Schwachstellenscan für Websites, APIs und Cloud
Eine Lücke in der Website reicht oft für einen Angriff. SnapScan findet solche Lücken, bevor es andere tun. Sie bekommen klare Befunde mit Beweis und einen Plan zur Behebung. Nach dem Fix prüfen Sie mit einem Klick nach.
Demo anfragenDer Website-Sicherheitscheck
Der Einstieg ist einfach. Sie geben Name, E-Mail und Domain ein. SnapScan prüft, ob Sie für die Domain berechtigt sind. Dann läuft der Scan automatisch.
Der Schwachstellenscan prüft Ihre Systeme auf bekannte Lücken aller Schweregrade. Er greift dabei nicht aktiv an. Für mehr Tiefe gibt es den Web-Recon in drei Stufen:
- Schnell: Subdomains und Web-Dienste finden, in wenigen Minuten.
- Normal: eine gründlichere Runde über Ihre Web-Präsenz.
- Tief: zusätzlich aktive Tests auf Schwachstellen.
APIs, Cloud und Kubernetes prüfen
API-Tests und DAST mit Login
Eine API ist die Schnittstelle, über die Programme Daten austauschen. SnapScan prüft dort Header, CORS und Cookie-Einstellungen. Es meldet auch offen lesbare API-Beschreibungen. Mit einem Login geht der DAST weiter. DAST heißt: die laufende Anwendung von außen testen. So zeigt sich, ob ein Nutzer fremde Daten sehen kann. Diese Tests laufen nur innerhalb eines Engagements.
Cloud-Konten und Kubernetes
Von außen findet SnapScan offene Cloud-Speicher und verwaiste DNS-Einträge. Von innen liest es die Einstellungen Ihrer Konten in AWS, Azure und GCP. Dazu zählen Rechte, Firewall-Regeln, Verschlüsselung und Protokolle. Auch Kubernetes-Cluster prüft SnapScan. Beides geschieht nur lesend, gegen die Prüfkataloge des CIS. Ihre Zugangsdaten liegen verschlüsselt (AES-256-GCM).
Befunde, mit denen Ihr Team arbeiten kann
Eine lange Liste hilft niemandem. In SnapScan ist jeder Befund ein eigener Datensatz. Er hat einen Schweregrad, CVE und CVSS, einen Host und einen Status.
- Klarer Status: offen, verifiziert, behoben, akzeptiert oder Fehlalarm.
- Keine Duplikate: Wiederholte Scans erzeugen keinen neuen Eintrag. SnapScan merkt sich, wann ein Befund zuerst und zuletzt auftrat.
- Evidenz: Jeder Beweis wird als gehashtes Artefakt gespeichert, etwa als Screenshot. So lässt sich später prüfen, ob er verändert wurde.
- Retest: Ein Klick prüft genau einen Befund neu. Das Ergebnis: noch vorhanden, nicht mehr gesehen oder unklar.
Zu jedem Befund gibt es Hinweise zur Behebung. Daten aus CISA KEV und EPSS zeigen, welche Lücken Angreifer bereits nutzen.
Reports für Technik und Geschäftsführung
Der White-Label-Report trägt Ihr Branding. Er beginnt mit einer kurzen Zusammenfassung und einer Gesamtbewertung. Danach folgen die Details mit CVE- und CWE-Referenzen. Ein Markdown-Report schwärzt Geheimnisse wie Passwörter. Für Entwicklerteams gibt es einen Export im Format SARIF.
Ein Scan ersetzt keinen manuellen Test. Für Business-Logik und verkettete Angriffe brauchen SiePenetrationstestsdurch Menschen.
Rechtlicher Hinweis: Scans erfolgen nur mit Berechtigung des Inhabers der geprüften Systeme. Das Scannen fremder Systeme ohne Erlaubnis kann strafbar sein.
Häufige Fragen zum Schwachstellenscan
- Wie lange dauert ein Schwachstellenscan?
- Das hängt von der Tiefe ab. Der schnelle Web-Recon findet Subdomains und Web-Dienste in Minuten. Normale und tiefe Scans brauchen länger, weil sie mehr prüfen. Eine E-Mail meldet, wenn Ihr Report fertig ist.
- Greift der Schwachstellenscanner meine Website an?
- Der passive Scan und der Schwachstellenscan greifen nicht aktiv an. Erst die tiefe Stufe führt aktive Tests aus. Tests mit Login laufen nur innerhalb eines Engagements, das Sie vorher festlegen.
- Was steht im Report?
- Sie erhalten einen White-Label-Report als HTML. Er enthält eine Zusammenfassung für die Geschäftsführung, eine Gesamtbewertung des Risikos, CVE- und CWE-Referenzen und Hinweise zur Behebung. Zusätzlich gibt es einen Markdown-Report, in dem Geheimnisse wie Passwörter geschwärzt sind.
- Wer darf einen Website-Sicherheitscheck starten?
- Nur wer für die Domain berechtigt ist. Passt Ihre E-Mail-Domain zur Ziel-Domain, startet der Scan sofort. Freemail-Adressen zählen nicht. Sonst weisen Sie die Domain per DNS-TXT-Eintrag nach.
Den Schwachstellenscanner testen
Wir zeigen Ihnen einen Scan an einem Beispielziel. Gemeinsam klären wir, welcher Einstieg zu Ihnen passt.
Demo anfragenSo arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.