Seit mittlerweile 13 Jahren führe ich ein Pentesting-Unternehmen. Ich habe den Markt von der Pike auf miterlebt – angefangen damals mit der binsec – binary security UG (haftungsbeschränkt) bis hin zur heutigen binsec group GmbH. In über einem Jahrzehnt an der vordersten Front sieht man so ziemlich alles: grandiose technische Durchbrüche, extrem komplexe Infrastrukturen und … [Read more…]
In vielen aktuellen Anfragen und Ausschreibungen für Penetrationstests wird explizit auf „den BSI-Standard“ oder „den NIST-Standard“ verwiesen. Das klingt zunächst nach methodischer Reife und klaren Qualitätsanforderungen. Aus meiner Sicht ist diese Entwicklung aber nicht unproblematisch: Beide Referenzen sind sehr generisch und ersetzen keine konkrete Leistungsbeschreibung für einen modernen Penetrationstest. Mittlerweile würde ich schätzen, dass gut … [Read more…]
Wer sich im Rahmen einer ISO/IEC 27001:2022 Zertifizierung mit dem Thema Penetration Testing auseinandersetzt, merkt schnell: Die Theorie der Norm und die Realität im Audit klaffen oft meilenweit auseinander. Da die Norm Penetrationstests nicht pauschal als Pflichtmaßnahme vorschreibt, sondern einen risikobasierten Ansatz fordert, betreten viele Unternehmen im Audit eine regulatorische Grauzone. Nach über einem Jahrzehnt … [Read more…]
Es gab diesen Moment schon einmal. Als PHP groß wurde, hat sich Webentwicklung schlagartig verändert. Plötzlich konnte gefühlt jeder eine Website bauen. Ein bisschen Copy & Paste, ein paar Tutorials, günstiges Hosting und das Ergebnis war live. Die Einstiegshürde ist massiv gefallen. Geschwindigkeit und Innovation sind gestiegen. Das Internet ist explodiert. Vieles hat funktioniert. Weniges … [Read more…]
OWASP ZAP gehört zu den bekanntesten Tools im Web-Pentesting. Viele kommen früher oder später damit in Kontakt. In Trainings, Labs oder ersten eigenen Tests ist es oft eines der ersten Werkzeuge überhaupt. Im professionellen Pentesting spielt ZAP dagegen meist eine kleinere Rolle. Was ist OWASP ZAP? OWASP ZAP ist ein Open-Source-Proxy zur Analyse und Manipulation … [Read more…]
Im Umfeld der Anwendungssicherheit tauchen zwei Referenzen besonders häufig auf: die OWASP Top 10 und die CWE Top 25 Most Dangerous Software Weaknesses. Beide Listen werden regelmäßig in Security-Guidelines, Schulungen oder Pentest-Berichten erwähnt und sollen typische Sicherheitsprobleme in Software sichtbar machen. Auf den ersten Blick scheinen beide Listen dasselbe zu behandeln: häufige Schwachstellen in Software. … [Read more…]
Der Penetration Testing Execution Standard (PTES) beschreibt eine strukturierte Methodik für die Durchführung von Penetrationstests. Ziel des Standards ist es, typische Projektphasen eines Pentests zu definieren und damit einen nachvollziehbaren Ablauf von der Planung bis zur Dokumentation der Ergebnisse zu schaffen. Der Standard entstand um 2010 als gemeinschaftliche Initiative von Sicherheitsexperten. PTES wird bis heute … [Read more…]
In 2025 erhielt die binsec GmbH eine „Ausschreibung der Emirates Group“ von vendor.registration@theemirategroup.com. Bei dieser vermeintlichen Ausschreibung handelt es sich um einen gezielten Vorschussbetrug (Advance Fee Fraud). Ich warne ausdrücklich davor, auf E-Mails der Domainzu reagieren oder gar Zahlungen zu leisten. Es handelt sich hierbei um eine perfide Betrugsmasche, bei der die Identität der echten … [Read more…]
Alle paar Monate werde ich dieselbe Frage gestellt: „Was findet ihr eigentlich typischerweise in einem Web-Pentest?“ Statt anekdotisch zu antworten, habe ich die aggregierten Daten der letzten 12 Monate aus unseren Webanwendungstests (inklusive angebundener APIs) bei der binsec GmbH ausgewertet. Das Ergebnis ist die untenstehende Grafik – und sie bestätigt die Muster, die sich seit … [Read more…]
TISAX (Trusted Information Security Assessment Exchange) ist der branchenspezifische Sicherheitsstandard der Automobilindustrie – entwickelt vom VDA und betrieben durch die ENX Association. Er stellt sicher, dass Unternehmen nachweislich ein hohes Niveau an Informationssicherheit erfüllen und dieses vertrauenswürdig mit Partnern teilen können. Im Rahmen von TISAX ist die regelmäßige Durchführung von Penetrationstests ein zentraler Bestandteil des … [Read more…]
