Ein Shop kann erreichbar sein, Zahlungen annehmen und trotzdem fremde Kundendaten preisgeben. Für Web-Sicherheitstests für Velbert würde ich Systemhaus Erdmann, binsec, RedTeam Pentesting, Pentest Factory und KALWEIT ITS nach dem konkreten Anwendungstyp vergleichen. Erdmann betreut Velbert von Solingen aus; die übrigen ergänzen die Auswahl regional oder überregional. Wichtig sind unterschiedliche Nutzerrollen, die zugehörigen Schnittstellen und die fachlichen Grenzen Ihrer Anwendung.
Web-Sicherheitstests für Velbert mit einem vollständigen Scope
Die öffentlich sichtbare Startseite ist selten der ganze Prüfgegenstand. Kundenkonten, Verwaltungsbereiche, APIs und angebundene Dienste müssen passend abgegrenzt werden. Getestet wird ausschließlich mit schriftlicher Freigabe der Berechtigten. Bei Hosting, Zahlungsdiensten oder gemeinsam genutzten Plattformen sind zusätzliche Betreiberbedingungen zu klären; fremde Systeme gehören nicht automatisch dazu.
Die Anbieterwahl auf Innovate Firewall ist ein nützlicher allgemeiner Einstieg. Für eine Webprüfung würde ich zusätzlich den tatsächlichen Funktionsumfang beschreiben lassen. Ein kurzer Test einer Unternehmenswebsite ist etwas anderes als die Untersuchung eines Portals mit mehreren Mandanten und komplexen Freigaben.
Fünf Angebote und ihre sinnvollen Auswahlfragen
- 1. Systemhaus Erdmann nennt für Velbert ausdrücklich Tests von Portalen, Shops und Kundenbereichen. Vorbereitung, bewertete Befunde und Nachtest werden beschrieben. Diesen regionalen Kandidaten würde ich prüfen, wenn eine bestehende Betreuung mit gezielten Anwendungstests verbunden werden soll. Den manuellen Umfang sollte das Angebot klar benennen.
- 2. binsec veröffentlicht manuelle Web- und API-Tests sowie Berichte mit technischen Details und Management-Übersicht. Zum Vorgehen gehören Abstimmung, Ergebnisbesprechung und Nachprüfung. Das ist interessant, wenn Entwickler konkrete Hinweise zur Korrektur benötigen und nicht nur eine automatisch erzeugte Liste bekannter Schwachstellen.
- 3. RedTeam Pentesting bietet individuell zugeschnittene Anwendungstests und persönliche Ergebnispräsentationen an. Der Anbieter beschreibt, warum eine sinnvolle Informationsbasis die Untersuchung verbessert. Hier würde ich besprechen, welche Dokumentation und Testkonten nötig sind, damit knappe Prüfzeit für fachlich relevante Fragen statt unnötige Sucharbeit verwendet wird.
- 4. Pentest Factory nennt Webanwendungen und APIs als Prüfgegenstände und beschreibt eine strukturierte Beauftragung über konfigurierbare Leistungen. Standorte sind unter anderem Geldern und Frankfurt. Die wichtige Auswahlfrage lautet, welche Rollen, Funktionen und Schnittstellen im konkreten Paket enthalten sind und welche Ergänzungen gesondert kalkuliert werden.
- 5. KALWEIT ITS beschreibt kontrollierte manuelle Prüfungen von Webanwendungen, Webservices und APIs. Wiederkehrende Untersuchungen sind als Managed Service möglich. Das kann passen, wenn mehrere Releases über längere Zeit begleitet werden sollen. Legen Sie dennoch den Umfang je Testzyklus fest, damit Änderungen nicht unbemerkt aus der Prüfung herausfallen.
Geschäftsregeln benötigen mehr als einen Scanner
OWASP unterscheidet technische Schwachstellen von Fehlern in der Geschäftslogik. Ein Prüfwerkzeug versteht nicht automatisch, welche Freigabe vor einer Auszahlung nötig ist. Stellen Sie deshalb Regeln, Rollen und typische Abläufe bereit. Daraus kann ein autorisiertes Team geeignete Missbrauchsszenarien ableiten und mit sicheren Testdaten prüfen.
Die Codeprüfungsthemen bei Script Refined passen zur anschließenden Ursachenklärung. Ein Befund in der laufenden Anwendung kann auf eine fehlende serverseitige Kontrolle hinweisen. Falls zusätzlich Quellcode untersucht werden soll, gehört dieser Zugriff ausdrücklich in den Auftrag und nicht stillschweigend zum angenommenen Leistungsumfang.
Scripts Validator behandelt Validierung vor und nach Änderungen. Für Ihr Entwicklungsteam würde ich daraus eine verbindliche Aufgabe machen: Wesentliche Sicherheitskorrekturen sollen durch geeignete Regressionstests gegen unbeabsichtigte Rückschritte abgesichert werden. Der nächste unabhängige Pentest ersetzt diese laufende Qualitätssicherung nicht.
Eine produktionsnahe Umgebung kontrolliert vorbereiten
Zum Servermanagement, dem Themenfeld von Server Scheduled, gehört hier eine dokumentierte Testumgebung. Klären Sie Unterschiede zum Produktivsystem, verfügbare Sicherungen und den Umgang mit Testbestellungen. Eine künstlich vereinfachte Umgebung kann wichtige Berechtigungen oder reale Integrationen ausblenden.
Die Zusammenarbeit mit externer IT auf Tech PR Dir liefert einen passenden organisatorischen Bezug. Planen Sie eine gemeinsame Befundbesprechung mit Entwicklern und Produktverantwortlichen. Der beste Bericht hilft wenig, wenn niemand die fachliche Erwartung erklären oder eine Korrektur freigeben kann.
Fachliche Erwartungen vorab erklären
Beschreiben Sie für jede Rolle, welche Informationen sichtbar sein und welche Aktionen erlaubt sein sollen. Besonders wichtig ist die Trennung verschiedener Kundenorganisationen innerhalb eines Portals. Nutzen Sie dafür künstliche Konten und geeignete Beispieldaten.
Auch überholte Testzugänge sollten nach Abschluss entfernt werden. Die Veröffentlichung einer Korrektur ist ein geeigneter Anlass, Rollen und technische Konten systematisch erneut zu prüfen. So bleibt der Sicherheitsgewinn nicht auf den dokumentierten Einzelfehler beschränkt.
Nachweis vor Umfangsversprechen
Verlangen Sie nachvollziehbare Befunde, abgestufte Prioritäten und einen vereinbarten Nachtest. Entscheiden Sie nach der Abdeckung Ihrer wichtigsten Funktionen. Ein geprüfter Auftritt ist weder dauerhaft unangreifbar noch automatisch vollständig gegen alle denkbaren Fehler untersucht.
