Audit
Source Code Audit: Sichere Software ab der ersten Code-Zeile
Vor einem Release, für einen Kunden oder für den Cyber Resilience Act: Wir prüfen Ihren Quellcode unabhängig, finden Schwachstellen dort, wo sie entstehen, und geben Ihren Entwicklern klare Empfehlungen zur Behebung.
Kostenlos und unverbindlich. Ihr Angebot erhalten Sie innerhalb von 48 Stunden.
Unsere Leistungen im Security Code Review
Wir prüfen Ihren Quellcode dort, wo das Risiko am höchsten ist:
- Security Code Review für alle höheren Programmiersprachen
- Risikobasierter Ansatz mit Fokus auf die kritischsten Komponenten
- Werkzeuge aus dem OWASP-Umfeld und Methoden nach MITRE
- Kombination mit einem Penetrationstest am laufenden System
- Aus den Ergebnissen abgeleitete Secure Coding Trainings für Ihr Team
Ihr Ergebnis des Code-Audits
Nach jedem Source Code Audit kennen Sie den aktuellen Sicherheitsstatus Ihres Source Codes:
- Detaillierter Auditbericht mit allen Feststellungen
- Klare Handlungsempfehlungen für Ihre Entwickler
- Ein Nachweis für Kunden und für den Cyber Resilience Act
So läuft Ihr Source Code Audit ab
Vor dem Audit legen wir gemeinsam fest, welche Komponenten wir prüfen:
- Erstgespräch und Scoping.
- Ihr Angebot mit Umfang und Vorgehen
- Audit der priorisierten Komponenten.
- Bericht und Abschlussgespräch mit Ihrem Entwicklungsteam.
Warum Securitects
- Spezialisten für sichere Softwareentwicklung: Werkzeuge aus dem OWASP-Umfeld und Methoden nach MITRE
- Das Kritische zuerst: risikobasiert, mit Fokus auf die kritischsten Komponenten
- Code und laufendes System: auf Wunsch kombiniert mit einem Penetrationstest
- Aus Fehlern lernen: Secure Coding Trainings, abgeleitet aus den Ergebnissen Ihres Audits
Mehr über unser Team und seine Qualifikationen
Häufige Fragen zum Source Code Audit
Nicht zwingend. Wir legen im Scoping fest, welche Komponenten geprüft werden, und richten uns nach Ihren Vorgaben zur Vertraulichkeit.
Das hängt von Umfang und Komplexität des Codes ab. Im Scoping legen wir fest, welche Komponenten wir prüfen, und nennen Ihnen den Aufwand im Angebot.
Alle höheren Programmiersprachen. Nennen Sie uns im Erstgespräch Ihre Sprachen und Frameworks, dann stellen wir das passende Vorgehen zusammen.
Ja. Der CRA verlangt, dass Produkte ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden. Ein Code Audit ist ein wirksamer Weg, das nachzuweisen.
Der Aufwand wird vor allem bestimmt durch:
- Umfang und Struktur des zu prüfenden Codes
- Eingesetzte Sprachen, Frameworks und Architektur
- Kritikalität der Komponenten, etwa Authentisierung, Zahlungs- oder Steuerungslogik
- Gewünschte Prüftiefe und eine mögliche Kombination mit einem Penetrationstest
Durch den risikobasierten Ansatz fließt Ihr Budget in die kritischsten Teile.
Ein Code Audit setzt im Quellcode an. Wir sehen, wie Ihre Software intern arbeitet, und finden Ursachen wie fehlerhafte Eingabeprüfung, unsichere Kryptografie, fest hinterlegte Zugangsdaten oder Lücken in der Berechtigungslogik, auch in Codepfaden, die von außen schwer erreichbar sind. Der Penetrationstest greift dagegen das laufende System an und zeigt, was tatsächlich ausnutzbar ist. Beide Prüfungen ergänzen sich.
Werkzeuge zur statischen Codeanalyse (SAST) sind ein guter Anfang, haben aber Grenzen. Sie melden viele Fehlalarme und erkennen Fehler in der Geschäftslogik, etwa fehlende Berechtigungsprüfungen, meist nicht. Wir setzen solche Werkzeuge ein, prüfen ihre Treffer und die kritischen Komponenten aber zusätzlich manuell. So erhalten Ihre Entwickler bestätigte Feststellungen mit Kontext statt einer langen Liste möglicher Funde.
Sinnvoll ist ein Audit vor allem:
- Vor dem ersten Release oder einem großen Versionssprung
- Nach größeren Änderungen an sicherheitskritischen Komponenten
- Wenn ein Kunde einen unabhängigen Nachweis verlangt
- Bei der Übernahme von Code, etwa durch Zukauf oder Wechsel des Entwicklungspartners
- Zur Vorbereitung auf den Cyber Resilience Act
Je früher eine Schwachstelle auffällt, desto günstiger ist ihre Behebung.
Starten Sie Ihr Source Code Audit
Im kostenlosen Erstgespräch legen wir den Umfang für das Source Code Audit fest.