syntworldKontakt aufnehmenSicherheitsprüfung mit Verantwortung.
Unser eigenes KI-Produkt testet Ihre Web-Apps, APIs und Angriffsfläche in Tagen statt Wochen.
Jede Schwachstelle wird mit Belegen bestätigt.
Sie bezahlen nur für unsere Funde.
Keine Schwachstellen gefunden? Keine Kosten.
Von der Unterzeichnung bis zum Bericht: höchstens eine Woche. 90 % der Berichte liefern wir innerhalb eines Tages.
Sicherheitsprüfung mit Verantwortung für das Ergebnis.
Bezahlung pro bestätigter Schwachstelle.
Der Schweregrad bestimmt den Preis.
Von öffentlich erreichbaren Systemen bis zu authentifizierten Bereichen: Wir prüfen, wie sich Ihre Systeme tatsächlich ausnutzen lassen.
Erkennen Sie, was Angreifer erreichen können. Wir prüfen exponierte Systeme, Dienste und Konfigurationen auf ausnutzbare Schwachstellen.
Wir prüfen die Grenzen Ihrer Anwendung und ob öffentliche Endpunkte Ihre Daten und Geschäftslogik schützen.
Wir prüfen über den äußeren Schutz hinaus: das Vertrauen zwischen Diensten und tatsächliche Zugriffsrechte authentifizierter Benutzer.
Sicherheit anders bezahlen
Sie zahlen einen festen Preis pro bestätigter Schwachstelle, abhängig vom Schweregrad, und nie mehr als die für Ihren Prüfumfang vereinbarte Obergrenze.
Prüfumfang festlegenFinden wir keine Schwachstellen,
bezahlen Sie nichts für das Audit.
Schweregrad nach CVSS. Informative Befunde und Härtungsempfehlungen sind kostenlos. Belege für jeden Befund.
Die Obergrenze hängt davon ab, was wir testen, nicht von der Größe Ihres Unternehmens. Prüfumfang und Obergrenze vereinbaren wir vor Testbeginn schriftlich.
Alle Beträge in US-Dollar (USD). Preise und Auditobergrenzen verstehen sich ohne gegebenenfalls anfallende Steuern. Diese werden auf der Rechnung separat ausgewiesen.
Die vereinbarte Obergrenze ist das maximale Audithonorar vor anfallenden Steuern. Übersteigen die Befunde diesen Betrag, werden alle weiteren bestätigten Schwachstellen ohne Zusatzkosten im Bericht aufgeführt.
Beispiel: Der Test einer API findet 1 hohe, 3 mittlere und 5 niedrige Schwachstellen. Die Rechnung beträgt 400 + 450 + 250 = 1.100 USD und liegt unter der Obergrenze von 1.500 USD. Findet derselbe Test nichts, zahlen Sie nichts.
Dies ist ein echter, anonymisierter Kundenbericht. Kundenkennungen und vertrauliche Belege wurden geschwärzt; einige Befunde wurden zum Schutz der Vertraulichkeit entfernt.
Beispielbericht herunterladen (PDF)
31 Seiten · Englisch · Anonymisiert
Webanwendung / Zugriffskontrolle · CWE-942
Der Server spiegelt jeden anfragenden Origin und erlaubt Anmeldedaten. Öffnet ein angemeldeter Nutzer eine bösartige Website, kann diese sensible authentifizierte Antworten lesen, sofern der Browser die Anmeldedaten mitsendet und der Endpunkt die Anfrage akzeptiert.
Der Bericht dokumentiert Antworten, die den anfragenden Origin im Header Access-Control-Allow-Origin zusammen mit Access-Control-Allow-Credentials: true zurückgeben.
Kundenspezifische Antworten und Reproduktionsbelege sind im PDF geschwärzt. Diese Seite fasst den Bericht zusammen; sie führt keinen Live-Test durch.
Header allein beweisen keine Ausnutzung: Cookie-Richtlinie, Authentifizierung des Endpunkts und Anfrage-Tokens entscheiden, ob Daten gelesen werden können, und das geschwärzte Beispiel weist diese nicht nach.
Geben Sie Access-Control-Allow-Origin nur für eine explizite Liste Ihrer eigenen Domains zurück und entfernen Sie Access-Control-Allow-Credentials, sofern Ihr eigenes Frontend es nicht benötigt. Prüfen Sie Plugins, die selbst CORS-Header setzen. Wiederholen Sie dann die Anfrage mit einem beliebigen Origin: Die Antwort darf kein Access-Control-Allow-Origin enthalten.
Ein klar abgegrenzter Auftrag liefert Ihrem Team Belege und Handlungsempfehlungen.
Gemeinsam legen wir Systeme, Zugänge, Testgrenzen und die Kostenobergrenze fest.
Wir untersuchen Schwachstellen und bestätigen sie mit reproduzierbaren Belegen und tatsächlichen Auswirkungen.
Sie erhalten einen priorisierten Bericht mit Reproduktionsschritten und konkreten Empfehlungen.
Eine bestätigte Schwachstelle mit reproduzierbaren Belegen und bewerteten Auswirkungen. Der Schweregrad folgt CVSS; Annahmekriterien werden vor dem Audit vereinbart.
Sie zahlen einen festen Preis pro bestätigter Schwachstelle: Kritisch 700 USD, Hoch 400 USD, Mittel 150 USD, Niedrig 50 USD. Informative Befunde sind kostenlos. Die Summe überschreitet nie die Obergrenze für Ihren Prüfumfang: 1.500 USD für eine Anwendung oder API, 4.000 USD für bis zu drei, eine individuelle Obergrenze für größere Umfänge. Bestätigte Schwachstellen oberhalb der Obergrenze stehen ohne Aufpreis in Ihrem Bericht. Finden wir keine Schwachstellen, zahlen Sie nichts.
Ja. Unser eigenes Produkt auf Basis großer Sprachmodelle beschleunigt die Tests. Jede Schwachstelle wird reproduziert und mit Belegen bestätigt, bevor sie in Ihrem Bericht steht, und mit Zugriff auf Ihren Quellcode können wir das Gefundene auch beheben.
Ja. Wir prüfen interne und authentifizierte APIs. Konten, Rollen und Zugänge werden bei der Festlegung des Prüfumfangs vereinbart.
Von der Unterzeichnung bis zum Bericht: höchstens eine Woche. 90 % der Berichte liefern wir innerhalb eines Tages.
Einen Bericht mit bestätigten Schwachstellen, Schweregrad, Auswirkungen, Reproduktionsschritten und Empfehlungen zur Behebung.
Schauen wir genauer hin
Erzählen Sie uns von Ihrem Projekt.
Wir helfen Ihnen, den Prüfumfang festzulegen.