Wir greifen deine Website an. Mit deiner Freigabe.
Ein Pentest zeigt dir, wo Angreifer bei deiner Website wirklich ansetzen können. Du bekommst den vollständigen Bericht und eine Stunde im Videocall mit einem Experten, der dir die Probleme erklärt.
HOTELXY-003Hoch
Konfigurationsdatei mit Zugangsdaten öffentlich abrufbar
- Betroffen
- Erwartet
- Konfigurationsdateien sind von außen nicht erreichbar.
- Beobachtet
- Die Datei lässt sich ohne Anmeldung abrufen und enthält im Klartext.
- Beleg
- Behebung und Retest
- Datei entfernen und Zugangsdaten austauschen. Danach muss die Adresse abgewiesen werden.
€ 4.990,–
Pauschal pro Website
Nettopreis, zuzüglich 20 % USt. Das Angebot richtet sich an Unternehmen, Destinationen und Agenturen.
Eine Website heißt: die vereinbarte Domain mit ihren Funktionen. Weitere Hosts und Subdomains stimmen wir vorab mit dir ab.
Wie tief wir prüfen können, hängt davon ab, was du bereitstellst. Ohne Zugänge sehen wir, was auch ein Besucher ohne Anmeldung sieht.
Der Bericht
Lesbar für die Geschäftsführung und konkret genug für deine Webagentur. Als PDF und HTML.
- Kurzbewertung für die Geschäftsführung, ohne Fachchinesisch
- Alle bestätigten Schwachstellen, auch die niedrig eingestuften, mit Nachweis, Schweregrad und CVSS v4.0, wo er sich belastbar berechnen lässt
- Für jeden Befund die konkrete Behebung, die Zuständigkeit und ein Kriterium, an dem du den Erfolg erkennst
- Härtungshinweise und offene Verdachtsfälle, klar getrennt von bestätigten Lücken
- Was gut geschützt ist, und was nicht geprüft werden konnte
- Priorisierter Maßnahmenplan, Prüfmatrix und Behebungslog zum Abarbeiten
- Einordnung zu DSGVO Art. 32 und, wo es passt, NIS2 und ISO/IEC 27001, als Orientierung und ohne Zertifizierung
Eine Stunde im Videocall
Ein Experte geht den Bericht mit dir durch und erklärt dir die Probleme: was sie bedeuten, wie dringend sie sind und womit du anfängst. Hol deine Agentur gern dazu.
Nicht im Paket: die Umsetzung der Maßnahmen und ein erneuter Test nach der Behebung.
So läuft es ab
-
Anfrage
Du schickst uns deine Website und was sie kann. Damit startet noch kein Test.
-
Umfang und Freigabe
Wir legen Hosts, erlaubte Handlungen und Testzeitraum fest. Du gibst die Prüfung schriftlich frei.
-
Prüfung
Wir testen schonend und nur, was vereinbart ist. Dringende Risiken erfährst du noch während der Prüfung, nicht erst im Bericht.
-
Bericht
Du bekommst alle Befunde mit Nachweis und Behebung, den Maßnahmenplan und die Prüfmatrix.
-
Videocall
Eine Stunde mit dem Experten. Danach weißt du, was zu tun ist und in welcher Reihenfolge.
Was wir prüfen
Zehn Bereiche, von der Verschlüsselung bis zum KI-Chatbot. Von außen prüfen wir, was öffentlich erreichbar ist. Für Login, Zugriffsrechte und Buchungsabläufe brauchen wir Testkonten oder eine Testumgebung, für das Backend Einblick. Was wir nicht prüfen konnten, steht als Prüflücke im Bericht. Ausgelegt ist die Prüfung besonders auf Hotels, Destinationen und Buchungsstrecken.
- Server, Verschlüsselung und HTTP
HTTPS, Zertifikate, Weiterleitungen, Caching und Diagnoseflächen.
- Browser und Frontend
CSP, Cookies, Clickjacking, CORS und Drittanbieter. CSRF bei freigegebenen Testhandlungen.
- Login, Sitzungen und Schnittstellen
Mit Testkonten: Anmeldung, Passwort-Reset, Tokens, REST und GraphQL. Von außen nur, was öffentlich erreichbar ist.
- DNS und E-Mail
SPF, DMARC und verwaiste Einträge. DKIM anhand bekannter Selektoren oder deiner Mail-Header.
- Offene Dateien und Komponenten
Öffentlich erreichbare Backups und Konfigurationen, erkennbare Komponenten und Hinweise auf bekannte Lücken.
- Zugriffsrechte
Mit Testkonten und Testobjekten: Zugriff auf fremde Testbuchungen, Gästelinks, Rollen und Mandanten.
- Eingaben und Verarbeitung
XSS, SQL-Injection und Open Redirects mit harmlosen Markern, dazu Hinweise auf SSRF.
- Buchung, Zahlung, Dateien, Tracking
Mit Testumgebung: Preise, Gutscheine, Webhooks und Uploads. Consent und Tracking auch von außen.
- KI-Assistenten und Chatbots
Prompt Injection, Datenabfluss und falsche Preisauskünfte. Kostenlimits nur mit Einblick.
- Backend und Überwachung
Code, Secrets und Logging, wenn du uns Einblick gibst.
Wer prüft, und wie
Der Pentest läuft KI-gestützt und automatisiert, mit gezielten Einzelanfragen statt Massenscans. Das schont deine Website, und jeder Schritt bleibt nachvollziehbar.
Alle Ergebnisse prüft und plausibilisiert Prof. DDr. Roman Egger, bevor sie in deinen Bericht kommen. Das steht auch offen im Bericht.
Als Befund gilt nur, was belegt ist. Ein HTTP-Status, eine Versionsnummer oder die Aussage eines Chatbots reichen dafür nicht. Eine Mindestzahl an Befunden gibt es nicht.
SecScan ist ein Angebot von SmartVisions.
Was wir bewusst nicht tun
- Keine Lasttests und keine Massenabfragen
- Keine Passwortangriffe
- Keine Malware, Webshells oder dauerhaften Zugänge
- Keine Datenbankabzüge und kein Sammeln echter Gästedaten
- Keine echten Buchungen, Zahlungen oder Stornos ohne freigegebene Testumgebung
- Kein Test außerhalb der freigegebenen Hosts, auch nicht bei Anbietern auf derselben IP
Häufige Fragen
Kann meine Website beim Test ausfallen?
Wir testen schonend: gezielte Prüfanfragen laufen einzeln und mit mindestens zwei Sekunden Abstand, Lasttests gibt es keine. Bei Fehlermeldungen, Sperren oder auffälligen Antwortzeiten pausieren wir. Ein Restrisiko hat jede aktive Prüfung, deshalb legen wir vorab fest, wer im Notfall erreichbar ist.
Wer darf einen Pentest beauftragen?
Du musst berechtigt sein, die Prüfung für diese Website freizugeben. Das bist du als Betreiber, oder als Agentur mit dem Auftrag des Betreibers. Betrifft der Test Systeme von Anbietern, etwa Hosting oder Buchungsplattform, klären wir das vorab.
Muss ich Zugänge bereitstellen?
Nein, die Prüfung von außen geht ohne Zugang. Für Gästeportale, Rollen und Mandanten brauchen wir aber Testkonten, sonst lassen sich diese Rechte nicht prüfen. Das steht dann als Prüflücke im Bericht. Was welche Prüfung braucht, siehst du unter Details.
Ist meine Website danach garantiert sicher?
Nein, und das kann seriös niemand versprechen. Ein Pentest ist eine Momentaufnahme im vereinbarten Umfang und kann nicht jede denkbare Lücke finden. Der Bericht zeigt dir deshalb auch offen, was nicht geprüft werden konnte.
Bekomme ich ein Zertifikat?
Nein. Wir orientieren uns an OWASP und CVSS und ordnen Befunde zu DSGVO, NIS2 und ISO/IEC 27001 ein. Das ist eine fachliche Orientierung, keine Konformitätsbestätigung und keine Rechtsberatung.
Was passiert mit den Daten aus dem Test?
Belege speichern wir nur, soweit sie nötig sind, und entfernen vorher Zugangsdaten, Tokens und echte personenbezogene Daten. Für die Auswertung laufen Antworten deiner Website auch über die KI-Dienste, die wir einsetzen. Welche das sind, sowie Aufbewahrung und Löschung, vereinbaren wir im Auftrag.
Pentest anfragen
Schick uns deine Website, wir melden uns per E-Mail und klären Umfang und Termin mit dir.
€ 4.990,– pro Website, netto
Bericht und eine Stunde Videocall mit einem Experten.
Lieber direkt schreiben? roman.egger@smartvisions.at