BEAUFTRAGEN SIE MIT BEDACHTKlären Sie, was geprüft werden soll.

Wählen Sie ein Penetration-Testing-Unternehmen aus, indem Sie den schriftlichen Prüfumfang, die manuellen Testmethoden und die Qualität des Berichts mit den tatsächlichen Risiken Ihrer Anwendung sowie den Nachweisen abgleichen, die Ihre Kunden oder Ihr Team benötigen.

Auf einen Blick

• Beginnen Sie mit dem konkreten Anlass: Freigabe vor dem Launch, Due-Diligence-Prüfung durch Kunden oder ein spezifisches Sicherheitsbedenken.
• Vergleichen Sie bei verschiedenen Anbietern dieselbe Anwendung, dieselben Rollen, die API-Abdeckung, die Liefergegenstände sowie die Bedingungen für einen Nachtest.
• Bitten Sie um einen anonymisierten Musterbericht und eine Erläuterung dazu, wie Befunde manuell verifiziert werden.
• COLONFILM bietet ein Vulnerability Assessment für 420 €, einen Web-App-Pentest für 850 € sowie einen Pentest für Web-Apps und APIs für 1.710 € an.

Welche Penetration-Testing-Leistungen benötigen Sie wirklich?

Ein aussagekräftiges Briefing beginnt mit einer geschäftlichen Fragestellung: Kann ein Kunde die Dokumente eines anderen Kunden einsehen? Kann ein eingeschränkter Nutzer Aktionen eines Administrators ausführen? Gibt eine neue Integration vertrauliche Daten an unberechtigte Empfänger weiter? Solche Fragen helfen dem Dienstleister, den Testaufwand gezielt auf die Bereiche Ihres Produkts zu konzentrieren, in denen ein Sicherheitsvorfall gravierende Folgen hätte.

Ein Vulnerability Assessment identifiziert und priorisiert Schwachstellen, häufig durch automatisierte Scans mit anschließender Verifizierung. Ein Penetrationstest ergänzt dies um manuelle Untersuchungen dazu, wie sich die Anwendung tatsächlich verhält und wie sich Schwachstellen auf reale Arbeitsabläufe auswirken. Beide Ansätze haben ihre Berechtigung. Die richtige Wahl verhindert, dass der erhaltene Bericht an der Entscheidung vorbeigeht, die Sie eigentlich treffen wollten.

So erfordert beispielsweise eine kleine öffentliche Anwendung mit Login und Kontaktformular einen völlig anderen Prüfumfang als eine Abonnement-Plattform mit Organisationen, Einladungen, Dokumentenexporten und einer Partner-API. Das zweite Produkt besitzt wesentlich mehr Vertrauensgrenzen, selbst wenn beide Websites eine ähnliche Anzahl von Bildschirmansichten aufweisen.

Wo Sie ein Penetration-Testing-Unternehmen beauftragen können

Sie können einen unabhängigen Tester, ein spezialisiertes Servicestudio, eine Security-Beratung oder einen Plattformanbieter für wiederkehrende Tests beauftragen. Vergleichen Sie zunächst das Zusammenarbeitsmodell, bevor Sie Firmenlogos vergleichen. Ein fest abgegrenztes Projekt eignet sich für ein bestimmtes Release oder eine einzelne Anwendung. Ein wiederkehrendes Modell bietet sich für Teams an, die während der fortlaufenden Produktentwicklung kontinuierliche Tests benötigen.

Freelance-Marktplätze erleichtern den Vergleich von Preisen und Bewertungen, doch prüfen Sie stets die genaue Leistungsbeschreibung. Eine erfolgreiche Historie auf einem Marktplatz belegt Zuverlässigkeit bei der Abwicklung, garantiert für sich allein jedoch noch keine tiefgreifende Expertise in Ihrer konkreten Architektur. Fragen Sie nach, wer die Tests tatsächlich durchführt, wer die Ergebnisse gegenprüft und wie verfahren wird, wenn ein Befund geklärt werden muss.

Eine spezialisierte Sicherheitsberatung empfiehlt sich insbesondere dann, wenn der Einkauf bestimmte Akkreditierungen, namentlich benannte Zertifizierungen der Tester, Branchenerfahrung oder eine Prüfung umfassender Gesamtumgebungen vorschreibt. Klären Sie diese Anforderungen direkt mit Ihrem Auftraggeber ab, bevor Sie Angebote einholen. Ein günstigerer Preis nützt wenig, wenn das Testergebnis die geforderten Abnahmekriterien nicht erfüllt.

Für ein klar abgegrenztes Web-App- oder API-Projekt bietet der Penetration-Testing-Service von COLONFILM drei transparent definierte Leistungsumfänge. Dies ist eine praxistaugliche Option, wenn Sie Testzugänge bereitstellen, den Systemverantwortlichen benennen und einen Entwickler für die Entgegennahme der Befunde bestimmen können.

Einen Pentest-Umfang formulieren, den Dienstleister präzise kalkulieren können

Beschreiben Sie die Anwendung anhand ihrer Komponenten und Workflows. Geben Sie Hostnamen, Umgebungen, Login-Verfahren, Benutzerrollen, Integrationen und geschäftskritische Aktionen an. Klären Sie, ob es sich um eine REST- oder GraphQL-API handelt und ob die Dokumentation dem tatsächlich bereitgestellten Versionsstand entspricht. Eine veraltete Bestandsaufnahme erzeugt unnötige Unklarheiten, noch bevor die Prüfung überhaupt beginnt.

Differenzieren Sie Rollen nach Berechtigungen, nicht nach Berufsbezeichnungen. Ein Inhaber und ein Administrator verfügen möglicherweise über identische Zugriffsrechte, während zwei reguläre Kunden in getrennten Organisationen eine entscheidende Mandantentrennung darstellen. Stellen Sie repräsentative Testkonten bereit und erläutern Sie genau, welche Daten die jeweilige Rolle einsehen, ändern, freigeben, exportieren oder löschen können sollte.

• Assets: die genaue Anwendung, Domains, API-Basis-URLs und die Testumgebung.
• Identität: Rollen, Mandantengrenzen, Login-Abläufe und Regelungen zur Multi-Faktor-Authentifizierung.
• Workflows: Zahlungsprozesse, Einladungen, Datei-Uploads, Kontowiederherstellung und relevante Administratoraktionen.
• Zugänge: Testkonten, synthetische Testdaten, Dokumentation und eventuell erforderliche Netzwerkfreigaben.
• Ergebnisse: Zielgruppe, Berichtsformat, Liefertermin, Handlungsempfehlungen zur Behebung und Erwartungen an den Nachtest.

Halten Sie die Testregeln (Rules of Engagement) schriftlich fest. COLONFILM verlangt eine vom Eigentümer des Systems und der Umgebung unterzeichnete Autorisierung, empfiehlt eine Staging-Umgebung und schließt Social Engineering sowie Denial-of-Service-Angriffe aus. Vereinbaren Sie Testfenster, einen Notfallkontakt, Abbruchkriterien und den Umgang mit Beweisdaten, bevor die erste Anfrage an die Anwendung gesendet wird.

Die Staging-Umgebung sollte das Verhalten der Produktionsumgebung originalgetreu abbilden. Dokumentieren Sie Unterschiede bei Konfiguration, Integrationen, Benutzerverwaltung und Versionsstand. Falls ein Payment-Gateway eine Sandbox nutzt, erläutern Sie, welche Schritte repräsentativ bleiben. So kann der Bericht präzise benennen, was beobachtet wurde und welche Annahmen überprüft werden müssen, sobald Anpassungen in die Produktion überführt werden.

Wie Sie manuelle Tests und die OWASP-Abdeckung beurteilen

Der OWASP Web Security Testing Guide bietet einen strukturierten Leitfaden für Sicherheitstests von Webanwendungen. Der OWASP Application Security Verification Standard definiert konkrete Anforderungen an die Sicherheitsverifizierung. Erkundigen Sie sich, welche Versionen und relevanten Prüfpunkte der Dienstleister anwendet und wie diese zum vereinbarten Testumfang passen.

Ein Angebot, das lediglich pauschal „OWASP-Testing“ verspricht, greift zu kurz. Bitten Sie den Anbieter zu beschreiben, wie eine Berechtigungsgrenze in Ihrem Produkt aufgebaut ist und wie diese im Rahmen des Projekts sicher überprüft werden soll. Die Antwort sollte sich konkret auf Ihre Rollen, Datensätze oder Geschäftsprozesse beziehen, statt lediglich die Namen automatisierter Scanner aufzuzählen.

Nehmen wir als Beispiel ein Kundenportal mit Dokumenten-Downloads: Ein aufschlussreicher Test prüft, ob Zugriffsrechte über verschiedene Testkonten hinweg den vorgesehenen Besitzregeln folgen. Ein aussagekräftiger Befund erläutert den betroffenen Workflow, die erwartete Zugriffsbeschränkung, das tatsächliche Verhalten und die praktischen Konsequenzen. Sie benötigen hinreichend konkrete Nachweise, damit Entwickler der Ursache nachgehen können – ohne unnötige Kundendaten offenzulegen.

Klären Sie bei einer API im Vorfeld, wie Endpunkte gezählt werden. Bei REST ist häufig die Kombination aus Pfad und HTTP-Methode entscheidend. Bei GraphQL kann ein einziger HTTP-Endpunkt zahlreiche Operationen und Resolver-Berechtigungen umfassen. Vereinbaren Sie ein Inventar, das den tatsächlichen Funktionsumfang abbildet – die Angabe „ein Endpunkt“ kann andernfalls eine erhebliche Komplexität verschleiern.

Was ein professioneller Penetration-Testing-Bericht enthalten sollte

Fordern Sie vor der Beauftragung einen anonymisierten Musterbericht an. Lesen Sie einen einzelnen Befund aus der Perspektive eines Entwicklers, der die Schwachstelle beheben soll: Können Sie die betroffene Komponente lokalisieren, die erforderlichen Zugriffsrechte nachvollziehen, das Verhalten in einer autorisierten Umgebung reproduzieren und die empfohlene Behebung verstehen? Selbst ein seitenlanger Bericht kann an diesem einfachen Praxistest scheitern.

Die Management Summary sollte die zentralen Risiken und Prioritäten in verständlicher Geschäftssprache darlegen. Der technische Teil muss diese Schlussfolgerungen mit fundierten Nachweisen belegen. Unterscheiden Sie stets zwischen technischem Schweregrad und geschäftlicher Dringlichkeit: Die technischen Merkmale einer Schwachstelle sind wichtig, aber ebenso entscheidend sind exponierte Daten, erreichbare Nutzer und die Relevanz der Funktion für Ihr Produkt.

Fragen Sie nach, wie Duplikate zusammengefasst und unklare Ergebnisse behandelt werden. Zehn Einzelfunde mit derselben Ursache sind als ein präzise erklärter Befund oft deutlich wertvoller. Umgekehrt kann ein identisches Fehlverhalten an verschiedenen Berechtigungsgrenzen eine getrennte Betrachtung erfordern. Ziel ist ein Bericht, den Ihr Entwicklerteam direkt in priorisierte Aufgaben überführen kann.

Pentesting-Angebote anhand einer einheitlichen Checkliste vergleichen

Übermitteln Sie allen Dienstleistern in der engeren Auswahl dasselbe Briefing und vergleichen Sie deren schriftliche Rückmeldungen. Prüfen Sie die Übereinstimmung mit dem Leistungsumfang, den Anteil manueller Tests, die Nachweisqualität, Kommunikationswege, den Umgang mit Daten und die Nachtest-Konditionen. Vermerken Sie bei jedem Punkt, ob er klar ist, Klärungsbedarf besteht oder außerhalb des Rahmens liegt. Beseitigen Sie wesentliche Unklarheiten, bevor Sie den Endpreis beurteilen.

Erkundigen Sie sich, ob die angegebene Dauer die reine Lieferfrist oder die tatsächliche aktive Testzeit meint. Ein Lieferzeitraum von acht Tagen bedeutet nicht automatisch acht volle Tage manuelle Prüfungen. Klären Sie zudem, wann die Frist beginnt, was geschieht, wenn Testkonten ausfallen, und ob ein Deployment während der Testphase den vereinbarten Prüfumfang beeinflusst.

Regeln Sie Eigentumsrechte am Bericht, Weitergabeberechtigungen, Vertraulichkeit sowie Speicher- und Löschfristen. Falls Ihr Unternehmen Richtlinien für KI-Tools oder Standorte der Datenverarbeitung vorgibt, weisen Sie vor der Übermittlung von Daten darauf hin. Ein Dienstleister sollte seine Arbeitsabläufe so transparent erläutern, dass Sie eine fundierte Beschaffungsentscheidung treffen können.

Trennen Sie die Behebungsempfehlungen von deren technischer Umsetzung. Ein Bericht zeigt Entwicklern auf, was geändert werden muss; die Implementierung und Bereitstellung erfordert interne Entwicklungszeit. Ein Nachtest prüft anschließend die vereinbarten Korrekturen. Für einen detaillierten Preisvergleich nutzen Sie den Leitfaden zu den Penetration-Testing-Kosten 2026.

COLONFILM Penetration-Testing-Pakete und passende Einsatzbereiche

Wählen Sie Basic, wenn Ihr primäres Ziel eine verifizierte Schwachstellenübersicht ist. Wählen Sie Standard, wenn Sie eine manuelle Prüfung des Anwendungsverhaltens über bis zu zwei Benutzerrollen hinweg benötigen. Wählen Sie Premium, wenn die API und deren Berechtigungen ausschlaggebend für die Vergabeentscheidung sind und Sie feste Nachtest-Möglichkeiten zur Verifizierung von Korrekturen wünschen.

Das Bestätigungsschreiben des Premium-Pakets dokumentiert Prüfumfang, Zeitraum und Ergebnisse des Tests. Verlangt ein Auftraggeber ein spezielles Dokument oder bestimmte Qualifikationen des Dienstleisters, teilen Sie diese Anforderungen vor der Buchung mit, damit die Eignung der Arbeitsergebnisse vorab geprüft werden kann. Die präzisen Formulierungen für den Einkauf sind ebenso entscheidend wie die Paketbezeichnung, wenn externe Stellen das Ergebnis prüfen.

COLONFILM ist das Studio von David Colón und Flor in Zaragoza, Spanien, und gestaltet seit 2010. Das Fiverr-Profil ist als Pro und Top Rated eingestuft, mit mehr als 1,000 Bewertungen und einer 4.8-Sterne-Bewertung. Die Arbeit entsteht mit KI-Agenten und wird von einem Menschen geprüft. Bewerten Sie diesen offengelegten Arbeitsablauf im Hinblick auf Ihre Vertraulichkeits- und Beschaffungsanforderungen.

Hierbei handelt es sich um klar definierte Online-Projekte mit strukturierter Übergabe. Bereiten Sie vor der Buchung Ihr Anwendungsinventar, die Benutzerrollen, Ihre bevorzugte Testumgebung, den Zeitplan und den Empfänger des Berichts vor. Sie können dann das Penetration-Testing-Paket auswählen , das Ihrem tatsächlichen Bedarf entspricht, anstatt rein nach dem Preis zu entscheiden.

Den Pentest in einen praxisnahen Behebungsplan überführen

Planen Sie bereits vor Eintreffen des Berichts Entwicklerressourcen ein. Weisen Sie jedem bestätigten Befund einen Verantwortlichen zu, legen Sie dessen Priorität fest und dokumentieren Sie die vorgesehene Fehlerbehebung. Wenn mehrere Schwachstellen auf dieselbe Grundursache zurückgehen, beheben Sie das Problem auf der entsprechenden Architekturebene, statt jede betroffene Ansicht isoliert anzupassen.

Planen Sie beim Premium-Paket ausgehend vom 30-tägigen Nachtest-Fenster rückwärts. Kalkulieren Sie ausreichend Zeit für die Implementierung, interne Kontrollen und ein stabiles Deployment zur Verifizierung ein. Stellen Sie sicher, dass sich die geprüfte Version und der korrigierte Build klar voneinander unterscheiden lassen. Falls sich die Anwendung grundlegend ändert, stimmen Sie ab, ob für neue Funktionen ein separater Prüfumfang erforderlich ist.

Eine erfolgreiche Übergabe schließt mit einem kompakten Entscheidungsprotokoll ab: Was wurde geprüft, welche Schwachstellen wurden identifiziert, was wird vorrangig behoben und wer verantwortet den nächsten Schritt. Ein solches Dokument macht die Prüfung für Entwickler, Geschäftsleitung und Kundenansprechpartner unmittelbar nutzbar, ohne dass jeder Beteiligte die technischen Rohdaten selbst interpretieren muss.

FAQ

Ist ein Vulnerability Assessment dasselbe wie ein Pentest?

Ein Vulnerability Assessment priorisiert erkannte Schwachstellen. Ein Pentest ergänzt dies um die manuelle Untersuchung des tatsächlichen Anwendungsverhaltens und möglicher Auswirkungen. Gleichen Sie die vertraglich vereinbarten Methoden und Nachweise mit Ihren tatsächlichen Anforderungen ab.

Können die Tests in der Produktionsumgebung stattfinden?

Besprechen Sie Einschränkungen für Tests in der Produktion während der Definition des Prüfumfangs. COLONFILM empfiehlt eine repräsentative Staging-Umgebung. Die gewählte Umgebung, das Testfenster, Ansprechpartner und Abbruchkriterien müssen in der schriftlichen Vereinbarung festgehalten werden.

Beweist ein Pentest, dass eine Website absolut sicher ist?

Ein Pentest ist eine autorisierte Prüfung eines vereinbarten Umfangs zu einem bestimmten Zeitpunkt. Der Bericht und das Bestätigungsschreiben dokumentieren diese Arbeiten und deren Ergebnisse; sie stellen jedoch kein Zertifikat für absolute Sicherheit dar.

Was passiert, wenn meine API mehr als 40 Endpunkte umfasst?

Reichen Sie das Inventar vor dem Kauf ein. Das Premium-Paket umfasst bis zu 40 Endpunkte; eine größere oder außergewöhnlich komplexe API erfordert eine Abstimmung des Umfangs, damit Prüfabdeckung und Preisgestaltung transparent bleiben.

Welches COLONFILM-Paket beinhaltet einen Nachtest?

Premium beinhaltet einen Nachtest innerhalb von 30 Tagen. Basic und Standard haben andere Leistungsumfänge; klären Sie daher eventuell benötigte Zusatzprüfungen vor der Buchung ab.