# Penetrationstest & API-Security für SaaS-Anbieter: der Bericht, nach dem Ihre Kunden fragen > Manuelle OWASP/PTES-Penetrationstests von Webapp, API und Cloud, wiederholbare Schwachstellenscans (ISO 27001 A.8.8), Re-Test nach Behebung, ein teilbarer Bericht für Vendor-Security-Reviews sowie CVD-Policy und Secure-SDLC-Governance für B2B-SaaS-Anbieter. - Quelle: https://www.sidd.swiss/leistungen/saas-anbieter-penetrationstest-api - Sprache: de-CH - Stand: 2026-10-20 - Herausgeber: SIDD Institut für Datenschutz und Datensicherheit, eine Marke der Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Schweiz B2B-SaaS · Penetrationstest, API-Security & Schwachstellenmanagement Jeder Enterprise-Kunde will vor dem Kauf einen aktuellen, unabhängigen Pentest-Bericht zu Webapp, API und Cloud sehen. Wir testen manuell nach OWASP und PTES, prüfen Ihre Behebung auf Wunsch in einem Re-Test und liefern einen sauberen Bericht, den Sie in jeder Vendor-Security-Review teilen können. OWASP · PTES · OSCP/CEH-Tester Re-Test nach Behebung teilbarer Kundenbericht **Verantwortlich für dieses Mandat** **Oliver Stutz** Co-Founder · InfoSec & Cybersecurity Expert · Bachelor of IT (Bond University) Oliver Stutz ist Co-Founder und verantwortet die Penetrationstests. Sein Team testet Webapp, API und Cloud vom Scoping bis zum teilbaren Bericht. Er ist direkter Ansprechpartner für Ihre Geschäftsleitung und Ihr Engineering. [LinkedIn](https://www.linkedin.com/in/oliverstutz/) ## Der Pentest-Bericht ist Teil jeder Vendor-Security-Review Bevor ein Enterprise-Kunde Ihre SaaS kauft, prüft seine Beschaffung Sie als Lieferanten. Ein aktueller, unabhängiger Penetrationstest gehört zu den Nachweisen, nach denen am häufigsten gefragt wird. Sicherheitsfragebögen wie CAIQ und SIG sowie ISO 27001 und SOC 2 erwarten einen aktuellen, unabhängigen Penetrationstest Ihrer Webapplikation, Ihrer API und Ihrer Cloud-Umgebung. Fehlt der Bericht, bleibt der Deal in der Beschaffung hängen, oft über Wochen. Geprüft wird nicht nur der einmalige Test. Kunden und Zertifizierungen erwarten einen laufenden Schwachstellenmanagement-Prozess: regelmässige Scans, eine nachvollziehbare Behebung priorisierter Findings und eine wiederholbare Routine, nicht eine einmalige Momentaufnahme. Hinzu kommt eine Coordinated Vulnerability Disclosure (CVD): eine Policy mit security.txt, über die Sicherheitsforschende und Kunden Schwachstellen verantwortungsvoll an Sie melden können. Enterprise-Beschaffung und ISO 27001 sehen darin ein Zeichen von Reife. ## Wie SIDD testet und Sie auskunftsfähig macht Wir liefern den Test, den Nachweis und den Prozess, damit Ihr Engineering schnell behebt und Ihr Vertrieb schnell antworten kann. Wir führen manuelle Penetrationstests Ihrer Webapplikation und Ihrer API durch, nach OWASP und PTES, ausgeführt von zertifizierten Testern mit OSCP und CEH. Manuelle Tests finden Logikfehler, Broken Object Level Authorization und Mandantentrennungs-Lücken, die automatisierte Scanner übersehen. Dazu richten wir wiederholbare Schwachstellenscans ein, die die Anforderungen von ISO 27001 Annex A.8.8 (Management technischer Schwachstellen) erfüllen. Nach Behebung Ihrer Findings führen wir auf Wunsch einen Re-Test durch, damit der finale Bericht den bereinigten Stand zeigt. Sie erhalten einen sauberen, professionellen Bericht mit Management Summary, technischen Details und CVSS-Bewertung, den Sie direkt in Ihre Vendor-Security-Reviews und Ihr Trust Center geben können. Auf Wunsch gestalten wir Ihre CVD-Policy mit security.txt und definieren den Triage- und Reaktionsweg. Den Secure-SDLC verankern wir als Governance über unseren vCISO und ein ISMS: Anforderungen an sicheres Entwickeln, Code-Review-Gates, Abhängigkeits- und Schwachstellen-Routinen. Wichtig zur Klarheit: SIDD berät und testet, SIDD baut Ihre CI/CD-Pipeline nicht selbst und übernimmt kein gemanagtes Monitoring. ## Warum SIDD für Ihren SaaS-Pentest Ein Pentest soll mehr als eine Liste sein. Er soll Deals freischalten. Genau darauf richten wir Test, Bericht und Prozess aus. ### Manuell, nicht nur Scanner Unsere OSCP- und CEH-Tester arbeiten nach OWASP und PTES und gehen über automatisierte Scans hinaus. So finden wir Mandantentrennungs- und Autorisierungsfehler in Ihrer API, die für Multi-Tenant-SaaS besonders kritisch sind. ### Ein Bericht zum Teilen Sie bekommen einen sauberen Bericht mit Management Summary und CVSS-Bewertung, den Sie ohne Nacharbeit an Kunden weitergeben und in Ihr Trust Center legen können. Das ist genau das Dokument, nach dem die Beschaffung fragt. ### Re-Test nach Behebung Nach Behebung Ihrer Findings testen wir nach. Der Re-Test kostet 20–30 % des Initialaufwands. Der finale Bericht zeigt dann den bereinigten Stand, was in Vendor-Reviews und für ISO 27001 deutlich stärker wirkt als eine offene Findings-Liste. ### Prozess statt Momentaufnahme Wir richten wiederholbare Scans und einen Schwachstellenmanagement-Prozess nach ISO 27001 A.8.8 ein. So beantworten Sie die Frage nach laufendem Schwachstellenmanagement mit einem echten Verfahren, nicht mit einem alten Bericht. ### Unabhängig und vertraulich Da wir kein eigenes SOC und keine Pipeline verkaufen, hat unser Bericht keine Eigeninteressen. Wir testen unter Vertraulichkeit, und unsere Unabhängigkeit macht den Bericht für Ihre Kunden glaubwürdiger. ### Anschluss an Zertifizierung und KI Der Pentest fügt sich in den grösseren Vendor-Security-Nachweis ein. Wir verbinden ihn mit ISO 27001 und SOC-2-Readiness sowie, falls Ihr Produkt LLM- oder Agenten-Funktionen hat, mit dediziertem AI-Security-Testing. ## Pentest- und Schwachstellen-Pakete ### Web- & API-Penetrationstest Festpreis pro Scope Manueller Pentest Ihrer Webapplikation und API, nach OWASP und PTES, mit teilbarem Bericht. - Manuelle Tests durch OSCP-/CEH-Tester - Webapp, API und Authentifizierung im Scope - Prüfung von Mandantentrennung und Autorisierung - Bericht mit Management Summary und CVSS - Re-Test nach Behebung (20–30 % des Initialaufwands) ### Schwachstellenscan & -management Festpreis pro Zyklus Wiederholbare Scans und ein Schwachstellenmanagement-Prozess, der ISO 27001 A.8.8 erfüllt. - Wiederkehrende Scans von App und Infrastruktur - Priorisierung der Findings nach Risiko - Behebungsnachweis für Audits und Kunden - Erfüllt ISO 27001 Annex A.8.8 ### CVD-Policy & Secure-SDLC-Governance Festpreis oder vCISO-Mandat CVD-Policy mit security.txt sowie Secure-SDLC-Governance über vCISO und ISMS. - Coordinated-Vulnerability-Disclosure-Policy - security.txt sowie Triage- und Reaktionsweg - Secure-SDLC-Governance über vCISO und ISMS - Beratung und Testing, kein Pipeline-Bau Unser Werkzeug: LexCommand ## Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur [Priverion-Plattform](https://www.sidd.swiss/priverion-plattform). ### Souverän in der Schweiz Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren. ### Kein Zitat, kein Anspruch Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen. ### Vom Aufwand zum Urteil LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt. ### Drei Disziplinen, ein Bild Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen. Konkret für Ihren Pentest: LexCommand verknüpft die Findings und den Schwachstellenmanagement-Prozess mit den belegten Anforderungen aus ISO 27001 A.8.8, SOC 2 und Fragebögen wie CAIQ und SIG und entwirft CVD-Policy und Secure-SDLC-Governance mit Quellen als Fussnoten, jeder Verweis nachprüfbar. Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort. ## Häufige Fragen ### Bekommen wir einen Bericht, den wir an Kunden weitergeben können? Ja. Sie erhalten einen sauberen, professionellen Bericht mit Management Summary, technischen Details und CVSS-Bewertung. Er ist so aufgebaut, dass Sie ihn direkt in Vendor-Security-Reviews und Ihr Trust Center geben können. Den finalen Stand zeigt der Bericht nach dem Re-Test. ### Was kostet der Re-Test und was deckt er ab? Der Re-Test kostet 20–30 % des Initialaufwands und ist nicht im Festpreis des Penetrationstests enthalten. Nachdem Ihr Team die Findings behoben hat, prüfen wir, ob die Schwachstellen tatsächlich geschlossen sind, und aktualisieren den Bericht entsprechend. So zeigt das Dokument, das an Kunden geht, den bereinigten Stand. ### Bietet SIDD ein gemanagtes SOC oder Incident Response? Nein. Wir testen, beraten und richten Schwachstellenmanagement sowie Secure-SDLC-Governance ein. Wir betreiben kein 24/7-SOC und kein gemanagtes Monitoring und bauen Ihre CI/CD-Pipeline nicht selbst. Gerade diese Unabhängigkeit macht unseren Bericht für Ihre Kunden glaubwürdig. ### Wie oft sollten wir testen lassen? Üblich ist ein jährlicher Penetrationstest sowie ein Test nach grösseren Releases oder Architekturänderungen. Dazwischen tragen wiederkehrende Schwachstellenscans den laufenden Prozess. Kunden und ISO 27001 erwarten Aktualität, daher ist ein Bericht, der älter als zwölf Monate ist, in Vendor-Reviews oft zu alt. ### Testen Sie auch KI- und LLM-Funktionen unserer SaaS? Ja, über unseren dedizierten AI-Security-Service. Wenn Ihr Produkt LLM-, RAG- oder Agenten-Funktionen enthält, prüfen wir diese gesondert, etwa auf Prompt Injection und Datenabfluss. Diese Tests ergänzen den klassischen Web- und API-Pentest, ersetzen ihn aber nicht. ## Passt zu Ihrem Vendor-Security-Nachweis Der Pentest ist ein Baustein. Diese Seiten zeigen den Rest des Nachweises, nach dem Ihre Enterprise-Kunden fragen: ### ISO 27001 & SOC 2 für SaaS Zertifizierung und Attestierung, die Ihre Kunden als Nachweis verlangen, mit Readiness und Evidenz. ### KI-Features & AI Security EU AI Act, GPAI und dediziertes Pentesting von LLM-, RAG- und Agenten-Funktionen, etwa auf Prompt Injection und Datenabfluss. Auf dieser Seite - Warum gefragt - So liefern wir - Warum SIDD - Pakete - LexCommand - FAQ - Weiter --- Dieses Dokument ist die Markdown-Fassung der oben verlinkten Seite. Zitieren Sie bitte die HTML-URL.