Quellcode-Sicherheitsaudit

Ein Quellcode-Sicherheitsaudit geht weit über das Ausführen eines SAST-Scanners hinaus. Es ist die systematische, manuelle und werkzeuggestützte Untersuchung Ihres Quellcodes auf Sicherheitslücken, Logikfehler, Architekturrisiken und Abweichungen von sicheren Coding-Standards. KernCode Security Labs GmbH führt solche Audits so durch, dass Entwicklungsteams mit den Ergebnissen arbeiten können — nicht nur Compliance-Abteilungen damit Abhaken.

Automatisierte SAST-Tools (Static Application Security Testing) liefern einen wichtigen Basisschutz: Sie erkennen bekannte Muster wie SQL-Injection, Cross-Site Scripting, hartcodierte Credentials oder unsichere Deserialisierung. Ihre Grenzen zeigen sich bei Logikfehlern: fehlerhafte Berechtigungsprüfungen, Race Conditions in Geschäftsprozessen, unsichere kryptografische Eigenimplementierungen, fehlerhafte State-Machine-Übergänge und Privilege-Escalation-Pfade über mehrere Komponenten hinweg. Genau dort setzt die manuelle Analyse unseres Teams an.

Unser Vorgehen: vom Scoping bis zum Re-Test

Jedes Quellcode-Audit folgt einem vierphasigen Prozess, der Transparenz und Steuerbarkeit für alle Beteiligten sicherstellt — Entwicklung, IT-Sicherheit, Geschäftsleitung und gegebenenfalls Regulatoren.

Im Scoping klären wir gemeinsam, welche Komponenten geschäftskritisch sind. Nicht jeder Microservice verdient denselben Prüftiefgang. Zahlungsabwicklung, Authentifizierung, API-Gateways und Datenexportschnittstellen stehen typischerweise an erster Stelle. Interne Admin-Tools oder statische Landingpages haben ein anderes Risikoprofil. Wir dimensionieren den Aufwand so, dass Budget dort eingesetzt wird, wo Kompromittierung den größten Schaden anrichten würde.

Typische Schwachstellenklassen, die wir finden

Unsere Auditoren suchen gezielt nach Schwachstellen, die in modernen Webanwendungen, APIs und Backend-Systemen auftreten. Die folgende Liste ist nicht abschließend, zeigt aber die Bandbreite: Injection-Angriffe (SQL, NoSQL, LDAP, OS Command), Broken Access Control (IDOR, fehlende Funktionsebenen-Prüfung, Horizontal und Vertical Privilege Escalation), kryptografische Schwächen (schwache Algorithmen, fehlende Salts, unsichere Schlüsselverwaltung), unsicheres Session-Management (vorhersagbare Token, fehlende Invalidierung, Session Fixation), Server-Side Request Forgery (SSRF), XML External Entities (XXE), unsichere Deserialisierung und fehlerhafte Business-Logic.

Besonders bei Eigenentwicklungen im Finanzsektor und in der Industrie finden wir regelmäßig Schwachstellen, die aus der Kombination von Legacy-Code und modernen Frameworks entstehen: alte Datenbankabfragen, die nicht parametrisiert wurden, obwohl das Framework es unterstützt; Berechtigungsprüfungen, die im Frontend, aber nicht im Backend stattfinden; API-Endpunkte, die ohne Authentifizierung erreichbar sind, weil sie „nur intern“ genutzt werden sollten.

Sprachen und Frameworks

Wir auditieren Code in allen gängigen Sprachen und Frameworks: Java (Spring, Jakarta EE), C# (.NET), Python (Django, Flask, FastAPI), JavaScript/TypeScript (Node.js, React, Angular, Vue), Go, PHP (Laravel, Symfony), Kotlin, Swift, Rust und C/C++. Die Wahl der Werkzeuge und Prüfregeln passen wir an Ihren Stack an. Proprietäre Frameworks oder Eigenentwicklungen sind kein Hindernis — im Gegenteil: Dort finden wir oft die interessantesten Schwachstellen, weil kein öffentliches Sicherheitsteam sie zuvor geprüft hat.

Ein Quellcode-Audit lässt sich hervorragend mit einem Penetrationstest kombinieren: Der Audit findet Schwachstellen im Code, der Pentest validiert, ob sie von außen ausnutzbar sind. Beide zusammen liefern das vollständigste Bild. Alternativ ergänzen wir das Audit durch eine Schwachstellenanalyse, die auch Infrastruktur, Konfiguration und Drittkomponenten abdeckt.

Als Teil unserer Fachbereiche können Sie ein Quellcode-Audit als Einzelmaßnahme oder als wiederkehrendes Element in Ihrem Secure Development Lifecycle (SDLC) beauftragen. Dr. Tobias Vogel führt die fachliche Qualitätssicherung jedes Audits persönlich durch.