Zum Inhalt springen

Bericht

Ein guter Bericht beantwortet zwei Fragen: Wie groß ist das Risiko – und was genau ist zu tun? So ist ein Bericht von Mr Cyber aufgebaut.

Vollständigen Bericht anfordern

Inhalt des Berichts

  1. Management-Summary

    Risikolage auf einer Seite, für Geschäftsleitung und Auditoren.

  2. Scope & Methodik

    Ziele, Zeitraum, Testart und Standards – nachvollziehbar dokumentiert.

  3. Befundübersicht

    Alle Befunde nach Risiko priorisiert, mit Status.

  4. Detailbefunde

    Beschreibung, Reproduktion, Nachweis, Auswirkung, Empfehlung, CVSS 3.1.

  5. Maßnahmenplan

    Was zuerst zu beheben ist – mit Aufwandsschätzung.

  6. Retest-Bestätigung

    Nachweis der behobenen Befunde für Ihren Auditor.

  7. Ticket-Importdatei

    Alle Befunde als CSV, JSON und E-Mail für Jira, ServiceNow, GitLab, Azure DevOps und GitHub. Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 erhalten sie per E-Mail-Import.

  8. Prüfbescheinigung

    Eine Seite für Auditoren, Kunden und Versicherer, ohne den vertraulichen Bericht.

Ein einzelner Befund

Pentest-Bericht · Admin & Söhne GmbH · MC-2026-014
Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive

Admin-Bereich ohne Anmeldung erreichbar

app.admin-soehne.example · /admin

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Beschreibung

Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop.

Reproduktion

  1. Ein privates Browserfenster öffnen, ohne sich anzumelden.
  2. https://app.admin-soehne.example/admin aufrufen.
  3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen.
GET /admin HTTP/2
Host: app.admin-soehne.example

HTTP/2 200
<title>Admin Dashboard</title> …

Geschäftliche Auswirkung

Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage.

Empfehlung

Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert.

OWASP Top 10 2021: A01 Broken Access Control · CWE-306 (Missing Authentication for Critical Function)

Admin & Söhne GmbH und admin-soehne.example sind erfunden.

Behoben, dann geprüft. Im Retest, nicht auf Zuruf.

Nach Ihrer Behebung testen wir denselben Befund erneut, auf dieselbe Weise. Der Bericht zeigt dann jeden Befund als behoben und bestätigt, mit Datum und Prüfweg.

Retest-Bestätigung · Admin & Söhne GmbH · MC-2026-014
Behoben · im Retest bestätigtVorher: Risiko Hoch · CVSS 8.2

Admin-Bereich ohne Anmeldung erreichbar

GET /admin HTTP/2
Host: app.admin-soehne.example

HTTP/2 302
Location: /login
Retest
Nach der Behebung, mit derselben Methode wie im Test
Prüfweg
/admin leitet jetzt zur Anmeldung um. Getestet ohne Sitzung, mit einem normalen Kundenkonto und mit einer abgelaufenen Sitzung.
Ergebnis
In allen drei Fällen kein Zugriff. Befund geschlossen.

Prüfbescheinigung. Nachweis ohne Bericht.

Eine Seite für Auditoren, Kunden und Versicherer: wer was wann getestet hat, Scope, Standards und dass die Befunde behoben und im Retest bestätigt sind. Der vertrauliche Bericht bleibt bei Ihnen; die Bescheinigung bestätigt unseren Test und ist keine Zertifizierung.

Mr Cyber

Prüfbescheinigung

Auftraggeber
Admin & Söhne GmbH
Prüfer
Mr Cyber
Testart
Manueller Penetrationstest einer Webanwendung
Scope
app.admin-soehne.example, inklusive /admin
Ablauf
Test · Retest nach der Behebung
Standards
OWASP WSTG · OWASP Top 10 2021 · CVSS 3.1
Ergebnis
11 Befunde (1 Kritisch, 2 Hoch, 5 Mittel, 3 Niedrig), alle behoben und im Retest bestätigt. Keine offenen Befunde im Scope.

Bestätigt den oben beschriebenen Test. Keine Zertifizierung.

Aus Befunden werden Tickets. Importiert statt abgetippt.

Zu jedem Bericht gehört eine Importdatei für Jira, ServiceNow, GitLab, Azure DevOps und GitHub. Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 erhalten die Tickets per E-Mail-Import. Ein Befund wird ein Ticket, mit Titel, Schweregrad und Priorität, betroffenes System, Beschreibung, Reproduktion, Empfehlung und Referenzen. 30 Befunde = 30 Tickets, die niemand abtippen muss.

Kundenportal mit Triage, Status pro Befund und Ticket-Erstellung per KlickIn Entwicklung

ProjekteIT Security Operations IT-SECOPS-142

[MC-2026-014] Admin-Bereich ohne Anmeldung erreichbar

Zu erledigen

Details

Bearbeiter
Nicht zugewiesen
Melder
Mr Cyber
Priorität
Hoch
Stichwörter
  • pentest
  • security
  • severity-high
  • web
Sprint
Keine
Vorgangstyp
Bug

Beschreibung

Befund: MC-2026-014
Schweregrad: Hoch
CVSS 8.2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N)

Betroffenes System

  • app.admin-soehne.example · /admin

Beschreibung

Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop.

Reproduktion

  1. Ein privates Browserfenster öffnen, ohne sich anzumelden.
  2. https://app.admin-soehne.example/admin aufrufen.
  3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen.
GET /admin HTTP/2
Host: app.admin-soehne.example

HTTP/2 200
<title>Admin Dashboard</title> …

Auswirkung

Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage.

Empfehlung

Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert.

Referenzen

  • OWASP Top 10 2021: A01 Broken Access Control
  • CWE-306 (Missing Authentication for Critical Function)
So sieht der Befund nach dem Import in Jira aus (nachgebaute Ansicht).

Vollständigen Bericht anfordern

Wir senden Ihnen einen vollständigen anonymisierten Bericht per E-Mail, ohne Kundendaten.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen