--- title: "Webanwendungs-Penetrationstest – Festpreis, OWASP WSTG" url: https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest language: de-DE description: "Manueller Webanwendungs-Pentest nach OWASP WSTG – Zugriffsrechte, Geschäftslogik, Mandantentrennung. Festpreis ab 2.900 €, Bericht in 5 Werktagen." --- # Penetrationstest für Webanwendungen Ein Penetrationstest für Webanwendungen ist eine manuelle Sicherheitsprüfung durch einen erfahrenen Tester, die Schwachstellen findet, bevor Angreifer sie ausnutzen. Mr Cyber prüft Anmeldung, Zugriffsrechte, Geschäftslogik und Mandantentrennung nach dem OWASP Web Security Testing Guide – zum Festpreis, mit prüffähigem Bericht und kostenlosem Retest. Festpreis **ab 2.900 €** · 3 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=web) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Als Betrachter angemeldet: Eine geänderte Zahl öffnet die Rechnung eines anderen Kunden. - **3–10 Testtage**3 Testtage im Einstiegspreis - **OWASP WSTG**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - SaaS-Anbieter, deren Enterprise-Kunden einen aktuellen Pentest-Bericht verlangen - Teams, die sich auf ISO 27001, SOC 2 oder ein NIS2-Audit vorbereiten - Unternehmen, die ein neues Portal, einen Shop oder eine Kundenplattform starten - Produkte nach einem großen Release, Rewrite oder neuer Anmeldelösung ## Was wir testen ### Anmeldung & Sitzungen - Login, Registrierung, Passwort-Reset, MFA - SSO / OAuth 2.0 / OpenID Connect / SAML - Sitzungsverwaltung, Token-Laufzeiten, Logout ### Berechtigungen & Mandantentrennung - Horizontale und vertikale Rechteausweitung (IDOR) - Trennung der Mandanten in Multi-Tenant-SaaS - Admin-Funktionen und Rollenmodelle ### Geschäftslogik - Manipulation von Abläufen und Zuständen - Preise, Mengen und Limits - Race Conditions bei kritischen Vorgängen ### Eingaben & Injection - SQL-/NoSQL- und Command-Injection - Cross-Site-Scripting - SSRF, XXE und unsichere Deserialisierung ### Dateien, Daten & Konfiguration - Datei-Upload und -Download, Path Traversal - Offenlegung sensibler Daten, Fehlermeldungen - Security-Header, CORS, TLS, Cookie-Attribute ### Client & Integrationen - Skripte und Integrationen von Drittanbietern - Webhooks und Callbacks - Wirksamkeit der Content Security Policy ## So testen wir Ihre Webanwendung. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 3 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 3–10 Testtage, abhängig von Umfang und Rollen. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Aufklärung & Kartierung Jede Rolle, Seite und jeder API-Aufruf erfasst. Testtag 1 3. Phase 3 ### Manuelle Tests Anmeldung, Zugriffsrechte, Eingaben und Geschäftslogik, von Hand. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - OWASP WSTG - OWASP Top 10 - OWASP ASVS - PTES - CVSS 3.1 ## So testen wir Webanwendungen Jeder Penetrationstest beginnt mit dem Verständnis dafür, was Ihre Anwendung **tut**: welche Daten sie schützt, wer sie nutzt und was ein Angreifer erreichen wollen würde. Wir erfassen alle Funktionen, Rollen und Datenflüsse und prüfen sie anschließend manuell – mit dem [OWASP Web Security Testing Guide (WSTG)](https://owasp.org/www-project-web-security-testing-guide/) als Checkliste und unserer Erfahrung als Strategie. Werkzeuge unterstützen die Arbeit, doch die relevanten Befunde – fehlerhafte Zugriffsrechte, mangelnde Mandantentrennung und Logikfehler – entstehen durch manuelle Prüfung. ### Grey-Box als Standard Wir empfehlen Tests mit **ein bis zwei Zugängen pro Rolle**. So prüfen wir, worauf es wirklich ankommt: Kann Benutzer A die Daten von Benutzer B sehen? Erreicht ein normaler Benutzer Admin-Funktionen? Sieht Mandant A die Daten von Mandant B? ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann. ### Bewertung, mit der Sie arbeiten können Jeder Befund erhält einen **CVSS-3.1**\-Wert (auf Wunsch CVSS 4.0) und eine **Bewertung des Geschäftsrisikos** in Ihrem Kontext. Der Maßnahmenplan zeigt Ihren Entwicklern, was zuerst zu tun ist. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit Reproduktion, Nachweis und Empfehlung - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihren Entwicklern - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-014 Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive ### Admin-Bereich ohne Anmeldung erreichbar app.admin-soehne.example · /admin CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N #### Beschreibung Der Administrationsbereich unter /admin öffnet sich, ohne nach einem Passwort zu fragen. Wer die Adresse eintippt, sieht die komplette Kundenliste mit Namen, Adressen und Bestellhistorie und kann einige Einstellungen ändern, etwa den Hinweistext im Shop. #### Reproduktion 1. Ein privates Browserfenster öffnen, ohne sich anzumelden. 2. https://app.admin-soehne.example/admin aufrufen. 3. Das Admin-Dashboard lädt und zeigt alle Kunden samt Bearbeiten-Schaltflächen. ``` GET /admin HTTP/2 Host: app.admin-soehne.example HTTP/2 200 Admin Dashboard … ``` #### Geschäftliche Auswirkung Jeder im Internet kann sämtliche Kundendaten lesen, ohne Konto und ohne besondere Kenntnisse. Das ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss, plus ein Schreiben an jeden Kunden. Suchmaschinen oder automatisierte Scanner finden solche Seiten oft innerhalb weniger Tage. #### Empfehlung Den gesamten /admin-Bereich serverseitig mit einer verpflichtenden Anmeldung schützen und für Admins eine Zwei-Faktor-Authentifizierung vorschreiben. Noch besser: den Admin-Bereich nur aus dem Firmennetz oder per VPN erreichbar machen. Ein automatisierter Test prüft, dass jede Admin-Seite ohne Anmeldung den Zugriff verweigert. OWASP Top 10 2021: A01 Broken Access Control · CWE-306 (Missing Authentication for Critical Function) ## Festpreis ab [2.900 €](https://mr-cyber.com/de/angebot?service=web) 3 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Penetrationstest für eine Webanwendung? Festpreise beginnen bei 2.900 € für eine Anwendung mit bis zu 50 Seiten und ein bis drei Benutzerrollen. Größere Plattformen mit vielen Rollen, Mandanten oder Integrationen erfordern mehr Aufwand – das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Testen Sie in der Produktion oder in Staging? Beides ist möglich. Staging ist ideal, wenn es der Produktion entspricht. Testen wir in Produktion, stimmen wir Zeitfenster, Last und ausgeschlossene Aktionen vorab ab; nichts Destruktives ohne Ihre ausdrückliche Freigabe. Was brauchen Sie von uns? Die URLs im Scope, zwei Testzugänge pro Rolle (bei Multi-Tenant-Anwendungen idealerweise in zwei Mandanten), einen Notfallkontakt und – falls vorhanden – eine API-Dokumentation. Mehr nicht. Black-Box, Grey-Box oder White-Box? Wir empfehlen Grey-Box (Testzugänge plus etwas Dokumentation). So findet der Test in derselben Zeit mehr als ein Black-Box-Test – Ihr Budget wirkt also stärker. Können wir den Bericht für Kunden und Prüfer nutzen? Der Bericht ist für Nachweise nach ISO 27001, SOC 2 und NIS2 sowie für Security-Fragebögen von Enterprise-Kunden aufbereitet – mit Scope, Methodik, CVSS-Bewertungen, datierten Ergebnissen, Retest-Bestätigung und einseitiger Prüfbescheinigung. Ob er anerkannt wird, entscheiden Ihr Kunde oder Prüfer. Wir nutzen bereits einen Scanner. Wozu dann ein Pentest? Scanner finden bekannte technische Schwachstellen. Die kritischen Befunde in Webanwendungen sind meist fehlerhafte Berechtigungen und Logikfehler – die findet nur ein Mensch. Ein Pentest ergänzt Ihren Scanner.