Zum Inhalt springen

Source-Code-Review (Secure Code Review)

Ein Source-Code-Review ist ein manuelles Sicherheitsaudit Ihres Quellcodes, das Schwachstellen an der Wurzel findet, auch solche, die ein Black-Box-Test nicht erreicht. Mr Cyber prüft Anmeldung, Zugriffsrechte, Eingabeverarbeitung, Kryptografie, Geheimnisse und Abhängigkeiten nach OWASP ASVS – zum Festpreis und mit Empfehlungen, die Ihre Entwickler Zeile für Zeile umsetzen können.

Festpreis ab 2.900 € · 3 Testtage · Retest inklusive

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Pull-Request #214 src/orders/export.js 41 router.get('/export', (req) => { 42 - db.query(SQL, [req.query.id]); 43 + db.query(SQL + req.query.id); 44 }); Code-Review Die Benutzereingabe landet direktin der Datenbankabfrage.
Eine Zeile im Pull-Request baut eine Datenbankabfrage aus ungeprüfter Benutzereingabe.
  • 3–10 Prüftage3 Prüftage im Einstiegspreis
  • OWASP ASVS+ 4 weitere Standards
  • Bericht + Gesprächinnerhalb von 5 Werktagen
  • Kostenloser Retestinnerhalb von 60 Tagen

Für wen

  • SaaS-Anbieter, deren Kunden Nachweise für sichere Entwicklung verlangen
  • Teams vor einem großen Release, einem Rewrite oder einer Due Diligence
  • Produkte, deren Logik ein Pentest allein nicht vollständig erreicht
  • Teams, die Kontrollen zur sicheren Entwicklung nach ISO 27001, SOC 2 oder NIS2 nachweisen müssen

Was wir testen

Anmeldung & Zugriffsrechte

  • Login, Sitzungen und Umgang mit Passwörtern
  • Rollen- und Berechtigungsprüfung auf jeder Route
  • Trennung zwischen Mandanten und Kunden

Ein- & Ausgaben

  • Validierung von Eingaben aus Benutzern und anderen Systemen
  • Datenbankabfragen und Dateiverarbeitung
  • Ausgabe-Kodierung und Templates

Kryptografie & Geheimnisse

  • Einsatz von Verschlüsselung und Hashing
  • Schlüssel, Tokens und Passwörter in Code und Konfiguration
  • Umgang mit personenbezogenen Daten

Abhängigkeiten & Build

  • Bibliotheken von Drittanbietern mit bekannten Schwachstellen
  • Sicherheitseinstellungen in Frameworks
  • Build- und Deployment-Konfiguration, auf Wunsch

Logging & Fehler

  • Fehlerbehandlung und Informationslecks
  • Sicherheitsrelevantes Logging
Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Ebenfalls abgedeckt. Im selben Test oder als eigener Einsatz.

CI/CD & Supply Chain

Der Weg vom Commit bis in die Produktion. Wir prüfen, wer pushen und freigeben darf, was ein Pull Request an der Pipeline ändern kann, wo Deployment-Secrets liegen, wie Runner getrennt sind und welchen Actions und Paketen von Dritten Sie vertrauen. Die OWASP Top 10 CI/CD Security Risks dienen als Checkliste.

Ohne Aufpreis In die Anfrage aufnehmen

Smart-Contract-Audit (Solidity / Web3)

Manuelle Prüfung Ihrer Solidity-Verträge auf Basis eines vereinbarten Commits: Zugriffsrechte und Rollen, Umgang mit Geldern, Upgrades und Admin-Funktionen, externe Aufrufe und Oracles. Die OWASP Smart Contract Top 10 dienen als Checkliste. Kein Audit garantiert Sicherheit, der Bericht nennt den geprüften Commit. Als eigenes Angebot buchbar.

Eigener Einsatz, ab 4.700 € · 5 Testtage In die Anfrage aufnehmen

Kein Aufpreis für das Thema selbst. Braucht es zusätzliche Testtage, steht das vorab im Angebot.

So prüfen wir Ihren Code. Fünf Phasen, ein Tester.

Derselbe erfahrene Tester vom Scope bis zum Retest.

Prüftage im Einstiegspreis
3
Werktage bis zum Bericht
5
Tage für den kostenlosen Retest
60

In der Regel 3–10 Prüftage, abhängig von der Größe der Codebasis und den Sprachen im Scope.

  1. Phase 1

    Scope & Starttermin

    Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test.

    Termin nach Wahl

  2. Phase 2

    Code-Kartierung

    Architektur, Einstiegspunkte und Vertrauensgrenzen erfasst.

    Prüftag 1

  3. Phase 3

    Review des sicherheitskritischen Codes

    Anmeldung, Eingaben, Kryptografie und Geheimnisse, Zeile für Zeile.

    Ab Prüftag 2

  4. Phase 4

    Bericht & Abschlussgespräch

    Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch.

    Innerhalb von 5 Werktagen

  5. Phase 5

    Kostenloser Retest

    Ihre Behebungen erneut getestet und schriftlich bestätigt.

    Innerhalb von 60 Tagen

Methodik & Standards

  • OWASP ASVS
  • OWASP Code Review Guide
  • OWASP Top 10
  • CWE Top 25
  • CVSS 3.1

So prüfen wir Code

Wir beginnen mit Ihrer Architektur: Welche Teile verarbeiten Logins, Berechtigungen, Zahlungen und personenbezogene Daten? Das Review ist werkzeuggestützt und konzentriert sich auf sicherheitskritischen Code (Authentifizierung, Eingabeverarbeitung, Kryptografie, Datenzugriff): Diese Teile prüfen wir Zeile für Zeile, den Rest gezielt. Der OWASP Application Security Verification Standard (ASVS) dient als Checkliste.

Empfehlungen, die Ihre Entwickler umsetzen können

Jeder Befund nennt Datei und Zeile, erklärt das Problem und schlägt eine Lösung im Stil Ihrer Codebasis vor.

Kombiniert mit einem Pentest

Code-Review und Pentest arbeiten gut zusammen. Mit Zugriff auf den Quellcode während eines Pentests werden Befunde schneller bestätigt, und die Ursache ist klar.

Kritische Befunde warten nicht auf den Bericht

Finden wir während des Reviews etwas Kritisches, erfahren Sie es noch am selben Tag.

Was Sie erhalten

  • Management-Summary für Geschäftsleitung und Prüfer
  • Jeder Befund mit Datei, Zeile, Erklärung und Lösungsvorschlag
  • CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan
  • Abschlussgespräch mit Ihren Entwicklern
  • Kostenlose Prüfung Ihrer Korrekturen und aktualisierter Bericht

Immer inklusive

  • Kostenloser Retest innerhalb von 60 Tagen
  • Abschlussgespräch mit Ihrem Team
  • NDA, AVV und Testfreigabe mit dem Angebot
  • Kritische Befunde noch am selben Tag gemeldet
  • Test-Stopp jederzeit auf Ihren Zuruf
  • Prüffähiger Bericht (PDF)
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen Zum Bericht
Pentest-Bericht · Admin & Söhne GmbH · MC-2026-026
Risiko: Hoch CVSS 3.1 · 7.5 Offen · Retest inklusive

Sendungsverfolgung baut ihre Datenbankabfrage aus ungeprüften Eingaben

Repository shop-backend · TrackingController.php (Sendungsverfolgung, ohne Anmeldung)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Beschreibung

Eine kürzliche Änderung am Formular für die Sendungsverfolgung fügt die eingegebene Sendungsnummer direkt in die Datenbankabfrage ein. Das Formular braucht keine Anmeldung, also kann jeder Besucher die Abfrage erweitern und Tabellen lesen, die er nie sehen dürfte. Das Datenbankkonto dahinter darf nur lesen, deshalb lässt sich nichts verändern.

Reproduktion

  1. Das Formular für die Sendungsverfolgung im Shop ohne Anmeldung öffnen.
  2. Den Code verfolgen: Die eingegebene Sendungsnummer landet direkt in der Datenbankabfrage.
  3. Im Testsystem bestätigen, dass eine speziell geformte Sendungsnummer Zeilen aus der Kundentabelle liefert.
TrackingController.php:41
  $sql = "SELECT … WHERE tracking_no = '" . $input . "'";
Datenbankkonto: shop_read (nur lesen)

Geschäftliche Auswirkung

Jeder im Internet kann Adressen und Bestellhistorie aller Kunden kopieren: eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss. Vor dem Release im Code gefunden, kostet die Behebung eine Zeile.

Empfehlung

Für die Sendungsnummer eine parametrisierte Abfrage nutzen und das erwartete Format prüfen. Den Code nach weiteren Abfragen durchsuchen, die aus Eingaben zusammengesetzt werden. Eine automatische Codeprüfung in den Build aufnehmen, die solche Abfragen meldet.

OWASP Top 10 2021: A03 Injection · CWE-89 (SQL Injection) · OWASP ASVS 4.0 V5.3

Festpreis ab

2.900 €

3 Testtage · Bericht in 5 Werktagen · Retest inklusive

Leistungen ausschließlich für Unternehmen. · Wie sich der Preis zusammensetzt

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Häufige Fragen

Was kostet ein Source-Code-Review?
Festpreise beginnen bei 2.900 € für bis zu 50.000 Zeilen Ihres eigenen Codes (ohne Tests, generierte, eingebundene Fremd- oder Lock-Dateien). Größere Codebasen oder drei und mehr Sprachen erhöhen den Aufwand. Das Review ist werkzeuggestützt und konzentriert sich auf sicherheitskritischen Code (Authentifizierung, Eingabeverarbeitung, Kryptografie, Datenzugriff). Das hält den Preis niedrig. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail.
Wie erhalten Sie Zugriff auf unseren Code?
Per Lesezugriff auf das Repository oder als Export. Der Code wird nur für das Review genutzt und spätestens 30 Tage nach Projektende gelöscht. NDA, AVV und Testfreigabe kommen mit dem schriftlichen Angebot.
Müssen wir die ganze Codebasis prüfen lassen?
Selten. Wir helfen Ihnen, die wichtigsten Teile auszuwählen, etwa Anmeldung, Zahlung oder Datenexport, damit das Budget dorthin fließt, wo das Risiko liegt.
Was ist der Unterschied zu einem Code-Scanner (SAST)?
Ein Scanner findet bekannte Muster und viele Fehlalarme. Ein Reviewer versteht Ihre Logik und findet Fehler wie fehlende Berechtigungsprüfungen, die Scanner meist übersehen. Vorhandene Scanner-Ergebnisse können wir mit auswerten.
Code-Review oder Pentest?
Beides ergänzt sich. Ein Pentest zeigt, was von außen ausnutzbar ist. Ein Code-Review findet die Ursache und Probleme, die der Pentest nicht erreicht. Zusammen ergeben sie das vollständigste Bild.

Passende Leistungen

NIS2 & Compliance

Source-Code-Review: Festpreis in Sekunden

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen