Kostenloses Security Review · Vertraulich & unverbindlich
Über Jahre gewachsene Systeme — oder Zweifel, ob die letzte Agentur sauber gearbeitet hat? Wir prüfen Code, Abhängigkeiten und Infrastruktur und liefern einen priorisierten Befund mit konkreten Schwachstellen und klaren Empfehlungen.
Veraltete Bibliothek mit bekannter Lücke
KritischÖffentlich dokumentiert — automatisiert ausnutzbar
API-Schlüssel im JavaScript-Bundle
KritischFür jeden Besucher im Browser auslesbar
Fehlende Berechtigungsprüfung am Endpunkt
HochFremde Daten per ID-Hochzählen abrufbar
● 2 kritisch ● 1 hoch · Jeder Befund manuell verifiziert — keine Kundendaten
Für wen
Ihr System läuft seit Jahren. Es wurde erweitert, umgebaut, unter Zeitdruck geflickt. Niemand hat mehr den vollen Überblick — und keiner traut sich an ein Update, weil unklar ist, was dabei umfällt.
Eine Agentur oder ein Freelancer hat für Sie gebaut. Sieht gut aus — aber ist es auch sicher, sauber und wartbar? Wir schauen unabhängig und sachlich drauf: mit belegbaren Befunden, ohne Konkurrenz-Rhetorik.
Typische Befunde
Typische Befunde, wie wir sie immer wieder sehen — ohne Kundendaten. Erkennen Sie etwas wieder?
"framework": "^2.1.████" // 3 bekannte CVEs, u. a. Remote-Code-ExecutionRisiko: Öffentlich dokumentierte Lücke — wird automatisiert ausgenutzt, ohne dass Sie jemand gezielt angreift.
Typisch bei: Systemen ohne regelmäßige Updates
const API_KEY = "sk_live_████████"Risiko: Jeder Besucher kann den Schlüssel im Browser auslesen und Ihre Schnittstelle auf Ihre Kosten nutzen.
Typisch bei: schnell gewachsenen Frontends
GET /api/rechnung/1042 // prüft nicht, wem die Rechnung gehörtRisiko: Kunde A kann durch Hochzählen der ID die Rechnungen von Kunde B abrufen.
Typisch bei: Portalen und Kundenbereichen
tests/ … leer · Deployment: manuell per FTPRisiko: Kleine Fixes lösen unbemerkt neue Fehler aus; Weiterentwicklung wird teuer und riskant.
Typisch bei: Übernahmen von Vorgänger-Dienstleistern
Das sind vier von oft dutzenden Befunden. Ihr priorisierter Report zeigt, welche bei Ihnen wirklich zählen. Wie wir Software-Audits aufziehen
Ihren eigenen Befund anfragen2-Minuten-Selbstcheck
Keine Anmeldung, keine Daten an uns — der Check läuft komplett in Ihrem Browser. „Weiß nicht" ist eine normale Antwort und zählt trotzdem als offener Punkt: Was niemand im Blick hat, kann niemand absichern.
Frage 1 von 8: Wurden die Bibliotheken und Frameworks Ihrer Software in den letzten 6 Monaten aktualisiert?
Wurden die Bibliotheken und Frameworks Ihrer Software in den letzten 6 Monaten aktualisiert?
Risiko-Radar
Prüfumfang
Kein oberflächlicher Scan, sondern die Bereiche, in denen Mittelstands-Software erfahrungsgemäß am häufigsten verwundbar ist.
Struktur, Muster, Fehlerbehandlung — offensichtliche Schwachstellen im Anwendungscode.
Veraltete Pakete, bekannte Sicherheitslücken (CVEs), riskante Lizenzen.
Sessions, Tokens, Rollen und Rechte: Wer kommt an was — und wer sollte es nicht?
Datenflüsse, Speicherung, Logging: wo personenbezogene Daten liegen und wie sie geschützt sind.
Konfiguration, Secrets, TLS, exponierte Endpunkte, Backups und Wiederherstellung.
Tests, CI/CD, Monitoring, technische Schuld — wie sicher sind künftige Änderungen?
Aus akuten Funden wird oft laufender Schutz — unser Wartungs- & Support-Modell übernimmt danach.
Ablauf
In der Regel liegt der Befund fünf bis zehn Werktage nach Zugang vor. Sie wissen jederzeit, was passiert und was wir sehen.
Sie schildern kurz Ihr System — ein paar Sätze genügen. Wir klären Umfang und auf Wunsch ein NDA. Lesender Zugriff oder ein Code-Export reicht; Sie geben nur frei, was Sie freigeben wollen.
Scans über Abhängigkeiten, Secrets, bekannte Sicherheitslücken und Konfiguration — breite Abdeckung in kurzer Zeit.
Ein erfahrener Entwickler liest den kritischen Code: Authentifizierung, Rechte, Datenflüsse — genau dort, wo automatische Scanner blind sind.
Sie erhalten den priorisierten Befund: jede Schwachstelle mit Schweregrad, Risiko in Klartext und Empfehlung — und wir besprechen ihn gemeinsam in 30 Minuten.
Ehrlich gesagt
Weil es sich für uns rechnet: Ein Teil der Befunde ist so relevant, dass Kunden die Behebung beauftragen — oft bei uns. Verpflichtet sind Sie zu nichts.
Statt Folien zeigen wir, wie wir denken — an Ihrem echten System. Das überzeugt mehr als jedes Verkaufsgespräch.
Sie bekommen den vollständigen Report — auch ohne Folgeauftrag. Selbst umsetzen, an Ihre bisherige Agentur geben oder liegen lassen: Ihre Entscheidung.
Ein Review, ein Report, ein ehrliches Gespräch. Kein Abo, kein Kleingedrucktes, kein Nachfassen im Wochentakt.
Kostenloses Security Review
Zwei, drei Sätze zu Ihrem System genügen — URL, Tech-Stack oder einfach, worum es geht. Zugang klären wir danach, auf Wunsch mit NDA.
FAQ
In Zahlen
Entwickler, Designer und Strategen aus unserem Hamburger HQ — eingespielt als ein Team.
Unternehmen aus Consumer, Healthcare und B2B vertrauen uns ihre digitalen Produkte an. Langfristige Partnerschaften sind die Regel, nicht die Ausnahme.
Wiederkehrende Engagements und Referenzen, die unsere Kunden tatsächlich anrufen. Vertrauen wächst, wenn Lieferung stimmt.
Maßgeschneiderte Mobile- und Web-Produkte vom Konzept bis zur Wartung — Ende-zu-Ende verantwortet von unserem Team.
Strategie, Design und Entwicklung aus unserem Hamburger HQ. Ein Team, eine Projektleitung, Ihnen gegenüber verantwortlich von Kickoff bis Launch.
Wir begleiten Unternehmen bei ihren digitalen Produkten — und wachsen mit den Teams, mit denen wir arbeiten.
Nächste Schritte
30-minütiges Erstgespräch. Wir besprechen Ihre Ziele, klären offene Fragen und skizzieren den möglichen Projektablauf.
Buchungskalender (Cal.com)
Dieser Bereich bindet den externen Dienst Cal.com ein. Mit dem Laden stimmen Sie zu, dass eine Verbindung zu Cal.com hergestellt und dabei Daten in die USA übertragen werden können.