Security-Audit für Unternehmens-Websites: Fünf Kriterien, die Ihre Webanwendung absichern

Ein Security-Audit für eine Unternehmens-Website ist kein Schwachstellenscan mit Ampel. Sobald Fachprozesse aus Excel in eine Webanwendung wandern, hängen Kundendaten und Geschäftslogik am Netz, und das Audit muss Architektur, Zugänge, Daten, Abhängigkeiten und Nachweispflichten gleichermaßen prüfen.

Architektur und Schnittstellen

Moderne Webanwendungen sind von Schnittstellen getrieben. Das Audit prüft deshalb zuerst Zugriffskontrollen auf Objekt- und Funktionsebene: Kann ein angemeldeter Nutzer durch Ändern einer Kennung in der Adresse fremde Datensätze sehen? Das ist laut OWASP die häufigste Schwachstellenklasse, und automatische Scanner finden sie fast nie, weil sie die Geschäftslogik nicht verstehen. Hier braucht es manuelle Tests durch jemanden, der die Anwendung liest.

Identitäten und Zugriffe

Ein kompromittiertes Konto darf nie das ganze System öffnen. Das Audit prüft Rollen nach dem Prinzip der minimalen Rechte, Sitzungsverwaltung mit sicheren Cookies, Ablaufzeiten und Token-Rotation. Wer seine Kundenverwaltung aus Excel in eine zentrale Plattform bringt, hat plötzlich ein Administratorkonto, dessen Diebstahl alle Daten offenlegt. Eine zweite Anmeldestufe für solche Konten ist keine Empfehlung mehr, sondern Mindeststandard.

Daten und Datenbank

Die Datenbank ist das wertvollste Ziel. Das Audit prüft, ob Abfragen durchgängig parametrisiert sind, ob Daten im Ruhezustand und bei der Übertragung verschlüsselt werden und ob Sicherungen existieren, die tatsächlich zurückgespielt werden können. Ein Backup, das nie getestet wurde, ist eine Vermutung.

Sicherheitsupdates und Backups auslagern oder selbst betreiben?

Jede Webanwendung zieht Hunderte Open-Source-Bibliotheken nach. Eine bekannte Lücke in einer davon gefährdet die ganze Anwendung, oft innerhalb von Tagen nach Veröffentlichung. Das Audit fragt deshalb weniger, ob Abhängigkeiten aktuell sind, als wer sie aktuell hält: Gibt es einen Prozess, der bei neuen Schwachstellen alarmiert und Updates einspielt? Wer keine eigene Entwicklungsmannschaft hat, kann diesen Prozess an einen Betreiber mit Wartungsvertrag auslagern. Entscheidend sind dann verbindliche Reaktionszeiten. Wir bieten das als Managed Hosting an: Reaktionszeit garantiert, Lösung nach bestem Bemühen.

Nachweispflichten: NIS2 und DSGVO

Mit NIS2 ist IT-Sicherheit für viele Unternehmen zur Haftungsfrage der Geschäftsführung geworden. Das Audit prüft, ob manipulationssicheres Logging existiert, das im Vorfall belegt, wer wann was geändert hat, und ob die kurzen Meldefristen überhaupt einzuhalten wären. Dazu gehören ein Notfallplan und Schutz gegen Überlastungsangriffe. Ob NIS2 Sie direkt betrifft, klärt Ihr Rechtsbeistand. Dass Ihre Kunden den Nachweis verlangen werden, ist auch ohne eigene Betroffenheit absehbar.

Häufige Fragen

Was kostet ein Audit?

Das hängt von der Zahl der Schnittstellen, der Datenbankarchitektur und der Tiefe der manuellen Tests ab. Eine Zahl gibt es nach einem Blick auf die Anwendung.

Wie lange dauert es?

Wenige Wochen, inklusive automatischer Scans, manueller Tests und eines Berichts mit priorisierten Maßnahmen.

Wie oft sollte geprüft werden?

Mindestens jährlich und nach jedem größeren Release oder Architekturwechsel. In regulierten Branchen häufiger.

Ist ein Audit nach NIS2 Pflicht?

NIS2 schreibt keine Audits vor, verlangt aber angemessene Maßnahmen und deren Nachweis. Ein regelmäßiges Audit ist der einfachste Nachweis.

Ihr nächster Schritt

Prüfen Sie, wann die Abhängigkeiten Ihrer wichtigsten Webanwendung zuletzt aktualisiert wurden und wer dafür zuständig ist. Wenn Sie beides nicht aus dem Stand beantworten können, buchen Sie den kostenlosen Potenzial-Check, eine halbe Stunde, in der wir die fünf Kriterien gemeinsam an Ihrer Anwendung durchgehen.