Angebote für Website-Sicherheit: Erst den Umfang vergleichen

Gehört das Kundenportal zur Website?

Angenommen, Firmenwebsite, Kundenportal und API liegen auf getrennten Hostnamen. Nennt ein Angebot nur die Firmenwebsite, ist die Einbeziehung der anderen nicht geklärt. Dies ist ein Einkaufsbeispiel, kein Kundenfall. Senden Sie die tatsächlichen URLs und lassen Sie das enthaltene Ziel schriftlich benennen.

Fragen Sie nach Testkonten. Öffentliche Seiten anzusehen und zwei Kundenrollen zu vergleichen erfordert unterschiedliche Zugriffe und Arbeiten. Die Bezeichnung „Websicherheit“ sagt dazu wenig. Ein öffentlicher Check klärt nicht, ob ein Kunde fremde Bestellungen sehen kann.

Kann die Entwicklung mit dem Befund arbeiten?

Verlangen Sie vor der Zahlung einen bereinigten Musterbericht. Suchen Sie betroffene Stelle, Beobachtungsbedingungen, Nachweise ohne Geheimnisse, mögliche Auswirkungen und Korrekturvorschläge. Ein Screenshot ohne Bedingungen lässt sich schwer nachvollziehen. Eine lange Warnliste kann die Prüfung auf Fehlalarme beim Entwickler belassen.

Auch ungeprüfte Bereiche sollten sichtbar sein. Fragen Sie, wie Unsicherheit gekennzeichnet wird und wer die Nachweise prüft. Seitenzahl und Fundmenge ersetzen diese Antworten nicht. Ohne Funde muss der Bericht weiterhin Umfang und Grenzen nennen; er bestätigt nicht die Sicherheit des gesamten Systems.

Was der Mingxi-Check für US$120 enthält

Geprüft wird ein vereinbartes öffentliches Website- oder API-Ziel ohne Anmeldung. Subdomains, andere Anwendungen und zusätzliche Assets sind nicht automatisch enthalten. Vereinbarte öffentliche Angriffsfläche, Basiskonfiguration und überprüfbare häufige Risiken gehören dazu. Ein Ingenieur prüft Nachweise, Schweregrad und Maßnahmen. Quellcode, angemeldete Funktionen, mehrere Kontorollen und Geschäftslogiktests sind ausgeschlossen.

Der PDF-Bericht kommt per E-Mail in der vereinbarten Sprache. Die zwei Werktage beginnen nach Bestätigung von Eigentümerschaft, Autorisierung, Umfang, notwendigen Unterlagen und Zahlung. Eine Nachprüfung ist standardmäßig nicht enthalten; Umfang und Preis werden separat vereinbart. Lesen Sie vor Bestellung den aktuellen Leistungsumfang.

Vereinbarung und Bericht zusammen aufbewahren

Halten Sie Ziel, Ausschlüsse, Ergebnisformat, Startbedingungen und Empfänger fest. Ergänzen Sie tatsächlich vereinbarte Storno- und Terminregeln. Fehlende Bedingungen sollten nicht durch Annahmen ersetzt werden.

Nach einer Korrektur dokumentieren Sie Deployment-Version und Befundnummer. Fragen Sie, welche Nachweise eine separat beauftragte Nachprüfung liefert. Ein unauffälliger neuer Scan der Startseite belegt nicht die Reparatur eines anderen betroffenen Endpunkts.

Praktische Checkliste

• URLs senden und Ausschlüsse klären.
• Nutzung von Testkonten bestätigen lassen.
• Musterbericht und Startbedingungen lesen.
• Nachprüfung und Storno vor Zahlung klären.

Häufige Frage

Ist ein günstiger Check automatisch sein Geld nicht wert?

Nein. Eine kleine, klar abgegrenzte Prüfung kann zu einer einfachen öffentlichen Website passen. Entscheidend ist, ob sie Ihre Risikofrage beantwortet. Eine Prüfung mit Konten, Quellcode oder Geschäftslogik kann sie nicht ersetzen.