Viele Sicherheitslücken entstehen nicht durch exotische Angriffe, sondern durch Fehler in der eigenen Logik: ein fehlender Berechtigungscheck, eine API, die mehr Daten liefert als nötig, ein Filter, der beim Mandantenwechsel vergessen wurde. Ein Penetrationstest sucht genau diese Fehler aus der Perspektive eines Angreifers.
Abgrenzung
Ein automatisierter Schwachstellenscan findet bekannte Probleme wie veraltete Bibliotheken oder fehlende Sicherheits-Header, schnell und günstig. Ein Audit prüft Konfigurationen und Prozesse gegen einen Standard. Ein Pentest geht weiter: Fachleute versuchen aktiv, Schwachstellen auszunutzen und zu verketten, und finden dabei Logikfehler, die kein Scanner erkennt. Die drei ergänzen sich.
Black-, Grey- und White-Box
Beim Black-Box-Test haben die Tester keine Vorinformationen, wie ein externer Angreifer. Beim Grey-Box-Test erhalten sie Testkonten mit verschiedenen Rollen, was für SaaS meist am sinnvollsten ist, weil die gefährlichsten Fehler zwischen Rollen und Mandanten liegen. Beim White-Box-Test haben sie zusätzlich Zugang zu Code und Architektur, was die Abdeckung erhöht.
Was bei SaaS besonders geprüft wird
Mandantentrennung: Kann ein Nutzer von Kunde A über manipulierte Kennungen auf Daten von Kunde B zugreifen? Berechtigungen innerhalb eines Mandanten: Kann ein normaler Nutzer Administratorfunktionen auslösen? Authentifizierung und Sitzungen, inklusive SSO-Konfiguration und Passwort-Rücksetzung. APIs und Webhooks. Datei-Uploads. Und bei KI-Funktionen zunehmend Prompt Injection und Datenabfluss über Werkzeuge.
Wann ein Pentest sinnvoll ist
Vor dem Go-live eines Produkts mit sensiblen Daten, vor dem Abschluss mit Unternehmenskunden, die einen Bericht verlangen, nach grösseren Architekturänderungen und danach in einem regelmässigen Rhythmus. Ein Pentest auf einem Produkt mit offensichtlichen Grundproblemen ist allerdings verschwendetes Geld: Zuerst sollten Grundlagen wie Row Level Security, Abhängigkeitsupdates und Konfiguration stimmen.
Befunde nachhaltig beheben
Ein Pentest-Bericht ist eine Momentaufnahme. Wert entsteht, wenn Befunde nach Schwere behoben, die Behebung verifiziert und die Ursache adressiert wird — etwa durch einen automatisierten Test, der den Fehler künftig verhindert. Ein Befund zur Mandantentrennung ist selten ein Einzelfall, sondern ein Hinweis auf ein Muster. Pentests sind eine der technischen Massnahmen, die Datenschutzrecht als regelmässige Überprüfung der Wirksamkeit verlangt. Die Vorbereitung beschreibt unsere Sicherheits-Checkliste vor dem Go-live.