Wir lassen inkasso.live regelmäßig gezielt angreifen – autorisiert, auf einer Instanz, die der Produktivumgebung entspricht, damit Ihre Daten dabei nie berührt werden. Jeder Durchgang fällt härter aus als der vorige.

Was geprüft wird

• Anmeldung: Passwort-Raten mit wechselnden Absenderadressen, Kontenerkennung über Antwortzeiten, Wiederherstellung von Zugängen und Sitzungen.
• Rechte und Mandantentrennung: Kommt ein Konto an Daten einer fremden Organisation oder an Funktionen, für die ihm die Rolle fehlt? Wir prüfen das auch mit absichtlich „entwendeten“ Zugangsdaten und Sitzungen.
• Schnittstellen: manipulierte und übergroße Anfragen, eingeschleuste Steuerzeichen, Pfadmanipulation, Fehlermeldungen, die zu viel verraten.
• Verbindung und Auslieferung: Verschlüsselung (nur aktuelle TLS-Versionen), Sicherheits-Header, keine öffentlich lesbaren Quelltexte oder internen Schnittstellenbeschreibungen.
• Belastbarkeit: Verbindungsfluten, absichtlich langsame Clients und Lastspitzen – der Dienst muss erreichbar bleiben und sich selbst erholen.
• Bekannte Schwachstellen: automatisierte Scans mit mehreren tausend Prüfmustern sowie die Überwachung aller eingesetzten Bibliotheken.

Was mit einem Befund passiert