Anwendungssicherheit

Wer darf in Ihrer Anwendung wirklich was? Und wer könnte es,
wenn er es darauf anlegt?

Ich analysiere und behebe typische Schwachstellen in Webanwendungen, APIs und Backend-Systemen – nicht nur als Bericht, sondern bis der Fix produktiv ist.

Typische Schwachstellen

Die meisten realen Sicherheitsvorfälle entstehen nicht durch exotische Angriffe, sondern durch bekannte Schwachstellenklassen, die im Alltag übersehen werden:

  • Broken Access Control, fehlerhafte Rollen- und Rechteprüfungen
  • IDOR/BOLA bei Zugriffen auf fremde Datensätze
  • Cross-Site Scripting, SQL Injection und CSRF
  • Schwachstellen bei Authentifizierung und Session-Management
  • unsichere Cookies, Tokens und Login-Prozesse
  • Security Misconfiguration, ungeschützte Admin-Endpunkte
  • verwundbare oder veraltete Dependencies
  • Risiken in Build-, Dependency- und CI/CD-Supply-Chains
  • Secrets in Git-Repositories, Logs oder Konfigurationen
  • SSRF, Command Injection und Path Traversal
  • unsichere Datei-Uploads und Deserialisierung
  • Mass Assignment und unerlaubte Feldmanipulation
  • fehlendes Rate-Limiting, kein Schutz vor Brute Force
  • unzureichendes Security-Logging und Monitoring

Was ich tue

Security-Analyse mit Entwicklerblick

  • Code- und Architektur-Review: Berechtigungslogik, Datenflüsse, Vertrauensgrenzen
  • OWASP-orientiert: systematisch entlang der bekannten Schwachstellenklassen
  • Konfiguration & Betrieb: Security Misconfiguration, exponierte Endpunkte, Secrets
  • Priorisierung: Was ist ausnutzbar und kritisch – was ist theoretisch?

Behebung statt Bericht

  • Spring-Security-Konzepte: Überarbeitung von Authentifizierung, Autorisierung und Session-Handling
  • REST-API-Absicherung: Schutz gegen unberechtigte Datenzugriffe (IDOR/BOLA)
  • Sichere Secret-Verwaltung: raus aus Code, Logs und Repositories
  • Hands-on: Ich behebe die Schwachstellen selbst oder mit Ihrem Team – bis produktiv

Dauerhafte Absicherung

  • Automatisierte Berechtigungstests: Zugriffskontrolle wird testbar und bleibt korrekt
  • Dependency- und CVE-Scans: als fester Teil der CI/CD-Pipeline
  • Security-Logging & Monitoring: Vorfälle erkennen und nachvollziehen können
  • Leitplanken: Security-Anforderungen, die das Team im Alltag einhalten kann

Für wen?

Sinnvoll, wenn:

  • Ihre Anwendung sensible oder personenbezogene Daten verarbeitet
  • Rollen und Rechte historisch gewachsen sind und niemand mehr alles überblickt
  • APIs nach außen geöffnet wurden (Kunden, Partner, Mobile Apps)
  • Dependencies lange nicht aktualisiert wurden
  • Ein Kunde, Auditor oder Pentest-Bericht Sicherheitsfragen gestellt hat
  • Sie Sicherheit in den Entwicklungsprozess einbauen wollen statt einmalig zu prüfen

Wissen Sie, wie sicher Ihre Anwendung ist?

Lassen Sie uns in einem ersten Gespräch klären, wo die größten Risiken liegen
und was zuerst abgesichert werden sollte. Unverbindlich, 30 Minuten, kostenfrei.

Erstberatung vereinbaren (30 Min., kostenfrei)