WebApp-Pentest für Unternehmen: Schwachstellen und Angriffspfade erkennen
Manuelle Sicherheitstests nach OWASP – für SaaS-Plattformen, Kundenportale und individuelle Webanwendungen.
Kann ein angemeldeter Benutzer auf fremde Daten zugreifen? Lassen sich Rollen umgehen, Anfragen manipulieren oder Geschäftsprozesse missbrauchen? Mit einem WebApp-Pentest prüft yatesh, welche Schwachstellen in Ihrer Anwendung tatsächlich ausnutzbar sind und welche Risiken daraus entstehen. Statt eines reinen Scanner-Exports erhalten Sie nachvollziehbare technische Nachweise und priorisierte Maßnahmen.
Kostenloses Erstgespräch vereinbaren
WebApp-Pentest auf einen Blick
- Für wen? Unternehmen mit Webportalen, SaaS-Anwendungen, Webshops und geschäftskritischen Webanwendungen.
- Was wird geprüft? Authentifizierung, Berechtigungen, Session Management, Eingaben, Geschäftslogik und vereinbarte Schnittstellen.
- Wie? Kontrollierte manuelle Tests, unterstützt durch geeignete Tools und orientiert am OWASP Web Security Testing Guide.
- Ergebnis: Management Summary, technische Findings, Risikobewertung und konkrete Empfehlungen.
- Kosten: Ab 2.400 € netto bei zwei Projekttagen; der tatsächliche Aufwand richtet sich nach dem Scope.
Was ist ein WebApp-Pentest?
Ein WebApp-Pentest (Web Application Penetration Test) ist eine autorisierte Sicherheitsprüfung einer Webanwendung aus Angreiferperspektive. Dabei untersucht ein Penetrationstester, ob sich Sicherheitsmechanismen umgehen, sensible Informationen abrufen oder nicht vorgesehene Funktionen ausführen lassen. Im Unterschied zum automatisierten Schwachstellenscan werden auch individuelle Benutzerrollen, Mandantengrenzen und die Geschäftslogik der Anwendung manuell getestet.
Ein Web-Pentest eignet sich für öffentlich erreichbare Anwendungen ebenso wie für interne Portale, sofern die notwendigen Zugänge bereitgestellt werden. Geprüft wird ausschließlich der zuvor schriftlich vereinbarte Umfang.
Welche Schwachstellen untersuchen wir?
Authentifizierung und Session Management
Wir prüfen Login- und Passwort-Reset-Abläufe, Multi-Faktor-Authentifizierung, Sitzungen, Cookies sowie Token- und SSO-Verfahren. Die zentrale Frage lautet: Kann ein Angreifer eine Identität vortäuschen, eine Sitzung übernehmen oder eine Anmeldung umgehen?
Autorisierung, IDOR und Mandantentrennung
Wir testen, ob Benutzer nur auf die Daten und Funktionen zugreifen können, für die sie berechtigt sind. Dazu gehören Broken Access Control, Insecure Direct Object References (IDOR), Rechteausweitung sowie horizontale und vertikale Zugriffsprüfungen. Besonders relevant ist die Trennung zwischen Kundenunternehmen in mehrmandantenfähigen SaaS-Systemen.
Injection, XSS und weitere technische Schwachstellen
Je nach Technologie und Angriffsfläche untersuchen wir unter anderem SQL- und NoSQL-Injection, Cross-Site Scripting (XSS), Server-Side Request Forgery (SSRF), unsichere Datei-Uploads und fehlerhafte Eingabeverarbeitung. Auch die sichere Konfiguration von Cookies, HTTP-Headern, CORS und Fehlermeldungen kann Bestandteil der Prüfung sein.
Business Logic und Manipulation von Geschäftsprozessen
Ein technisch gültiger Request kann fachlich trotzdem unerlaubt sein. Wir prüfen deshalb beispielsweise, ob sich Preise, Freigaben, Statuswechsel oder Transaktionen manipulieren lassen. Auch Race Conditions, übersprungene Prozessschritte und der Missbrauch legitimer Funktionen können relevant sein. Solche Fehler sind häufig nur mit einem Verständnis der tatsächlichen Geschäftsprozesse erkennbar.
APIs und angebundene Systeme
Moderne Webanwendungen kommunizieren oft über REST- oder GraphQL-Schnittstellen mit Backend-Diensten. Sofern diese Bestandteil des Scopes sind, überprüfen wir relevante Endpunkte, serverseitige Berechtigungen und Datenflüsse. Bei umfangreichen Schnittstellen kann ein separater API-Pentest sinnvoll sein.
WebApp-Pentest oder automatisierter Schwachstellenscan?
Beide Verfahren sind nützlich, beantworten aber unterschiedliche Fragen:
| Schwachstellenscan | WebApp-Pentest |
|---|---|
| Erkennt bekannte technische Muster und Fehlkonfigurationen. | Untersucht, ob relevante Schwachstellen unter realistischen Bedingungen ausnutzbar sind. |
| Arbeitet weitgehend automatisiert. | Kombiniert Tools mit gezielter manueller Analyse. |
| Versteht individuelle Geschäftsabläufe nur begrenzt. | Testet Rollenmodelle, Mandantengrenzen und anwendungsspezifische Logik. |
| Liefert Hinweise, die überprüft werden müssen. | Dokumentiert verifizierte Befunde und – soweit nachweisbar – Angriffsketten. |
yatesh orientiert sich unter anderem am OWASP Web Security Testing Guide. OWASP ist dabei die methodische Grundlage, nicht das Versprechen, dass jeder denkbare Angriff innerhalb eines begrenzten Projekts ausgeschlossen werden kann.
Black Box, Grey Box oder White Box?
Beim Black-Box-Test werden wenige Informationen bereitgestellt; damit steht besonders die externe Angreiferperspektive im Vordergrund. Beim Grey-Box-Test erhält der Tester beispielsweise Konten mit unterschiedlichen Rollen und kann auch geschützte Bereiche und Berechtigungen untersuchen. Ein White-Box-Test nutzt darüber hinaus umfangreichere Architekturinformationen oder Quellcodezugang; eine vollständige Codeprüfung ist nur enthalten, wenn sie ausdrücklich vereinbart wurde.
Für Anwendungen mit mehreren Rollen oder Mandanten empfehlen wir häufig einen Grey-Box-Ansatz, damit die vorhandene Testzeit gezielt in sicherheitsrelevante Funktionen fließt.
So läuft ein WebApp-Pentest mit yatesh ab
- Scoping: Wir definieren Ziel-URLs, Funktionen, Benutzerrollen, Testkonten, Zeitfenster und ausdrücklich ausgeschlossene Verfahren.
- Angriffsflächenanalyse: Wir erfassen die für den Test relevanten Endpunkte, Workflows, Zugriffsgrenzen und Kommunikationswege.
- Manuelle Prüfung: Wir testen vereinbarte Angriffsszenarien und verifizieren mögliche Schwachstellen kontrolliert.
- Bewertung und Bericht: Wir priorisieren Findings nach Ausnutzbarkeit und Auswirkungen und dokumentieren technische Nachweise sowie Handlungsempfehlungen.
- Ergebnisbesprechung und optionaler Retest: Wir erläutern die Findings und prüfen auf Wunsch die umgesetzten Korrekturen gezielt nach.
Der Test erfolgt nach vereinbarten Rules of Engagement. Potenziell störende Prüfungen, produktive Datenänderungen, Lasttests und Angriffe außerhalb des Scopes werden nicht ohne gesonderte Freigabe durchgeführt.
Was steht im WebApp-Pentest-Bericht?
- Management Summary: Wesentliche Risiken und mögliche Auswirkungen auf Ihr Unternehmen.
- Scope und Methodik: Was wurde mit welchen Voraussetzungen geprüft – und was nicht?
- Technische Findings: Beschreibung, betroffene Funktionen, reproduzierbare Nachweise und Risikoeinstufung.
- Handlungsempfehlungen: Konkrete Ansätze zur Behebung und eine sinnvolle Priorisierung.
- Angriffspfade: Zusammenhänge zwischen Schwachstellen, soweit sie im Test nachgewiesen wurden.
So können Entwicklungsteams Probleme nachvollziehen und beheben, während IT-Leitung und Management eine belastbare Entscheidungsgrundlage erhalten.
Praxisbeispiel: Web-Schwachstelle mit Auswirkungen auf die Produktion
In einem zehntägigen Grey-Box-Pentest untersuchte yatesh eine KI-gestützte Anwendung zur Qualitätskontrolle in der Industrie. Zum Scope gehörten die Webanwendung, ihre API und die angebundenen Prozesse. Im Test ließ sich die Authentifizierung der Webanwendung unter bestimmten Voraussetzungen umgehen. Zudem konnte die Logik des Systems so manipuliert werden, dass einwandfreie statt fehlerhafter Produkte aussortiert wurden.
Der Fall zeigt, warum bei einem WebApp-Pentest nicht nur Standard-Schwachstellen, sondern auch Berechtigungen und Geschäftsprozesse geprüft werden sollten. Nach der Behebung bestätigte ein Retest die Schließung der kritischen und hohen Findings.
Zur anonymisierten Case Study: KI-Penetrationstest
Warum yatesh für Ihren WebApp-Pentest?
yatesh ist auf offensive IT-Sicherheitsprüfungen spezialisiert. Gründer Yakup Ateş verbindet die praktische Angreiferperspektive als OSCP+-zertifizierter Penetrationstester mit Erfahrung als Information Security Officer und ISO/IEC 27001 Lead Auditor. Sie sprechen direkt mit dem ausführenden technischen Ansprechpartner – vom Scoping bis zur Ergebnisbesprechung.
Unser Fokus: Keine möglichst lange Liste von Scanner-Meldungen, sondern nachvollziehbare Risiken, realistische Angriffspfade und Maßnahmen, die Ihre Teams umsetzen können.
Mehr über yatesh und die fachlichen Qualifikationen
Wann ist ein WebApp-Pentest sinnvoll?
Besonders sinnvoll ist eine Prüfung vor dem Produktivstart, vor größeren Releases, nach wesentlichen Änderungen an Login- oder Berechtigungsfunktionen und bei Anwendungen mit sensiblen Daten. Auch Kundenanforderungen, interne Sicherheitsrichtlinien oder Prozesse im Umfeld von ISO 27001 und NIS2 können ein Anlass sein. Ein Pentest allein ersetzt allerdings weder sichere Softwareentwicklung noch die Erfüllung aller Compliance-Anforderungen.
Was kostet ein WebApp-Pentest?
Bei yatesh beginnen Penetrationstests bei 2.400 € netto für zwei Projekttage. Der reguläre Tagessatz beträgt 1.200 € netto. Fünf Projekttage entsprechen beispielsweise 6.000 € netto. Welcher Umfang sinnvoll ist, hängt insbesondere von Funktionen, Rollen, Mandanten, Schnittstellen und gewünschter Prüftiefe ab.
Vor Projektbeginn erhalten Sie ein Angebot für den konkret vereinbarten Scope. Mehr zu Pentest-Kosten und Preisbeispielen.
WebApp-Pentest anfragen: Wissen, was wirklich angreifbar ist
Sie betreiben eine Webanwendung, ein Kundenportal oder eine SaaS-Plattform und möchten reale Sicherheitsrisiken verstehen? In einem unverbindlichen Erstgespräch klären wir den Scope, die geeignete Testmethodik und den voraussichtlichen Aufwand.
We hack to protect.