Projektbeschreibung
ÜbersetztWir bereiten den Start einer Webanwendung vor, die sensible Benutzerdaten verarbeitet, und bevor wir in die Produktion gehen, benötigen wir eine unabhängige Sicherheitsbewertung von einem externen Spezialisten. Es geht nicht um allgemeine Serverhärtung oder Firewall-Setup — wir benötigen einen gezielten Pentest der Anwendung selbst mit Abdeckung der vollständigen OWASP Top 10-Liste: Injektionen, gebrochene Authentifizierung und Sitzungsmanagement, gebrochene Zugriffskontrolle, Cross-Site-Scripting, unsichere direkte Objektverweise, Sicherheitsfehlkonfiguration, Offenlegung sensibler Daten und andere Kategorien. Es ist uns wichtig, dass der Tester wie ein echter Angreifer denkt und die Anwendung so überprüft, wie es ein Gegner tun würde.
Die Arbeit sollte manuelle Tests und Scanner kombinieren, da die Automatisierung allein Logikfehler und Autorisierungsdefekte übersieht. Wir werden eine Testumgebung, zwei oder drei Konten mit unterschiedlichen Berechtigungsstufen und einen kurzen Überblick über die Hauptszenarien bereitstellen. Im Gegenzug erwarten wir einen klaren schriftlichen Bericht: Jede Feststellung wird mit Reproduktionsschritten, Schweregrad (zum Beispiel nach CVSS), realer Auswirkung und praktischen Empfehlungen zur Behebung beschrieben, mit denen unsere Entwickler arbeiten können. Wir bitten darum, bestätigte Schwachstellen von Beobachtungen mit geringer Zuversicht zu trennen, damit wir korrekt priorisieren können.
Nachdem wir die Feststellungen bearbeitet haben, benötigen wir einen Nachtest: um zu bestätigen, dass jeder Punkt tatsächlich behoben ist und keine neuen Probleme aufgetreten sind. Vertraulichkeit ist zwingend erforderlich — alles, was gefunden wird, bleibt strikt zwischen uns, Daten aus unseren Systemen werden nirgendwohin kopiert. Bitte beschreiben Sie Ihre Methodik, die Standards, die Sie befolgen, und einen geschätzten Zeitrahmen für das Audit einschließlich Nachtest.
Was uns am meisten wichtig ist:
— Vollständige Abdeckung der OWASP Top 10, manuelle Arbeit plus Automatisierung
— Bericht mit Schweregraden und Empfehlungen zur Behebung
— Zwingender Nachtest zur Bestätigung der Korrekturen
Die Arbeit sollte manuelle Tests und Scanner kombinieren, da die Automatisierung allein Logikfehler und Autorisierungsdefekte übersieht. Wir werden eine Testumgebung, zwei oder drei Konten mit unterschiedlichen Berechtigungsstufen und einen kurzen Überblick über die Hauptszenarien bereitstellen. Im Gegenzug erwarten wir einen klaren schriftlichen Bericht: Jede Feststellung wird mit Reproduktionsschritten, Schweregrad (zum Beispiel nach CVSS), realer Auswirkung und praktischen Empfehlungen zur Behebung beschrieben, mit denen unsere Entwickler arbeiten können. Wir bitten darum, bestätigte Schwachstellen von Beobachtungen mit geringer Zuversicht zu trennen, damit wir korrekt priorisieren können.
Nachdem wir die Feststellungen bearbeitet haben, benötigen wir einen Nachtest: um zu bestätigen, dass jeder Punkt tatsächlich behoben ist und keine neuen Probleme aufgetreten sind. Vertraulichkeit ist zwingend erforderlich — alles, was gefunden wird, bleibt strikt zwischen uns, Daten aus unseren Systemen werden nirgendwohin kopiert. Bitte beschreiben Sie Ihre Methodik, die Standards, die Sie befolgen, und einen geschätzten Zeitrahmen für das Audit einschließlich Nachtest.
Was uns am meisten wichtig ist:
— Vollständige Abdeckung der OWASP Top 10, manuelle Arbeit plus Automatisierung
— Bericht mit Schweregraden und Empfehlungen zur Behebung
— Zwingender Nachtest zur Bestätigung der Korrekturen
Webprogrammierung Bargeld, Banküberweisung
