Sicherheitstests, die mit Ihrem Produkt ausgeliefert werden

Sie deployen zu schnell, um auf einen Pentest zu warten

Manuelle Projekte dauern vom Scoping bis zum Bericht 3–6 Wochen. Bis die Findings eintreffen, ist der Code längst bei hundert Kunden.

Multi-Tenant-IDOR ist Ihr größtes Risiko

Dass ein Kunde auf die Daten eines anderen zugreift, ist das Breach-Szenario, an dem SaaS-Unternehmen zerbrechen. Es ist zugleich die Schwachstellenklasse, die automatische Scanner am häufigsten übersehen, weshalb die KI von Penetrify Autorisierung systematisch über alle Nutzerrollen hinweg prüft.

SOC 2 verlangt Nachweise über Penetrationstests

Auditoren wollen sehen, dass Sie regelmäßig testen, nicht nur einmal. Penetrify erzeugt strukturierte Berichte, die die Security-Testing-Controls nach SOC 2 Type II erfüllen, und die Nachweiskette wächst mit jedem Scan.

CC6.1: Logische und physische Zugriffskontrollen, einschließlich Nachweisen über Penetrationstests

A.12.6: Management technischer Schwachstellen und Sicherheitstests

Artikel 32: Regelmäßige Überprüfung technischer Sicherheitsmaßnahmen

Artikel 28–30: Kunden aus dem Finanzsektor müssen IKT-Drittparteienrisiko steuern, was in Ihren Sicherheitsfragebögen landet

SOC 2: Was Auditoren tatsächlich als Testnachweis akzeptieren

SOC-2-Type-II-Berichte decken einen Zeitraum ab, typischerweise 6 bis 12 Monate, und genau darin liegt die Falle beim Testnachweis: ein einzelner Pentest-Bericht von einem Datum belegt nicht, dass Ihre Controls über den gesamten Zeitraum wirksam waren. Auditoren, die CC6.1 (logischer Zugriff) und CC7.1 (Schwachstellenidentifikation) prüfen, fragen zunehmend, was zwischen den jährlichen Projekten und nach wesentlichen Änderungen getestet wurde.

Eine Scan-Historie ist die stärkste Antwort. Penetrify erzeugt bei jedem Lauf einen Bericht mit Zeitstempel und Schweregradbewertung, sodass der Nachweis, den Sie Ihrem Auditor übergeben, eine lückenlose Aufzeichnung über das gesamte Prüffenster ist: was getestet wurde, was gefunden wurde, wann es behoben wurde und welcher Retest das belegt. Teams, die dieses Muster übernehmen, hören auf, vor Audits zu improvisieren, weil die Nachweise als Nebenprodukt des Ausliefern entstehen.

Eine ehrliche Einschränkung: Manche Auditoren und Enterprise-Kunden erwarten weiterhin einen jährlichen Test, der von einem zertifizierten menschlichen Tester unterschrieben ist. Das pragmatische Setup ist kontinuierliches automatisiertes Testen als Basis plus ein manuelles Projekt pro Jahr; die automatisierte Historie macht dieses Projekt zudem günstiger, weil die einfachen Findings bereits beseitigt sind.

Sie verkaufen an Banken? DORA erreicht Sie über Ihre Kunden

Seit dem 17. Januar 2025 unterliegen Finanzunternehmen in der EU der DORA (Verordnung (EU) 2022/2554), und deren Artikel 28–30 machen sie für das IKT-Risiko ihrer Drittdienstleister verantwortlich, und das sind Sie, wenn eine Bank, ein Versicherer oder ein Zahlungsinstitut auf Ihrem SaaS läuft. In der Praxis kommt das als umfangreichere Sicherheitsfragebögen, vertragliche Auditrechte und Anfragen nach Nachweisen über Sicherheitstests, die an deren DORA-Pflichten gebunden sind.

Sie müssen keinen eigenen TLPT durchführen (diese Pflicht liegt nach Artikel 26 bei den benannten Finanzunternehmen selbst), aber Sie müssen ein glaubwürdiges, laufendes Testprogramm nachweisen. Eine kontinuierliche Pentest-Historie beantwortet den Fragebogenabschnitt „Wie testen Sie, wie oft, zeigen Sie es uns“ deutlich besser als ein zwölf Monate altes PDF.

Fügen Sie einen einzigen Schritt in Ihre GitHub-Actions- oder GitLab-CI-Pipeline ein. Penetrify scannt jedes Deployment automatisch und lässt den Build fehlschlagen, wenn eine kritische Schwachstelle gefunden wird. Sicherheit wird Teil Ihrer Definition of Done.

Penetrify prüft Autorisierung über mehrere Nutzerrollen und Mandantengrenzen hinweg: genau die Angriffsfläche, die manuelle Scanner und klassische DAST-Tools verfehlen. IDOR in einem Multi-Tenant-SaaS gehört zu den häufigsten Ursachen für die Offenlegung von Kundendaten.

Jeder Penetrify-Scan erzeugt einen Bericht mit Zeitstempel und Schweregradbewertung. Wenn Ihr SOC-2-Auditor Nachweise über Penetrationstests verlangt, legen Sie eine vollständige Scan-Historie über den gesamten Prüfzeitraum vor, nicht ein einzelnes Dokument aus einem Projekt.

Penetrify startet bei $100/month, weniger als eine Stunde manueller Beratung. Der Professional-Plan ($1,700/month) umfasst 20 Scans, sodass es praktikabel wird, Staging, Produktion und jeden wichtigen Feature-Branch zu testen.