Penetrationstest für Webanwendungen, mobile Apps, APIs und Cloud

Wir testen Ihre Anwendung so, wie ein Angreifer es täte. Agenten, die wir selbst gebaut haben, führen Tausende Tests parallel aus. Unsere Fachleute prüfen jeden Befund, verfolgen den Angriffspfad und entwickeln den Fix bis in den Code. Gebaut für SaaS-Unternehmen, Startups und Softwareanbieter.

Was wir testen

Ein Auftrag kann jede Oberfläche abdecken, die ein Unternehmen betreibt:

Webanwendungen und ihre Backends.
Mobile Apps für Android und iOS.
APIs, REST und GraphQL.
Cloud-Umgebungen auf AWS und Azure.
Infrastruktur und die externe Angriffsfläche.

So läuft ein Auftrag

Agenten übernehmen den breiten Teil: Tausende parallele Tests über Code, Konfiguration und Netzwerkverhalten. Fachleute übernehmen, wo Zusammenhang zählt. Sie bestätigen jeden Befund mit einem Proof of Concept, verfolgen, wie sich ein Angreifer durch das System bewegen würde, und ordnen die Folgen ein. Wir testen nur Systeme, die Ihnen gehören oder die Sie testen dürfen.

Was Sie erhalten

Einen schriftlichen Bericht mit den Belegen zu jedem Befund, einer CVSS-Bewertung, dem Angriffspfad und Hinweisen zur Behebung. Ab dem Plan Growth entwickeln wir den Fix selbst bis in den betroffenen Code und prüfen ihn erneut. Der Bericht ist ein technischer Beleg und kein Zertifikat.

Belege aus geprüfter Software

Das öffentliche Verzeichnis führt 387+ geprüfte Apps und 262+ kritische Befunde. Diese vollständigen Berichte zeigen, wie wir unsere Funde dokumentieren:

SAP: Ein chinesisches Push-SDK in einer Außendienst-App und hartkodierte Firebase-Schlüssel in fünf Apps.
Nike: Entwicklungs- und Produktiv-Push-Zugangsdaten hartkodiert im ausgelieferten Build.
Strava: Ein hartkodierter Schlüssel und eine Sicherheitskonfiguration, die nichts schützt.
Revolut: Das größte Drittanbieter-SDK der Serie und was es an ein US-Unternehmen sendet.

Alle weiteren Untersuchungen stehen im vollständigen Evidence-Ledger.

Starten Sie mit dem Domain Security Test

Der Domain Security Test untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags.

Pläne und Preise stehen auf der Seite Zugang, die Agenten hinter jeder Prüfung auf der Seite The Squad.

Pläne und Preise stehen unter Access, die Agenten hinter jeder Prüfung unter The Squad und die Rahmenwerke, an denen wir messen, unter Standards.

Domain-Sicherheitstest

Quick Check

Stellen Sie Ihre Domain auf die Probe. Reichen Sie sie für eine erste externe Sicherheitsbewertung Ihrer öffentlich erreichbaren Angriffsfläche ein.

Ohne Login, ohne Payloads und ohne Änderungen an Ihren Systemen.

Ein Researcher sieht Ihre Anfrage durch, bevor der Test beginnt, und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, wahrscheinlichen Angriffsszenarien, möglichen finanziellen Auswirkungen und empfohlenen nächsten Schritten, dazu einen exportierbaren Security-Intelligence-Graphen, der die Funde verknüpft.

Fragen zum Penetrationstest

Was unterscheidet das von einem Schwachstellenscan?

Ein Scan listet mögliche Schwächen auf. Wir bestätigen jeden Befund mit einem Proof of Concept und zeigen, was ein Angreifer damit erreicht.

Testen Sie auch APIs und Cloud-Umgebungen?

Ja. Der Umfang reicht von Web- und Mobil-Apps über REST- und GraphQL-APIs bis zu AWS- und Azure-Umgebungen und Infrastruktur.

Helfen Sie beim Beheben?

Ja. Wir entwickeln Fixes bis in den betroffenen Code und prüfen sie erneut.

Wie lange dauert es und was kostet es?

Das Angebot Security auf der Seite Zugang nennt eine Lieferung von 5 Werktagen. Pläne und Preise stehen auf der Seite Zugang.