Zum Inhalt springen

Penetrationstest für Desktop-Anwendungen

Ein Penetrationstest für Desktop-Anwendungen prüft, ob sich ein installiertes Programm, etwa ein Thick Client, ein Agent oder eine Electron-App, missbrauchen lässt, um an geschützte Daten oder Rechte zu kommen. Mr Cyber testet den Client, seine lokalen Daten, Updates und den Server dahinter – manuell, zum Festpreis und mit kostenlosem Retest.

Festpreis ab 3.800 € · 4 Testtage · Retest inklusive

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Admin & Söhne Client Update 4.2 verfügbar Jetzt installieren Update-Server update-4.2.bin geladen HTTPS Signatur: nicht geprüft
Der Client installiert jedes heruntergeladene Update, ohne die Signatur zu prüfen.
  • 4–8 Testtage4 Testtage im Einstiegspreis
  • OWASP ASVS+ 4 weitere Standards
  • Bericht + Gesprächinnerhalb von 5 Werktagen
  • Kostenloser Retestinnerhalb von 60 Tagen

Für wen

  • Softwarehersteller, deren Kunden das Produkt auf eigenen Rechnern installieren
  • Unternehmen mit geschäftskritischen Thick Clients, etwa für ERP, Banking oder Medizin
  • Hersteller, deren Enterprise-Kunden vor dem Rollout einen Pentest-Bericht verlangen
  • Teams, die sich auf ISO 27001, TISAX, NIS2 oder ein Kundenaudit vorbereiten

Was wir testen

Anmeldung & Lizenzen

  • Login, Sitzungen und Rollenprüfung
  • Lizenz- und Funktionsprüfungen im Client
  • In der Anwendung gespeicherte Zugangsdaten

Lokale Daten & Dateien

  • Konfiguration, Caches und Logs auf der Festplatte
  • Lokale Datenbanken und gespeicherte Geheimnisse
  • Datei- und Ordnerrechte nach der Installation

Client und Server

  • Kommunikation mit Server oder API
  • Durchsetzung der Berechtigungen auf dem Server
  • Direkte Datenbankverbindungen aus dem Client

Installation & Updates

  • Installer und Update-Prozess
  • Rechte, die die Anwendung zum Laufen braucht
  • Installierte Dienste und Hilfsprozesse

Einbindung ins Betriebssystem

  • Schnittstellen zu anderen Programmen auf demselben Rechner
  • Eingebettete Webkomponenten, etwa in Electron-Apps
Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

So testen wir Ihre Desktop-Anwendung. Fünf Phasen, ein Tester.

Derselbe erfahrene Tester vom Scope bis zum Retest.

Testtage im Einstiegspreis
4
Werktage bis zum Bericht
5
Tage für den kostenlosen Retest
60

In der Regel 4–8 Testtage, abhängig von Client, Serverseite und Anzahl der Rollen.

  1. Phase 1

    Scope & Starttermin

    Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test.

    Termin nach Wahl

  2. Phase 2

    Client-Analyse

    Installer, lokale Dateien und Datenverkehr untersucht.

    Testtag 1

  3. Phase 3

    Client- & Servertests

    Lokale Rechte, gespeicherte Geheimnisse und Serveraufrufe getestet.

    Ab Testtag 2

  4. Phase 4

    Bericht & Abschlussgespräch

    Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch.

    Innerhalb von 5 Werktagen

  5. Phase 5

    Kostenloser Retest

    Ihre Behebungen erneut getestet und schriftlich bestätigt.

    Innerhalb von 60 Tagen

Methodik & Standards

  • OWASP ASVS
  • OWASP WSTG (Server- und Webkomponenten)
  • PTES
  • NIST SP 800-115
  • CVSS 3.1

So testen wir Desktop-Anwendungen

Wir installieren und nutzen die Anwendung wie Ihre Kunden und erfassen dann, was sie lokal speichert, mit welchen Rechten sie läuft und wie sie mit ihrem Server spricht. Jeden Bereich prüfen wir manuell, mit dem OWASP Application Security Verification Standard (ASVS) als Checkliste für die passenden Kontrollen.

Client und Server in einem Test

Ein Thick Client ist nur so sicher wie der Server dahinter. Ist der Server oder die API im Scope, testen wir beides mit denselben Zugängen. Die Befunde zeigen so den ganzen Weg vom Desktop bis zu Ihren Daten.

Kritische Befunde warten nicht auf den Bericht

Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann.

Bewertung, mit der Sie arbeiten können

Jeder Befund erhält einen CVSS-3.1-Wert (auf Wunsch CVSS 4.0) und eine Bewertung des Geschäftsrisikos, die berücksichtigt, wie Ihre Kunden die Software einsetzen.

Was Sie erhalten

  • Management-Summary für Geschäftsleitung und Prüfer
  • Jeder Befund mit Reproduktion, Nachweis und Empfehlung
  • CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan
  • Abschlussgespräch mit Ihren Entwicklern
  • Kostenloser Retest und aktualisierter Bericht

Immer inklusive

  • Kostenloser Retest innerhalb von 60 Tagen
  • Abschlussgespräch mit Ihrem Team
  • NDA, AVV und Testfreigabe mit dem Angebot
  • Kritische Befunde noch am selben Tag gemeldet
  • Test-Stopp jederzeit auf Ihren Zuruf
  • Prüffähiger Bericht (PDF)
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen Zum Bericht
Pentest-Bericht · Admin & Söhne GmbH · MC-2026-018
Risiko: Kritisch CVSS 3.1 · 9.6 Offen · Retest inklusive

Bestellprogramm installiert Updates, die jeder austauschen kann

AS-Bestellung für Windows (bei rund 300 Händlern installiert) · updates.admin-soehne.example

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Beschreibung

Admin & Söhne gibt seinen Händlern ein Windows-Bestellprogramm. Das Programm holt seine Updates aus einem Cloud-Speicherordner, in den jeder im Internet schreiben kann, und installiert, was es dort findet, ohne die Signatur des Herstellers zu prüfen. Ein Fremder kann die Update-Datei austauschen, und jeder Händler, der auf „Update installieren“ klickt, startet das Programm des Fremden.

Reproduktion

  1. Feststellen, wo das Programm nach Updates sucht.
  2. Mit der Admin-Person des Kunden die Speichereinstellungen prüfen: Dateien lassen sich ohne Anmeldung hochladen.
  3. Auf einem isolierten Test-PC ein harmloses, unsigniertes Testpaket anbieten: Es wird nach dem üblichen Klick auf „Update installieren“ installiert.
Update-Quelle: updates.admin-soehne.example (Cloud-Speicher)
Hochladen ohne Anmeldung: ja
Signaturprüfung vor der Installation: keine
Harmloses Testpaket (nur Test-PC)
  → nach „Update installieren“ installiert

Geschäftliche Auswirkung

Eine ausgetauschte Datei erreicht alle Händler-PCs auf einmal: ein typischer Beginn für Ransomware im ganzen Händlernetz, wie in den Fällen 3CX und Kaseya. Ihre Händler können nicht mehr verkaufen, und die Verantwortung liegt bei Ihnen. Nach NIS2 und Cyber Resilience Act sind sichere Updates Pflicht für Softwarehersteller.

Empfehlung

Den Schreibzugriff auf den Update-Speicher noch heute schließen und prüfen, welche Dateien verändert wurden. Jedes Update signieren und das Programm alles ablehnen lassen, was keine gültige Signatur von Ihnen trägt. Updates nur über HTTPS laden und den Signaturschlüssel offline oder in einem Hardwaremodul aufbewahren.

CWE-494 (Download of Code Without Integrity Check) · CWE-732 (Incorrect Permission Assignment for Critical Resource) · OWASP Top 10 2021: A08 Software and Data Integrity Failures · MITRE ATT&CK T1195.002 (Compromise Software Supply Chain)

Festpreis ab

3.800 €

4 Testtage · Bericht in 5 Werktagen · Retest inklusive

Leistungen ausschließlich für Unternehmen. · Wie sich der Preis zusammensetzt

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Häufige Fragen

Was kostet ein Pentest für eine Desktop-Anwendung?
Festpreise beginnen bei 3.800 € für einen Client auf einem Betriebssystem mit ein bis zwei Rollen. Server oder API, weitere Rollen oder Betriebssysteme erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail.
Was brauchen Sie von uns?
Den Installer oder einen vorbereiteten Testrechner, Testzugänge pro Rolle, Zugang zu einem Testserver und einen Notfallkontakt. Dokumentation hilft, Quellcode ist optional.
Testen Sie auf unseren Rechnern oder auf Ihren?
In der Regel auf unserem eigenen Testsystem mit Ihrem Installer. Läuft die Software nur in Ihrer Umgebung, geht auch eine virtuelle Maschine oder ein Fernzugang, den Sie bereitstellen.
Gehört der Server zum Test?
Das sollte er. Viele Thick Clients verlassen sich auf Prüfungen, die der Server nie wiederholt. Wir testen Client und Server gemeinsam, damit Sie sehen, ob der Server die Regeln selbst durchsetzt.
Was unterscheidet das von einem Schwachstellen-Scan?
Ein Scanner sucht bekannte Probleme in Dateien und Bibliotheken. Ein Pentest prüft, wie sich die Anwendung verhält, wenn jemand sie anders nutzt als vorgesehen, etwa wenn ein normaler Benutzer an Admin-Funktionen kommt.

Passende Leistungen

NIS2 & Compliance

Desktop-App-Pentest: Festpreis in Sekunden

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen