Source Code Review
Manuelle Prüfung des Quellcodes, tool-gestützt ergänzt. Der Fokus liegt auf Geschäftslogik, Authentifizierung und Autorisierung.
Application Security & Code Review
Sicherheit ab der ersten Codezeile.
Wir prüfen Quellcode, Architektur und Build-Pipelines Ihrer Anwendungen und liefern priorisierte, umsetzbare Maßnahmen für Ihr Entwicklungsteam.
Was Scanner übersehen, steht im Code.
Automatisierte Scanner erkennen bekannte Muster. Wir lesen den Quellcode mit Blick darauf, was Ihre Anwendung fachlich tun soll.
Logik statt Muster
Fehler in der Geschäftslogik, etwa eine fehlende Berechtigungsprüfung in einem einzelnen Workflow, finden Tools kaum. Dafür braucht es Menschen, die den Code verstehen.
Vor dem Go-live
KI-generierter Code und schnelle Release-Zyklen vergrößern die Angriffsfläche. Was in Minuten entsteht, prüfen wir mit der Sorgfalt, die es vor der Auslieferung verdient.
Typische Ausgangslagen.
SAST-Tools liefern lange Befundlisten, aber keine Aussage zur tatsächlichen Ausnutzbarkeit.
Authentifizierung und Autorisierung sind historisch gewachsen und schwer zu überblicken.
Teile des Codes stammen aus KI-Assistenten und wurden nie gezielt auf Sicherheit geprüft.
Vor dem Go-live einer geschäftskritischen Anwendung fehlt eine unabhängige zweite Meinung.
Unsere Leistungen.
Vom gezielten Review einzelner Komponenten bis zur Prüfung der gesamten Lieferkette, abgestimmt auf Ihre Anwendung und Ihren Release-Prozess.
White-Box-Pentest
Penetrationstest mit Zugriff auf Code, Architektur und Konfiguration. Befunde aus dem Code werden gezielt gegen die laufende Anwendung verifiziert.
Security Review
Prüfung von Konzept und Konfiguration inklusive Threat Modeling. Die zweite Meinung vor dem Go-live.
Application Design Review
Bewertung von Anwendungsarchitektur, Datenflüssen und Vertrauensgrenzen, bevor Designentscheidungen teuer werden.
CI/CD-Härtung
Absicherung von Pipelines, Secrets, Abhängigkeiten und Build-Integrität entlang Ihrer Software-Lieferkette.
KI-generierter Code
Review von KI-generiertem Code und LLM-Anwendungen, orientiert an den OWASP Top 10 für LLM-Anwendungen.
Geht es um Plattform-Architektur oder Cloud Landing Zones statt um eine einzelne Anwendung, ist unser Architecture Review der passende Einstieg: Zum Architecture Review
Für Hersteller von Software und vernetzten Produkten.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verlangt von Herstellern unter anderem ein geregeltes Schwachstellenmanagement mit regelmäßigen Sicherheitstests und einer Richtlinie zur koordinierten Offenlegung. Die Meldepflichten gelten seit 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Eine Produktprüfung durch Indeno unterstützt diese Anforderungen, ersetzt aber keine Konformitätsbewertung.
Vorgehen und Ergebnisse.
- Schritt 1 von 4:
Scoping & Zugriff
Wir klären Umfang und Ziele, erhalten lesenden Zugriff auf Repository und Architekturunterlagen sowie feste Ansprechpartner.
- Schritt 2 von 4:
Analyse
Manuelles Review, tool-gestützt ergänzt. Jeder Befund wird verifiziert, bevor er im Bericht landet.
- Schritt 3 von 4:
Bericht & Walkthrough
Wir gehen die Befunde gemeinsam mit Ihrem Entwicklungsteam durch und beantworten Rückfragen zur Behebung.
- Schritt 4 von 4:
Retest (optional)
Optional prüfen wir nach der Behebung, ob die Maßnahmen wirksam umgesetzt sind.
Was Sie erhalten
- Management Summary.
- Technischer Bericht mit Codestellen, Risikobewertung nach CVSS v4.0 und Behebungsempfehlungen.
- Priorisierte, umsetzbare Maßnahmen für das Entwicklungsteam.
- Methodik orientiert an OWASP ASVS 5.0, OWASP Top 10 und CWE.
- Musterbericht auf Anfrage.
Rahmen und Vertraulichkeit
- Lesender Code-Zugriff
- Eigene Mitarbeitende in Österreich und Deutschland
- NDA vor Projektstart
- Löschung nach Ablauf der vereinbarten Aufbewahrungsfrist
Häufige Fragen.
Welchen Zugriff brauchen Sie?
In der Regel lesenden Zugriff auf das Repository oder einen Export des Quellcodes. Schreibrechte benötigen wir nicht. Falls ein direkter Zugriff nicht möglich ist, stimmen wir gemeinsam eine Alternative ab.
Was unterscheidet ein manuelles Review von SAST-Tools?
Tools finden Muster, Menschen finden Logikfehler. Statische Analyse erkennt bekannte Schwachstellenklassen effizient, versteht aber nicht, was Ihre Anwendung fachlich tun soll. Wir kombinieren beides und verifizieren Tool-Befunde manuell.
Welche Sprachen und Frameworks prüfen Sie?
Wir prüfen gängige Web-, API- und Backend-Technologien. Welche Sprachen, Frameworks und Komponenten in Ihrem Fall relevant sind, klären wir im Scoping.
Wie gehen Sie mit unserem Quellcode um?
Vor Projektstart schließen wir eine Geheimhaltungsvereinbarung. Zugriff hat nur das Projektteam, die Übergabe erfolgt verschlüsselt, und nach Ablauf der vereinbarten Frist wird der Code gelöscht.
Verlangt der Cyber Resilience Act ein Code-Review?
Der Cyber Resilience Act verlangt von Herstellern ein geregeltes Schwachstellenmanagement mit Sicherheitstests. Welche Prüfungen dafür sinnvoll sind, hängt vom Produkt ab. Eine Aussage zur Konformität treffen wir mit einem Review nicht.
Wir antworten persönlich.
Sie schreiben, jemand von uns liest und antwortet. Keine Werbe-Mails, keine automatischen Folge-Mails. Sie sprechen direkt mit einem Engineer.