Security-Research & Insights

Analysen, Disclosures und Praxisberichte aus unseren Offensive-Security-Projekten - geschrieben vom Team, das die Schwachstellen findet.

AI Security

Prompt Injection und die OWASP LLM Top 10: KI-Anwendungen absichern

Prompt Injection steht aus gutem Grund an der Spitze der OWASP LLM Top 10. Hier erfahren Sie, wie direkte und indirekte Angriffe funktionieren, was sie mit agentenbasierten Anwendungen anrichten und auf welche Abwehrmaßnahmen wir uns tatsächlich verlassen.

16. Juni 202613 Min. Lesezeit

Artikel lesen

Active Directory

Kerberoasting erklärt: vom normalen AD-Benutzer zum Domain Admin

Ein Kerberoasting-Angriff verwandelt ein einziges Domänenkonto mit geringen Rechten in geknackte Zugangsdaten eines Dienstkontos und oft in Domain Admin. Hier ist die vollständige Kette samt der Gegenmaßnahmen, die wirklich wirken.

6. Mai 202612 Min. Lesezeit

Cloud Security

Von SSRF zur Cloud-Kontoübernahme: Angriff auf den Metadatendienst

Ein einziger SSRF-Fehler in einem URL-Fetcher erreicht den Cloud-Metadatenendpunkt, stiehlt IAM-Rollen-Anmeldedaten und endet in der vollständigen Kontoübernahme. Hier ist die Angriffskette – und wie man sie unterbricht.

27. März 202611 Min. Lesezeit

API Security

Broken Object-Level Authorization (BOLA / IDOR): der API-Fehler, den wir am häufigsten finden

Eine BOLA-Schwachstelle (auch IDOR genannt) ist der Fehler, den wir bei API-Tests am häufigsten melden. So spüren wir sie auf, indem wir Objekt-IDs über zwei Konten hinweg austauschen, und so schließen Sie sie mit serverseitiger Autorisierung.

18. Feb. 202612 Min. Lesezeit

Guides

Was kostet ein Penetrationstest im Jahr 2026? (Eine ehrliche Aufschlüsselung)

Eine klare Antwort zu den Kosten eines Penetrationstests im Jahr 2026: die echten Treiber hinter der Zahl, ehrliche Spannen und die Posten, die ein Angebot unbemerkt in die Höhe treiben.

15. Jan. 20269 Min. Lesezeit

Application Security

Die Pentest-Checkliste für mobile Apps: OWASP MASVS in der Praxis

Eine Praxis-Checkliste für Mobile-App-Penetrationstests auf Basis von OWASP MASVS – mit statischer und dynamischer Analyse, unsicherer Speicherung, schwacher Kryptografie und dem Umgehen von Certificate Pinning, von Testern, die das beruflich machen.

20. Nov. 202510 Min. Lesezeit

Case Studies

SOC 2 in 90 Tagen: Wie ein Healthcare-SaaS sein erstes Audit bestand

Ein Healthcare-SaaS hatte 90 Tage Zeit, einen unterzeichneten Enterprise-Deal auf dem Spiel und keine formalen Kontrollen. So haben wir seine SOC 2-Readiness umgesetzt und wie das Unternehmen sein erstes Audit bestand.

14. Okt. 202510 Min. Lesezeit

Web Application Security

Cross-Site Scripting (XSS) im Jahr 2026: der Web-Bug, der einfach nicht sterben will

Cross-Site Scripting gehört seit über zwanzig Jahren zu den wichtigsten Web-Schwachstellen und ist noch immer einer der häufigsten kritischen Befunde, die wir melden. So funktionieren reflektiertes, gespeichertes und DOM-basiertes XSS, so testen wir darauf, und diese Schutzmaßnahmen halten stand.

12. Sept. 202512 Min. Lesezeit

Methodology

Cloud-Penetrationstests: Unsere Methodik für AWS, Azure und GCP

Eine praxisnahe Durchsprache der Methodik für Cloud-Penetrationstests, die wir gegen AWS, Azure und GCP fahren: wie wir IAM missbrauchen, Fehlkonfigurationen und offenen Speicher aufspüren, von SSRF zum Instance-Metadata-Dienst pivotieren, Rechte eskalieren und prüfen, ob überhaupt jemand hingesehen hat.

28. Aug. 202511 Min. Lesezeit

Case Studies

Red-Team-Tagebuch: Von einer einzigen Phishing-Mail zum Domänenadministrator in sechs Tagen

Ein repräsentatives Red-Team-Assessment, Tag für Tag erzählt: wie aus einer einzigen überzeugenden Phishing-Mail in sechs Tagen Domänenadministrator wurde – und die drei Kontrollen, die uns eiskalt gestoppt hätten.

22. Juli 202510 Min. Lesezeit

Social Engineering

Phishing-Simulationen richtig gemacht: das menschliche Risiko messen

Eine Fallen-E-Mail, die jeden bloßstellt, der klickt, bringt niemandem etwas. So führen wir eine Phishing-Simulation durch, die das menschliche Risiko misst und die entscheidenden Kennzahlen bewegt: Meldequote, Reaktionszeit und Wiederholungsklicker.

27. Juni 202511 Min. Lesezeit

Guides

Penetrationstest vs. Schwachstellenscan: Wo liegt der Unterschied (und wann Sie welchen brauchen)

Ein Scanner sagt Ihnen, dass ein Port offen ist und eine Version alt aussieht. Ein Pentester zeigt Ihnen, wie jemand drei “mittlere” Findings zu einer vollständigen Kontoübernahme verkettet. Hier ist der echte Unterschied zwischen Penetrationstest und Schwachstellenscan – und woran Sie erkennen, welchen Sie wirklich brauchen.

20. Mai 202510 Min. Lesezeit

Compliance

SOC 2 und Penetrationstests: Was Auditoren wirklich erwarten

Ein Pentest ist kein Häkchen, das Ihr Auditor abstempelt und vergisst. Hier steht, was SOC-2-Penetrationstests wirklich beweisen müssen, wie sie sich den Common Criteria zuordnen lassen und welche Berichtsdetails Auditoren verlangen.

15. Apr. 20259 Min. Lesezeit

Case Studies

Wie ein Series-B-Fintech 23 kritische API-Schwachstellen vor der nächsten Finanzierungsrunde schloss

Ein Series-B-Fintech beauftragte sechs Wochen vor der Due Diligence einen API-Penetrationstest. Wir fanden 23 kritische Probleme, die meisten davon Autorisierungsfehler, die kein Scanner je erkennen würde. So lief das Projekt wirklich ab.

10. März 20259 Min. Lesezeit

Penetration Testing

Was ein externer Netzwerk-Penetrationstest wirklich findet

Die großen Treffer bei externen Netzwerk-Penetrationstests sind selten exotische Zero-Days. Es sind der vergessene Server, das ungepatchte VPN und der Login, der noch immer admin/admin lautet. Hier ist, was wir finden – und wie.

19. Feb. 202510 Min. Lesezeit

Guides

Penetrationstest-Anbieter auswählen: der Einkäufer-Leitfaden 2026

Die meisten Pentest-Berichte, die wir prüfen sollen, sind automatisierte Scans in einem hübschen PDF. So wählen Sie ein Penetrationstest-Unternehmen aus, das wirklich testet.

19. Nov. 202410 Min. Lesezeit

Methodology

Web Application Penetration Testing: Die Methodik, mit der wir arbeiten

Die konkrete Methodik, mit der wir Web Application Penetration Testing in unseren Projekten durchführen: vom Mapping der Anwendung über das Verketten kleiner Schwachstellen zu einem echten Einbruch bis zum Retest der Behebung.

5. Aug. 202410 Min. Lesezeit

Cyber SecuritySecurity Research

Wir haben einen Monat lang GitHub gehackt: Das haben wir gefunden

Nach einer langen Pause melden wir uns mit einem neuen Write-up zurück. Obwohl wir aufgrund anderer Verpflichtungen normalerweise nicht an Bug-Bounty-Programmen teilnehmen, haben wir die Herausforderung angenommen, einen Monat lang GitHub zu hacken, und freuen uns darauf, unsere Ergebnisse zu teilen. Alles begann, als Shivam Singh (Mr. Rajput Hacker) im … Read more

10. Feb. 202314 Min. Lesezeit

Security Research

Wie wir jedes Unternehmen per Nachricht hacken konnten – 20.000 $ Bounty [CVE-2021-34506]

Die Geschichte eines universellen XSS (uXSS) im Übersetzer von Microsoft Edge, das eine Bounty von 20.000 $ einbrachte (CVE-2021-34506) – und wie sich damit Nutzer auf Facebook, Google und YouTube kompromittieren ließen.

25. Juni 20217 Min. Lesezeit