--- title: "Source-Code-Review – manuelles Sicherheitsaudit | Mr Cyber" url: https://mr-cyber.com/de/leistungen/source-code-review language: de-DE description: "Manueller Secure Code Review nach OWASP ASVS. Anmeldung, Zugriffsrechte, Eingaben, Geheimnisse und Abhängigkeiten in Ihrem Code. Festpreis ab 2.900 €." --- # Source-Code-Review (Secure Code Review) Ein Source-Code-Review ist ein manuelles Sicherheitsaudit Ihres Quellcodes, das Schwachstellen an der Wurzel findet, auch solche, die ein Black-Box-Test nicht erreicht. Mr Cyber prüft Anmeldung, Zugriffsrechte, Eingabeverarbeitung, Kryptografie, Geheimnisse und Abhängigkeiten nach OWASP ASVS – zum Festpreis und mit Empfehlungen, die Ihre Entwickler Zeile für Zeile umsetzen können. Festpreis **ab 2.900 €** · 3 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=code) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Eine Zeile im Pull-Request baut eine Datenbankabfrage aus ungeprüfter Benutzereingabe. - **3–10 Prüftage**3 Prüftage im Einstiegspreis - **OWASP ASVS**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - SaaS-Anbieter, deren Kunden Nachweise für sichere Entwicklung verlangen - Teams vor einem großen Release, einem Rewrite oder einer Due Diligence - Produkte, deren Logik ein Pentest allein nicht vollständig erreicht - Teams, die Kontrollen zur sicheren Entwicklung nach ISO 27001, SOC 2 oder NIS2 nachweisen müssen ## Was wir testen ### Anmeldung & Zugriffsrechte - Login, Sitzungen und Umgang mit Passwörtern - Rollen- und Berechtigungsprüfung auf jeder Route - Trennung zwischen Mandanten und Kunden ### Ein- & Ausgaben - Validierung von Eingaben aus Benutzern und anderen Systemen - Datenbankabfragen und Dateiverarbeitung - Ausgabe-Kodierung und Templates ### Kryptografie & Geheimnisse - Einsatz von Verschlüsselung und Hashing - Schlüssel, Tokens und Passwörter in Code und Konfiguration - Umgang mit personenbezogenen Daten ### Abhängigkeiten & Build - Bibliotheken von Drittanbietern mit bekannten Schwachstellen - Sicherheitseinstellungen in Frameworks - Build- und Deployment-Konfiguration, auf Wunsch ### Logging & Fehler - Fehlerbehandlung und Informationslecks - Sicherheitsrelevantes Logging ## Ebenfalls abgedeckt. Im selben Test oder als eigener Einsatz. ## CI/CD & Supply Chain Der Weg vom Commit bis in die Produktion. Wir prüfen, wer pushen und freigeben darf, was ein Pull Request an der Pipeline ändern kann, wo Deployment-Secrets liegen, wie Runner getrennt sind und welchen Actions und Paketen von Dritten Sie vertrauen. Die OWASP Top 10 CI/CD Security Risks dienen als Checkliste. Ohne Aufpreis [In die Anfrage aufnehmen](https://mr-cyber.com/de/angebot?service=code,cicd) ## Smart-Contract-Audit (Solidity / Web3) Manuelle Prüfung Ihrer Solidity-Verträge auf Basis eines vereinbarten Commits: Zugriffsrechte und Rollen, Umgang mit Geldern, Upgrades und Admin-Funktionen, externe Aufrufe und Oracles. Die OWASP Smart Contract Top 10 dienen als Checkliste. Kein Audit garantiert Sicherheit, der Bericht nennt den geprüften Commit. Als eigenes Angebot buchbar. Eigener Einsatz, ab **4.700 €** · 5 Testtage [In die Anfrage aufnehmen](https://mr-cyber.com/de/angebot?service=web3) Kein Aufpreis für das Thema selbst. Braucht es zusätzliche Testtage, steht das vorab im Angebot. ## So prüfen wir Ihren Code. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Prüftage im Einstiegspreis 3 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 3–10 Prüftage, abhängig von der Größe der Codebasis und den Sprachen im Scope. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Code-Kartierung Architektur, Einstiegspunkte und Vertrauensgrenzen erfasst. Prüftag 1 3. Phase 3 ### Review des sicherheitskritischen Codes Anmeldung, Eingaben, Kryptografie und Geheimnisse, Zeile für Zeile. Ab Prüftag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - OWASP ASVS - OWASP Code Review Guide - OWASP Top 10 - CWE Top 25 - CVSS 3.1 ## So prüfen wir Code Wir beginnen mit Ihrer Architektur: Welche Teile verarbeiten Logins, Berechtigungen, Zahlungen und personenbezogene Daten? Das Review ist werkzeuggestützt und konzentriert sich auf sicherheitskritischen Code (Authentifizierung, Eingabeverarbeitung, Kryptografie, Datenzugriff): Diese Teile prüfen wir Zeile für Zeile, den Rest gezielt. Der [OWASP Application Security Verification Standard (ASVS)](https://owasp.org/www-project-application-security-verification-standard/) dient als Checkliste. ### Empfehlungen, die Ihre Entwickler umsetzen können Jeder Befund nennt Datei und Zeile, erklärt das Problem und schlägt eine Lösung im Stil Ihrer Codebasis vor. ### Kombiniert mit einem Pentest Code-Review und Pentest arbeiten gut zusammen. Mit Zugriff auf den Quellcode während eines Pentests werden Befunde schneller bestätigt, und die Ursache ist klar. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Reviews etwas Kritisches, erfahren Sie es noch am selben Tag. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit Datei, Zeile, Erklärung und Lösungsvorschlag - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihren Entwicklern - Kostenlose Prüfung Ihrer Korrekturen und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-026 Risiko: Hoch CVSS 3.1 · 7.5 Offen · Retest inklusive ### Sendungsverfolgung baut ihre Datenbankabfrage aus ungeprüften Eingaben Repository shop-backend · TrackingController.php (Sendungsverfolgung, ohne Anmeldung) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N #### Beschreibung Eine kürzliche Änderung am Formular für die Sendungsverfolgung fügt die eingegebene Sendungsnummer direkt in die Datenbankabfrage ein. Das Formular braucht keine Anmeldung, also kann jeder Besucher die Abfrage erweitern und Tabellen lesen, die er nie sehen dürfte. Das Datenbankkonto dahinter darf nur lesen, deshalb lässt sich nichts verändern. #### Reproduktion 1. Das Formular für die Sendungsverfolgung im Shop ohne Anmeldung öffnen. 2. Den Code verfolgen: Die eingegebene Sendungsnummer landet direkt in der Datenbankabfrage. 3. Im Testsystem bestätigen, dass eine speziell geformte Sendungsnummer Zeilen aus der Kundentabelle liefert. ``` TrackingController.php:41 $sql = "SELECT … WHERE tracking_no = '" . $input . "'"; Datenbankkonto: shop_read (nur lesen) ``` #### Geschäftliche Auswirkung Jeder im Internet kann Adressen und Bestellhistorie aller Kunden kopieren: eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss. Vor dem Release im Code gefunden, kostet die Behebung eine Zeile. #### Empfehlung Für die Sendungsnummer eine parametrisierte Abfrage nutzen und das erwartete Format prüfen. Den Code nach weiteren Abfragen durchsuchen, die aus Eingaben zusammengesetzt werden. Eine automatische Codeprüfung in den Build aufnehmen, die solche Abfragen meldet. OWASP Top 10 2021: A03 Injection · CWE-89 (SQL Injection) · OWASP ASVS 4.0 V5.3 ## Festpreis ab [2.900 €](https://mr-cyber.com/de/angebot?service=code) 3 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Source-Code-Review? Festpreise beginnen bei 2.900 € für bis zu 50.000 Zeilen Ihres eigenen Codes (ohne Tests, generierte, eingebundene Fremd- oder Lock-Dateien). Größere Codebasen oder drei und mehr Sprachen erhöhen den Aufwand. Das Review ist werkzeuggestützt und konzentriert sich auf sicherheitskritischen Code (Authentifizierung, Eingabeverarbeitung, Kryptografie, Datenzugriff). Das hält den Preis niedrig. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Wie erhalten Sie Zugriff auf unseren Code? Per Lesezugriff auf das Repository oder als Export. Der Code wird nur für das Review genutzt und spätestens 30 Tage nach Projektende gelöscht. NDA, AVV und Testfreigabe kommen mit dem schriftlichen Angebot. Müssen wir die ganze Codebasis prüfen lassen? Selten. Wir helfen Ihnen, die wichtigsten Teile auszuwählen, etwa Anmeldung, Zahlung oder Datenexport, damit das Budget dorthin fließt, wo das Risiko liegt. Was ist der Unterschied zu einem Code-Scanner (SAST)? Ein Scanner findet bekannte Muster und viele Fehlalarme. Ein Reviewer versteht Ihre Logik und findet Fehler wie fehlende Berechtigungsprüfungen, die Scanner meist übersehen. Vorhandene Scanner-Ergebnisse können wir mit auswerten. Code-Review oder Pentest? Beides ergänzt sich. Ein Pentest zeigt, was von außen ausnutzbar ist. Ein Code-Review findet die Ursache und Probleme, die der Pentest nicht erreicht. Zusammen ergeben sie das vollständigste Bild.