Authentifizierung und Tokens
OAuth, OIDC, JWTs, API-Schlüssel, Tokenablauf, Erneuerung, Sitzungsbindung und Kontowiederherstellung prüfen.
Penetrationstests
Sicherheitsprüfung von APIs
API-Penetrationstests
Wir prüfen REST-, GraphQL- und Backend-APIs auf ausnutzbare Schwachstellen in Authentifizierung, Autorisierung, Tokens, Objektzugriff, Schemas, Ratenbegrenzung und sensiblen Datenflüssen.
Angriffsfläche von APIs
Die Datenpfade Ihrer Produkte auf die Probe stellen
API-Schwachstellen verbergen sich häufig in Autorisierung, Objektzugriff, Tokenverarbeitung, Schemas und Geschäftslogik. Wir prüfen die tatsächliche Ausnutzbarkeit der Endpunkte und liefern Backend-Teams konkrete Schritte zur Behebung.
Autorisierung und Objektzugriff
BOLA, BFLA, IDOR, Rollengrenzen, Mandantentrennung, Objektberechtigungen und Rechteausweitung überprüfen.
Eingaben, Schemas und Datenvalidierung
Injection, Mass Assignment, Schema-Umgehung, Typverwechslung, Uploads, GraphQL-Missbrauch und Offenlegung sensibler Daten bewerten.
Ratenbegrenzung und Geschäftslogik
Drosselung, Replay, Workflow-Missbrauch, Zustandswechsel, Zahlungen, Freigaben, Enumeration und Schutz vor automatisiertem Missbrauch testen.
REST und GraphQL abdecken
Tests für REST- und GraphQL-APIs, Backend-Dienste, Partnerintegrationen, Webhooks und mobile API-Backends.
OWASP-API-Sicherheit
BOLA, fehlerhafte Authentifizierung, übermäßige Datenoffenlegung, Mass Assignment, Injection, SSRF und unsichere API-Nutzung prüfen.
Berichte je Endpunkt
Berichte enthalten Nachweise, betroffene Endpunkte, gegebenenfalls Test-Payloads, Rollen, Auswirkungen, Behebungshinweise und Unterstützung bei Nachtests.
Testablauf
Von der Endpunkterfassung bis zum verifizierten Fix
01
Umfang, API-Umgebungen, Authentifizierung, Testkonten, Rollen, Dokumentation, Ratenlimits und Einsatzregeln festlegen.
02
Endpunkte, Schemas, Objekte, Rollen, Datenflüsse, Authentifizierungspfade, Integrationen und kritische Geschäftsabläufe erfassen.
03
OWASP-API-Risiken, Autorisierung, Tokens, Eingabevalidierung, Ratenlimits, Datenoffenlegung und Logikmissbrauch testen.
04
Bestätigte Befunde mit Nachweisen, Endpunkten, geeigneten Payloads, Auswirkungen und Behebungshinweisen priorisieren.
05
Korrekturen nachtesten und Restrisiken dokumentieren, damit Backend- und Sicherheitsteams API-Lücken verlässlich schließen können.
Bereiche der Penetrationstests
Verwandte Penetrationstests
Entdecken Sie spezialisierte Ethical-Hacking-Assessments für jede Ebene Ihrer Unternehmensangriffsfläche.
Web & SaaS
Penetrationstests für Webanwendungen
OWASP-Top-10-Lücken, Authentifizierungsumgehung, IDOR, Logikfehler und Datenlecks in Webapps aufdecken.
Servicedetails ansehen
Infrastruktur
Netzwerk-Penetrationstests
Interne und externe Netze, offene Dienste, laterale Angriffspfade und falsch konfigurierte Perimeter prüfen.
Servicedetails ansehen
AWS / Azure / GCP
Cloud-Penetrationstests
IAM-Fehlkonfigurationen, offene Buckets, Container-Ausbrüche, Rechteausweitung und Cloud-Lieferkettenrisiken aufdecken.
Servicedetails ansehen
iOS & Android
Penetrationstests für mobile Anwendungen
App-Binärdateien, unsicheren Speicher, API-Verkehr, Authentifizierung und Reverse-Engineering-Schutz analysieren.
Servicedetails ansehen
Perimeter
Externe Penetrationstests
Internetfähige Infrastruktur aus Sicht eines nicht vertrauenswürdigen Angreifers im öffentlichen Netz bewerten.
Servicedetails ansehen
Active Directory
Interne Penetrationstests
Insider und kompromittierte Arbeitsplätze simulieren, um mehrstufige Abwehr, Segmentierung und Domänenkontrollen zu prüfen.
Servicedetails ansehen
Menschlicher Faktor
Social-Engineering-Penetrationstests
Menschliche Abwehr gegen Phishing, Zugangsdatenabgriff, Spear-Phishing und Identitätsvortäuschung testen.
Servicedetails ansehen
WLAN & Funk
WLAN-Penetrationstests
WPA2-/WPA3-Unternehmensnetze, Erkennung fremder Access Points, Captive Portals und Funkperimeter prüfen.
Servicedetails ansehen
Ohne internes Vorwissen
Blackbox-Penetrationstests
Reales Angreiferverhalten ohne interne Kenntnisse simulieren und zeigen, was von außen auffindbar und ausnutzbar ist.
Servicedetails ansehen
Mit Nutzerzugang
Greybox-Penetrationstests
Mit normalen Konten Rechteausweitung, horizontale Zugriffsverletzungen und Geschäftslogikfehler untersuchen.
Servicedetails ansehen
Vollständiger Einblick
Whitebox-Penetrationstests
Mit Architektur, Dokumentation und Quellcode eine umfassende Schwachstellenprüfung durchführen.
Servicedetails ansehen
Müssen Ihre APIs vor dem Release geprüft werden?
Wir grenzen einen gezielten Test für REST-Dienste, GraphQL, mobile Backends, Partnerintegrationen oder besonders kritische Datenabläufe ab.
API-Penetrationstest starten