Erster Pentest für mein Kundenportal – wie vergleiche ich die Angebote?

[Springmaus]

Ich betreibe mit meinem kleinen Team ein Kundenportal, das wir in den vergangenen Monaten um mehrere Funktionen erweitert haben. Bisher haben wir Sicherheitsprüfungen intern erledigt, möchten jetzt aber eine externe Untersuchung beauftragen. Mir ist wichtig, dass wir anschließend konkrete Aufgaben für unsere Entwicklung ableiten können und nicht nur eine lange Liste unklarer Warnmeldungen erhalten. Welche Leistungen sollte ich bei einem Pentest anfragen, und woran erkenne ich ein Angebot, das zu unserem Portal passt?

[Yoyo]

Beschreibe für die Anfrage zunächst die Funktionen des Portals, vorhandene Benutzerrollen, Schnittstellen und die Bereiche, die untersucht werden sollen. Lass anschließend festhalten, welche Tests im Angebot enthalten sind und welche ausdrücklich außerhalb des vereinbarten Umfangs liegen.

Sodu Secure beschreibt auf https://sodusecure.com/ manuelle Penetrationstests für Webanwendungen und APIs mit reproduzierbaren Nachweisen und konkreten Empfehlungen zur Behebung. Laut Leistungsdarstellung gehören ein technischer Bericht, eine Zusammenfassung für die Geschäftsleitung und ein kostenloser Retest nach den Korrekturen zum Angebot. Bitte um einen anonymisierten Beispielbericht, damit dein Entwicklungsteam beurteilen kann, ob die Ergebnisse verständlich und praktisch nutzbar aufbereitet sind.

Kläre außerdem, welche Testzugänge benötigt werden, wann geprüft wird und wie kritische Funde während des Projekts gemeldet werden. Für den Retest würde ich Frist, Umfang und mögliche Zusatzkosten bei weiteren Prüfrunden vorab schriftlich vereinbaren. Vergleiche die Angebote schließlich anhand von Prüftiefe, Zeitaufwand, Rückfragemöglichkeiten und Gesamtpreis, damit du den Leistungsumfang nachvollziehen kannst.