Erster Pentest für unsere Webanwendung – worauf sollte ich beim Angebot achten?
Zitat von network-strong am 22. Oktober 2026, 08:40 UhrIch betreue in unserem Unternehmen eine Webanwendung mit Kundenportal und mehreren API-Schnittstellen. Vor der nächsten größeren Erweiterung möchte ich die Sicherheit extern prüfen lassen, bisher haben wir allerdings nur automatisierte Scans eingesetzt. Für die Auswahl eines Dienstleisters fehlen mir vor allem Vergleichskriterien, mit denen ich Testumfang und Ergebnisqualität einschätzen kann. Wie finde ich einen passenden Anbieter für einen manuellen Pentest, und welche Leistungen sollte ich im Angebot konkret festhalten lassen?
Ich betreue in unserem Unternehmen eine Webanwendung mit Kundenportal und mehreren API-Schnittstellen. Vor der nächsten größeren Erweiterung möchte ich die Sicherheit extern prüfen lassen, bisher haben wir allerdings nur automatisierte Scans eingesetzt. Für die Auswahl eines Dienstleisters fehlen mir vor allem Vergleichskriterien, mit denen ich Testumfang und Ergebnisqualität einschätzen kann. Wie finde ich einen passenden Anbieter für einen manuellen Pentest, und welche Leistungen sollte ich im Angebot konkret festhalten lassen?
Zitat von Straciatelli am 22. Oktober 2026, 10:15 UhrBei eurem Kundenportal würde ich zuerst festhalten, welche Funktionen, Schnittstellen und Benutzerrollen geprüft werden sollen. Beschreibe dabei auch, welche Bereiche besonders sensible Daten verarbeiten und welche Systeme außerhalb des vereinbarten Tests bleiben müssen.
Ein aussagekräftiges Angebot sollte die vorgesehene manuelle Prüfung, den zeitlichen Umfang und die benötigten Zugänge verständlich beschreiben. Ebenso wichtig wären mir abgestimmte Testzeiten, ein Ansprechpartner für kritische Funde und klare Regeln zum Umgang mit Testdaten. Beim Abschlussbericht würde ich auf nachvollziehbare Befunde, eine begründete Risikoeinstufung und konkrete Hinweise zur Behebung achten.
Zu diesen Anforderungen passt zumindest die Leistungsbeschreibung von https://sodusecure.com/, wo manuelle Tests für Webanwendungen und APIs sowie technische Berichte und ein kostenloser Retest genannt werden. Lass dir im konkreten Angebot bestätigen, welche dieser Leistungen enthalten sind und unter welchen Bedingungen die Nachprüfung erfolgt. Für den Vergleich mehrerer Angebote würde ich außerdem einen anonymisierten Beispielbericht anfordern, damit du Aufbau und Verständlichkeit der Ergebnisse beurteilen kannst.
Bei eurem Kundenportal würde ich zuerst festhalten, welche Funktionen, Schnittstellen und Benutzerrollen geprüft werden sollen. Beschreibe dabei auch, welche Bereiche besonders sensible Daten verarbeiten und welche Systeme außerhalb des vereinbarten Tests bleiben müssen.
Ein aussagekräftiges Angebot sollte die vorgesehene manuelle Prüfung, den zeitlichen Umfang und die benötigten Zugänge verständlich beschreiben. Ebenso wichtig wären mir abgestimmte Testzeiten, ein Ansprechpartner für kritische Funde und klare Regeln zum Umgang mit Testdaten. Beim Abschlussbericht würde ich auf nachvollziehbare Befunde, eine begründete Risikoeinstufung und konkrete Hinweise zur Behebung achten.
Zu diesen Anforderungen passt zumindest die Leistungsbeschreibung von https://sodusecure.com/, wo manuelle Tests für Webanwendungen und APIs sowie technische Berichte und ein kostenloser Retest genannt werden. Lass dir im konkreten Angebot bestätigen, welche dieser Leistungen enthalten sind und unter welchen Bedingungen die Nachprüfung erfolgt. Für den Vergleich mehrerer Angebote würde ich außerdem einen anonymisierten Beispielbericht anfordern, damit du Aufbau und Verständlichkeit der Ergebnisse beurteilen kannst.