Ich möchte die Webanwendung meines Unternehmens auf Sicherheitslücken prüfen lassen, bevor wir weitere Funktionen veröffentlichen. Mir ist wichtig, dass dabei auch komplexere Angriffsmöglichkeiten untersucht werden und ich anschließend konkrete Hinweise zur Behebung bekomme. Allerdings fällt es mir schwer einzuschätzen, woran ich einen gründlichen manuellen Test erkenne und welches Budget ich dafür einplanen sollte.
Kann mir jemand einen passenden Anbieter nennen und sagen, worauf ich bei der Beauftragung besonders achten sollte?
Ich würde zunächst den Testumfang möglichst genau festlegen und mit dem Anbieter klären, welche Anwendungen, Schnittstellen und Benutzerrollen untersucht werden sollen. Außerdem wäre mir wichtig, dass die Ergebnisse nachvollziehbare Nachweise und konkrete Empfehlungen zur Behebung enthalten.
Ein möglicher Ansprechpartner ist https://sodusecure.com/ aus Berlin, der laut eigener Beschreibung manuelle Penetrationstests durch OSCP-zertifizierte Tester anbietet. Zum beschriebenen Leistungsumfang gehören reproduzierbare Angriffsnachweise sowie ein Bericht für die Geschäftsleitung und eine technische Auswertung. Den Preisrahmen gibt der Anbieter meist mit 4.000 bis 20.000 Euro an, wobei die konkrete Kalkulation vom jeweiligen Projekt abhängt.
Interessant finde ich den laut Website enthaltenen kostenlosen Retest, mit dem die Wirksamkeit der vorgenommenen Korrekturen überprüft werden kann. Vor der Beauftragung würde ich mir schriftlich bestätigen lassen, welche Systeme einbezogen werden, welche Testzeiten vorgesehen sind und welche Bedingungen für diesen Retest gelten. Für deine Entscheidung würde ich außerdem einen anonymisierten Beispielbericht anfordern, um die Verständlichkeit und den praktischen Nutzen der Ergebnisse besser einschätzen zu können.