03 / LEISTUNG

Welche Maßnahme hat bei der Sicherheit Vorrang?

Ist unklar, wo Ihre Anwendung verwundbar ist oder welche Sicherheitswarnung zuerst bearbeitet werden sollte? Ich untersuche die Anwendung und den Entwicklungsprozess, identifiziere Schwachstellen und helfe bei der Priorisierung.

Besprechen wir Ihre Situation Was erhalten Sie?

01 / SITUATION UND LÖSUNG

Meldungen allein zeigen noch nicht das tatsächliche Risiko.

Die Schwere einer technischen Schwachstelle hängt auch davon ab, welche Daten, Funktionen oder Geschäftsprozesse betroffen sind.

Fehlt ein nachvollziehbarer Prozess zur Aktualisierung verwundbarer Komponenten?Ich bewerte externe Abhängigkeiten und die Aktualisierungspraxis im Kontext der laufenden Anwendung, um Maßnahmen fachlich begründet zu priorisieren.

Ist unklar, wer auf Daten und Zugangsschlüssel zugreifen kann?Ich prüfe Authentifizierung, Berechtigungen, Schlüsselverwaltung und Vertrauensgrenzen zwischen Komponenten.

Werden Sicherheitslücken erst kurz vor dem Release sichtbar?Ich untersuche Entwicklungs- und Release-Prüfungen und empfehle, wo Fehler früher erkannt werden können.

Sind Sie unsicher, ob Ihre Website oder Ihr Portal die Datenschutzanforderungen (DSGVO) erfüllt?Ich prüfe die Funktionsweise von Cookies, Trackern und Formularen und gebe konkrete Verbesserungsvorschläge. Die Prüfung umfasst technische Bereiche. Die rechtliche Bewertung gehört in die Hände eines Datenschutzjuristen.

02 / ZUSAMMENARBEIT

So läuft die Zusammenarbeit ab

Zwei Fachleute prüfen Risiken der Anwendungssicherheit und Maßnahmen zu ihrer Behebung.

Prüfungsrahmen festlegen

Wir legen die Grenzen der Untersuchung und die erlaubten Methoden fest. Bei Webanwendungen wähle ich Prüfpunkte aus den relevanten Anforderungen des OWASP ASVS aus.

Technische Untersuchung

Ich untersuche die Anwendung anhand der Risiken der OWASP Top 10. Berechtigungen prüfe ich nach dem Least-Privilege-Prinzip. Mit Software Composition Analysis (SCA) suche ich nach bekannten Schwachstellen in Abhängigkeiten.

Risiken priorisieren

Mit Threat Modeling identifiziere ich mögliche Angriffspfade. Die Feststellungen priorisiere ich nach Ausnutzbarkeit, betroffenen Daten und geschäftlichen Folgen.

Maßnahmenplan

Nach dem Prinzip Defense in Depth empfehle ich mehrschichtige Schutzmaßnahmen, damit der Ausfall einer einzelnen Kontrolle das System nicht schutzlos macht. Verantwortlichkeiten und die Überprüfung der Änderungen stimmen wir ab.

Die Prüfungen richte ich an der Anwendung und den freigegebenen Zugriffsrechten aus. Ich dokumentiere die ausgewählten Anforderungen, die Grenzen der Untersuchung und die Nachweise zu den Feststellungen.

03 / ERGEBNISSE

Was erhalten Sie und wofür können Sie es nutzen?

Dokumentierte Feststellungen: nachvollziehbar, was geprüft wurde und welche Schwachstellen gefunden wurden.
Begründete Risikoeinstufung: Das Team kann dringende Maßnahmen festlegen.
Empfohlene Prüfungen in der Entwicklung: Fehler können früher im Arbeitsablauf erkannt werden.
Überprüfbare technische Aufgaben: Maßnahmen lassen sich in die Planung des Teams aufnehmen.

Entwicklungs- und Betriebsteams können den Maßnahmenplan zur Aufgabenplanung nutzen. Umsetzung und Nachprüfung stimmen wir gesondert ab.

04 / VORAUSSETZUNGEN

Was ist für den Start erforderlich?

Die zu prüfende Anwendung oder Website und das Ziel der Prüfung
Verfügbare Dokumentation und erforderliche, freigegebene Zugriffsrechte
Eine verantwortliche Person für die Anwendung oder Website, bei Bedarf mit technischer Ansprechperson
Abgestimmte Bedingungen für Datenverarbeitung und Werkzeugeinsatz

05 / HÄUFIGE FRAGEN

Häufige Fragen

Wie lange dauert die Überprüfung?

Den Zeitbedarf schätze ich anhand der zu prüfenden Anwendungen und Sicherheitsbereiche ein.

Ist ein Penetrationstest enthalten?

Ich führe eine technische Überprüfung der vereinbarten Bereiche durch. Ein Penetrationstest kann nur nach gesonderter Vereinbarung und mit einem geeigneten Fachpartner Teil der Zusammenarbeit sein.

Bestätigt die Prüfung die Einhaltung gesetzlicher Vorgaben?

Nein. Die Leistung liefert technische Feststellungen und Verbesserungsvorschläge. Sie ist keine behördliche Prüfung, Zertifizierung oder Konformitätsbestätigung. Die Bewertung der rechtlichen Konformität ist ein eigenes Fachgebiet.

Wie gehen Sie mit vertraulichen Daten um?

Zugriffsrechte, Datenverarbeitung und Werkzeuge stimmen wir vorab ab. Vertrauliche Kundendaten übermittle ich nur mit ausdrücklicher vorheriger Zustimmung an externe KI-Dienste.

Bei welchem Risiko benötigen Sie eine Einschätzung?

Beschreiben Sie, um welche Anwendung und welche Unsicherheit es geht. Zugangsdaten und vertrauliche technische Details sind für die erste Anfrage nicht erforderlich.

Sprechen wir darüber