Sicherheitsprüfung von Webanwendungen: Inhalt, Dauer und wann sie notwendig ist

Eine Sicherheitsprüfung für Webanwendungen ist eine fachgerechte Überprüfung, ob unbefugte Personen in Ihrer Anwendung auf Daten zugreifen können, die sie nicht sehen sollten, fremde Konten übernehmen oder Funktionalitäten missbrauchen können. Sie richtet sich an Onlineshops, Kundenportale, interne Tools und zunehmend auch an Anwendungen, die mithilfe von KI-Tools erstellt wurden.

TL;DR — Die wichtigsten Punkte

• Die Prüfung kontrolliert Login, Zugriffsrechte, Eingabeverarbeitung, Serverkonfiguration und Abhängigkeiten.
• Die Basis bildet die OWASP Top 10 Liste — die häufigsten Schwachstellen von Webanwendungen.
• Für eine kleinere Anwendung dauert die Prüfung in der Regel 2 bis 5 Arbeitstage.
• Das Ergebnis ist ein Bericht mit Schwachstellen, Risikobewertung und konkreten Korrekturvorschlägen.

Wann Sie eine Sicherheitsprüfung benötigen

• Vor der Veröffentlichung einer neuen Anwendung oder eines größeren Upgrades.
• Wenn die Anwendung personenbezogene Daten, Zahlungen oder Geschäftsgeheimnisse verarbeitet.
• Wenn die Anwendung schnell mit No-Code- oder KI-Tools erstellt wurde.
• Wenn dies vom Kunden, der Versicherung oder durch Compliance-Vorgaben gefordert wird (NIS2, ISO 27001).
• Nach einem Sicherheitsvorfall oder bei Verdacht darauf.

Was die Prüfung beinhaltet

Der Ablauf

1. Einführungsgespräch: Zweck der Anwendung, Benutzertypen, Umfang und Testumgebung.
2. Prüfung: Kombination aus automatisierten Tools und manuellen Tests.
3. Bericht: Jeder Befund mit Beweis, Risikobewertung und Korrekturvorschlag.
4. Präsentation: Wir erläutern die Ergebnisse dem Management und den Entwicklern.
5. Nachtest: Nach den Korrekturen prüfen wir, ob die Lücken geschlossen sind.

Wovon der Preis abhängt

Der Preis richtet sich nach der Größe der Anwendung, der Anzahl der Benutzerrollen, dem Umfang der APIs und ob die Prüfung auch die Infrastruktur umfasst. Eine kleinere Anwendung mit einem Benutzertyp ist wesentlich schneller geprüft als ein Portal mit mehreren Rollen und Integrationen. Eine Prüfung ist jedoch immer günstiger als ein Vorfall mit Abfluss von Kundendaten.

Sicherheit von KI-erstellten AnwendungenDie häufigsten Fehler in KI-generierten Anwendungen.

Häufig gestellte Fragen

Beeinträchtigt die Prüfung den Betrieb der Anwendung?

Wir führen die Prüfung vorsichtig durch, nach Absprache in einer Testumgebung oder außerhalb der Geschäftszeiten, daher sind die Auswirkungen minimal.

Benötigen Sie Zugriff auf den Quellcode?

Nicht zwingend. Eine Prüfung ist auch ohne Code möglich, mit Zugriff auf den Quellcode ist sie jedoch gründlicher.

Wie oft sollte die Prüfung wiederholt werden?

Bei jeder größeren Änderung und mindestens einmal jährlich für Anwendungen mit Kundendaten.