer. Möglich sind Tests ohne Konten, Tests mit verschiedenen Benutzerrollen oder ein Umfang mit Code und Dokumentation. Das Modell hängt vom Ziel ab. Bereitgestellter Code bedeutet nicht automatisch, dass die gesamte Anwendung geprüft wird.
Können Sie eine laufende Anwendung testen?
+
Ein Test im Produktivsystem kann vereinbart werden; Risiken lassen sich jedoch nicht vollständig ausschließen. Wir definieren zulässige Maßnahmen, Zeiten, Einschränkungen und Abbruchbedingungen. Risikoreichere Szenarien erfordern gesonderte Absprachen oder eine Testumgebung.
Prüfen Sie nach den Korrekturen erneut?
+
Wir können ausgewählte Schwachstellen erneut testen. Umfang, Termin und Kosten vereinbaren wir im Angebot oder gesondert vor Beginn. Die Nachprüfung einzelner Korrekturen ersetzt keinen vollständigen Test einer neuen Anwendungsversion.
Besprechen wir den Test Ihrer Anwendung
Beschreiben Sie die Anwendung, zentrale Funktionen, Benutzerrollen und den API-Umfang. Nennen Sie eine verfügbare Testumgebung und den gewünschten Ergebnistermin. Die sichere Übermittlung von Zugangsdaten und vertraulichen Unterlagen stimmen wir gesondert ab.
Anwendungstest besprechen