Methodik
Automatisiert geprüft. Von Menschen freigegeben.
Unsere Audits laufen automatisiert und KI-gestützt. Ein Agent kartiert Ihre Anwendung und verteilt die Arbeit an spezialisierte Agenten. Die prüfen parallel und kontrollieren sich gegenseitig. Am Ende lässt ein Quality Gate nur belegte Befunde durch.
- OWASP Top 10:2025
- OWASP API Top 10
- OWASP ASVS
- CVSS 3.1
- CWE
- CVE
- OSV
- NIS2 & CRA
Vom Auftrag zum Report
Viele Agenten. Ein Quality Gate.
Sie geben Freigabe und Zugang. Alles dazwischen läuft automatisiert und parallel.
- AuftragFreigabe und ZugangIhr Input
- Scan-Agentkartiert und verteilt
- Agenten parallelprüfen sich gegenseitig
- Quality GateGegenprüfung, CVSS
- Reportmit Maßnahmenplan
- Ihre FixesRe-Check auf WunschIhr Input
Was in jedem Schritt passiert
- 01
Angriffsfläche aufnehmen
Der Scan-Agent liest Ihre Anwendung: Endpunkte, Rollen, Datenflüsse, Abhängigkeiten, Build und Konfiguration. Daraus entsteht die Landkarte für alle weiteren Schritte.
- 02
Arbeit verteilen
Derselbe Agent orchestriert. Jeder Bereich bekommt einen spezialisierten Agenten, etwa für Zugriffsrechte, Injection, Secrets oder Abhängigkeiten.
- 03
Parallel prüfen
Werkzeuge wie semgrep, gitleaks, osv-scanner, trivy, ZAP und nuclei liefern Signale. Die Agenten lesen den Zusammenhang und machen daraus Befundkandidaten.
- 04
Gegenseitig reviewen
Ein unabhängiger Agent versucht, jeden Kandidaten zu widerlegen. Er sieht nur Befund und Fundstelle, nicht die Begründung des Finders.
- 05
Quality Gate
Nur belegte Befunde kommen durch: ohne Dubletten, nach CVSS 3.1 bewertet, CWE und OWASP zugeordnet.
- 06
Report
Management-Summary, jeder Befund mit Fundstelle und Empfehlung, Maßnahmenplan nach Priorität. Verschlüsselt übergeben.
Das Quality Gate
Ein Befund kommt nur in den Report, wenn er jede dieser Prüfungen besteht. Aus Tausenden Signalen werden so wenige, belastbare Befunde.
- Belegt am Code oder in der laufenden Anwendung
- Von einem zweiten Agenten nicht widerlegt
- Keine Dublette, kein Testcode, kein toter Pfad
- Bewertet nach CVSS 3.1, zugeordnet zu CWE und OWASP
- Mit konkreter Empfehlung zur Behebung
- Im Full Audit zusätzlich von einem Experten freigegeben
Was die KI darf und was nicht
- Kein Training mit Ihrem Code beim KI-Anbieter
- Nur lesend: Wir führen Ihren Code nicht aus und pushen nichts
- Aktive Tests nur mit Ihrer Freigabe per E-Mail
- Kein Befund ohne Beleg
- Den Report geben wir frei, nicht das Modell
Nach gängigen Standards
Wir bewerten und benennen Befunde so, wie Ihr Team, Ihre Kunden und Auditoren es kennen. Eine Zertifizierung ersetzt der Report nicht.
- OWASP Top 10:2025Die zehn kritischsten Risiken für Web-Anwendungen.
- OWASP API Top 10Die häufigsten Risiken in APIs und Backends.
- OWASP ASVSPrüfanforderungen für Login, Sessions und Zugriff.
- CVSS 3.1Schweregrad jedes Befunds von 0 bis 10.
- CWEDie Fehlerklasse hinter jedem Befund.
- CVEBekannte Lücken in Ihren Abhängigkeiten.
- OSVSchwachstellen in Open-Source-Paketen.
- NIS2 & CRADer Report als Nachweis für Aufsicht und Kunden.
Was welcher Zugang sieht
Mit Zugang zur Anwendung testen wir, was ein Angreifer tun kann. Mit Zugang zum Code sehen wir, warum. Beides zusammen ergibt das vollständige Bild.
| Check | Nur App | Nur Code | Beides | |
|---|---|---|---|---|
| TLS, Header, Cookies, CORS | vollständig | vollständig | teilweise | vollständig |
| Offene Endpunkte, Admin- & Debug-Seiten | teilweise | vollständig | teilweise | vollständig |
| Login, Sessions, Rate-Limits | nein | gut | gut | belegt |
| Zugriff: sieht Nutzer A die Daten von B? | nein | belegt | teilweise | belegt |
| Injection (SQL, XSS, SSRF) | nein | teilweise | gut | belegt |
| Secrets & Schlüssel | teilweise | teilweise | vollständig | vollständig |
| Abhängigkeiten & bekannte CVEs | teilweise | teilweise | vollständig | vollständig |
| Supply Chain, Docker, CI/CD | nein | nein | vollständig | vollständig |
| Code-Qualität & Best Practices | nein | nein | vollständig | vollständig |
Alle Pakete im Vergleich
| Security-Checkkostenlos | App-Audit490 € | Code-Audit890 € | Full Audit1.690 € | EnterpriseAuf Anfrage | |
|---|---|---|---|---|---|
| Was geprüft wird | |||||
| TLS, Security-Header, Cookies | enthalten | enthalten | teilweise | enthalten | enthalten |
| Login, Sessions, Rate-Limits | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Zugriffsrechte: Sieht Nutzer A die Daten von B? | nicht enthalten | enthalten | teilweise | enthalten | enthalten |
| Injection (SQL, XSS, SSRF) | nicht enthalten | teilweise | enthalten | enthalten | enthalten |
| Secrets und Schlüssel | teilweise | teilweise | enthalten | enthalten | enthalten |
| Supply Chain, Docker, CI/CD | nicht enthalten | nicht enthalten | enthalten | enthalten | enthalten |
| Was Sie erhalten | |||||
| Note und Zahl der Befunde | enthalten | enthalten | enthalten | enthalten | enthalten |
| Report mit priorisiertem Maßnahmenplan | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Bewertung nach CVSS 3.1 | nicht enthalten | enthalten | enthalten | enthalten | enthalten |
| Ergebnisbesprechung und Re-Check | nicht enthalten | nicht enthalten | nicht enthalten | enthalten | enthalten |
| Rahmen | |||||
| Zugang | URL und E-Mail-Adresse | Adresse + 2 Testzugänge | Lesezugriff auf den Code | Adresse, Testzugänge und Code | individuell |
| Lieferzeit | in der Regel werktags in 2 Stunden | 1 Werktag | 2 Werktage | 4 Werktage | individuell |
Was wir nicht machen: keine manuellen Penetrationstests und keine Last- oder Performancetests. Wir prüfen automatisiert und KI-gestützt, jeder Befund ist mit Fundstelle belegt. Was nicht im Umfang lag, steht im Report.