--- title: "Pentest für Desktop-Anwendungen & Thick Clients | Mr Cyber" url: https://mr-cyber.com/de/leistungen/desktop-anwendung-penetrationstest language: de-DE description: "Manueller Pentest für Desktop-Anwendungen und Thick Clients unter Windows, macOS und Linux, inklusive Server. Festpreis in Sekunden im Preisrechner." --- # Penetrationstest für Desktop-Anwendungen Ein Penetrationstest für Desktop-Anwendungen prüft, ob sich ein installiertes Programm, etwa ein Thick Client, ein Agent oder eine Electron-App, missbrauchen lässt, um an geschützte Daten oder Rechte zu kommen. Mr Cyber testet den Client, seine lokalen Daten, Updates und den Server dahinter – manuell, zum Festpreis und mit kostenlosem Retest. Festpreis **ab 3.800 €** · 4 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=desktop) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Der Client installiert jedes heruntergeladene Update, ohne die Signatur zu prüfen. - **4–8 Testtage**4 Testtage im Einstiegspreis - **OWASP ASVS**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - Softwarehersteller, deren Kunden das Produkt auf eigenen Rechnern installieren - Unternehmen mit geschäftskritischen Thick Clients, etwa für ERP, Banking oder Medizin - Hersteller, deren Enterprise-Kunden vor dem Rollout einen Pentest-Bericht verlangen - Teams, die sich auf ISO 27001, TISAX, NIS2 oder ein Kundenaudit vorbereiten ## Was wir testen ### Anmeldung & Lizenzen - Login, Sitzungen und Rollenprüfung - Lizenz- und Funktionsprüfungen im Client - In der Anwendung gespeicherte Zugangsdaten ### Lokale Daten & Dateien - Konfiguration, Caches und Logs auf der Festplatte - Lokale Datenbanken und gespeicherte Geheimnisse - Datei- und Ordnerrechte nach der Installation ### Client und Server - Kommunikation mit Server oder API - Durchsetzung der Berechtigungen auf dem Server - Direkte Datenbankverbindungen aus dem Client ### Installation & Updates - Installer und Update-Prozess - Rechte, die die Anwendung zum Laufen braucht - Installierte Dienste und Hilfsprozesse ### Einbindung ins Betriebssystem - Schnittstellen zu anderen Programmen auf demselben Rechner - Eingebettete Webkomponenten, etwa in Electron-Apps ## So testen wir Ihre Desktop-Anwendung. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 4 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 4–8 Testtage, abhängig von Client, Serverseite und Anzahl der Rollen. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Client-Analyse Installer, lokale Dateien und Datenverkehr untersucht. Testtag 1 3. Phase 3 ### Client- & Servertests Lokale Rechte, gespeicherte Geheimnisse und Serveraufrufe getestet. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - OWASP ASVS - OWASP WSTG (Server- und Webkomponenten) - PTES - NIST SP 800-115 - CVSS 3.1 ## So testen wir Desktop-Anwendungen Wir installieren und nutzen die Anwendung wie Ihre Kunden und erfassen dann, was sie lokal speichert, mit welchen Rechten sie läuft und wie sie mit ihrem Server spricht. Jeden Bereich prüfen wir manuell, mit dem [OWASP Application Security Verification Standard (ASVS)](https://owasp.org/www-project-application-security-verification-standard/) als Checkliste für die passenden Kontrollen. ### Client und Server in einem Test Ein Thick Client ist nur so sicher wie der Server dahinter. Ist der Server oder die API im Scope, testen wir beides mit denselben Zugängen. Die Befunde zeigen so den ganzen Weg vom Desktop bis zu Ihren Daten. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann. ### Bewertung, mit der Sie arbeiten können Jeder Befund erhält einen **CVSS-3.1**\-Wert (auf Wunsch CVSS 4.0) und eine Bewertung des Geschäftsrisikos, die berücksichtigt, wie Ihre Kunden die Software einsetzen. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit Reproduktion, Nachweis und Empfehlung - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihren Entwicklern - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-018 Risiko: Kritisch CVSS 3.1 · 9.6 Offen · Retest inklusive ### Bestellprogramm installiert Updates, die jeder austauschen kann AS-Bestellung für Windows (bei rund 300 Händlern installiert) · updates.admin-soehne.example CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H #### Beschreibung Admin & Söhne gibt seinen Händlern ein Windows-Bestellprogramm. Das Programm holt seine Updates aus einem Cloud-Speicherordner, in den jeder im Internet schreiben kann, und installiert, was es dort findet, ohne die Signatur des Herstellers zu prüfen. Ein Fremder kann die Update-Datei austauschen, und jeder Händler, der auf „Update installieren“ klickt, startet das Programm des Fremden. #### Reproduktion 1. Feststellen, wo das Programm nach Updates sucht. 2. Mit der Admin-Person des Kunden die Speichereinstellungen prüfen: Dateien lassen sich ohne Anmeldung hochladen. 3. Auf einem isolierten Test-PC ein harmloses, unsigniertes Testpaket anbieten: Es wird nach dem üblichen Klick auf „Update installieren“ installiert. ``` Update-Quelle: updates.admin-soehne.example (Cloud-Speicher) Hochladen ohne Anmeldung: ja Signaturprüfung vor der Installation: keine Harmloses Testpaket (nur Test-PC) → nach „Update installieren“ installiert ``` #### Geschäftliche Auswirkung Eine ausgetauschte Datei erreicht alle Händler-PCs auf einmal: ein typischer Beginn für Ransomware im ganzen Händlernetz, wie in den Fällen 3CX und Kaseya. Ihre Händler können nicht mehr verkaufen, und die Verantwortung liegt bei Ihnen. Nach NIS2 und Cyber Resilience Act sind sichere Updates Pflicht für Softwarehersteller. #### Empfehlung Den Schreibzugriff auf den Update-Speicher noch heute schließen und prüfen, welche Dateien verändert wurden. Jedes Update signieren und das Programm alles ablehnen lassen, was keine gültige Signatur von Ihnen trägt. Updates nur über HTTPS laden und den Signaturschlüssel offline oder in einem Hardwaremodul aufbewahren. CWE-494 (Download of Code Without Integrity Check) · CWE-732 (Incorrect Permission Assignment for Critical Resource) · OWASP Top 10 2021: A08 Software and Data Integrity Failures · MITRE ATT&CK T1195.002 (Compromise Software Supply Chain) ## Festpreis ab [3.800 €](https://mr-cyber.com/de/angebot?service=desktop) 4 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Pentest für eine Desktop-Anwendung? Festpreise beginnen bei 3.800 € für einen Client auf einem Betriebssystem mit ein bis zwei Rollen. Server oder API, weitere Rollen oder Betriebssysteme erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Was brauchen Sie von uns? Den Installer oder einen vorbereiteten Testrechner, Testzugänge pro Rolle, Zugang zu einem Testserver und einen Notfallkontakt. Dokumentation hilft, Quellcode ist optional. Testen Sie auf unseren Rechnern oder auf Ihren? In der Regel auf unserem eigenen Testsystem mit Ihrem Installer. Läuft die Software nur in Ihrer Umgebung, geht auch eine virtuelle Maschine oder ein Fernzugang, den Sie bereitstellen. Gehört der Server zum Test? Das sollte er. Viele Thick Clients verlassen sich auf Prüfungen, die der Server nie wiederholt. Wir testen Client und Server gemeinsam, damit Sie sehen, ob der Server die Regeln selbst durchsetzt. Was unterscheidet das von einem Schwachstellen-Scan? Ein Scanner sucht bekannte Probleme in Dateien und Bibliotheken. Ein Pentest prüft, wie sich die Anwendung verhält, wenn jemand sie anders nutzt als vorgesehen, etwa wenn ein normaler Benutzer an Admin-Funktionen kommt.