Ein Web-Penetrationstest konzentriert sich auf die Benutzeroberfläche (UI) und die Interaktionen eines Nutzers, wie z.B. Cross-Site Scripting (XSS). Ein API-Penetrationstest hingegen zielt direkt auf das technische Rückgrat Ihrer Anwendung. Wir analysieren hier die reine Geschäftslogik, das Daten- und Rechtemanagement direkt an den Endpunkten, wo die kritischsten Schwachstellen (wie z.B. aus der OWASP API Security Top 10) oft zu finden sind.

Eine aktuelle API-Dokumentation (z.B. eine Swagger- oder OpenAPI-Spezifikation) ist extrem hilfreich und macht den Test effizienter, da wir alle Endpunkte und deren Parameter von Anfang an kennen (White-Box-Ansatz). Sollte keine Dokumentation vorhanden sein, können wir im Black-Box-Ansatz arbeiten und die API-Struktur durch die Analyse der sie nutzenden Anwendung selbstständig erkunden.

Ja, wir haben uns auf die spezifischen Sicherheitsrisiken beider Architekturen spezialisiert. Während wir bei REST-APIs unter anderem die Endpunkt-Enumeration und HTTP-Methoden-Sicherheit prüfen, konzentrieren wir uns bei GraphQL-Schnittstellen auf deren einzigartige Risiken wie unsichere Introspection-Queries, komplexe Abfragen, die zu Denial-of-Service führen können, und Rechteprobleme in verschachtelten Resolvers.

Ja, unbedingt. Gerade die Sicherheit von internen APIs ist entscheidend, da sie oft das Ziel von Angreifern sind, die sich bereits ersten Zugang zum Netzwerk verschafft haben (Lateral Movement). Die Überprüfung Ihrer internen API-Kommunikation, beispielsweise in Microservice-Architekturen, ist ein zentraler Bestandteil einer umfassenden Sicherheitsstrategie.