Penetration Tester (m/w/d) Web Application & API, manueller Grey-Box-Pentest einer SaaS-Plattform
Effection Network
Ansprechpartner: Alen Arnautovic
Nürnberg, Deutschland
ITAPIsPenetration TestingSaasCloudtestingEthical HackingOWASPPenetration ToolsWeb-TestsTestenBurp SuiteDynamic Application Security Testing
Beschreibung
Projektbeschreibung
Für einen Softwareanbieter suchen wir einen erfahrenen Penetration Tester für den manuellen Sicherheitstest einer mandantenfähigen, cloudbasierten SaaS-Plattform. Die Plattform bietet Workflow-Automatisierung, KI-gestützte Agenten, Datenspeicher, Erweiterungen mit eigenem Code sowie Schnittstellen zu Drittsystemen. Ein automatisierter Schwachstellenscan wurde bereits durchgeführt. Gesucht wird jetzt jemand, der die Plattform systematisch und nach einem nachvollziehbaren Konzept manuell angreift, sowohl unauthentifiziert von außen als auch authentifiziert als Nutzer innerhalb eines Testmandanten, und die gefundenen Schwachstellen verständlich dokumentiert.
Aufgaben
- Scoping und Erstellung eines Testkonzepts (Zielsysteme, Rollen, Testmandant, Ausschlüsse, Zeitfenster)
- Manueller Grey-Box-Penetrationstest der Webanwendung und der zugehörigen APIs nach OWASP WSTG und OWASP API Security Top 10
- Prüfung von Authentifizierung, Session-Management, Rechte- und Rollenmodell sowie Mandantentrennung (horizontale und vertikale Rechteausweitung, IDOR, Business-Logic-Fehler)
- Prüfung der Integrations- und Erweiterungsmechanismen (Anbindung von Drittsystemen, Ausführung eigenen Codes, Datei-Uploads) auf SSRF, Sandbox-Escape und Remote Code Execution
- Bewertung der KI-Agenten-Funktionen hinsichtlich Prompt Injection und OWASP Top 10 for LLM Applications
- Erstellung eines Abschlussberichts mit CVSS-Bewertung, Reproduktionsschritten, Risikoeinordnung und konkreten Fix-Empfehlungen, Management Summary inklusive
- Nachtest nach Behebung der Findings
Anforderungen
- Mehrjährige, nachweisbare Erfahrung in manuellen Web- und API-Penetrationstests, idealerweise mit Referenzen aus dem SaaS- oder Multi-Tenant-Umfeld
- Sicherer Umgang mit Burp Suite Professional und gängigem Pentest-Tooling
- Strukturiertes, methodisches Vorgehen (OWASP WSTG, PTES oder BSI-Praxisleitfaden) statt reiner Scanner-Auswertung
- Erfahrung mit Schwachstellen in Low-Code- oder Workflow-Plattformen sowie in KI-gestützten Anwendungen von Vorteil
- Zertifizierungen wie OSCP, OSWE, Burp Suite Certified Practitioner oder BSI-zertifizierter IS-Penetrationstester wünschenswert
- Eigenverantwortliche, saubere Dokumentation und verbindliche Kommunikation mit dem Entwicklungsteam
Rahmendaten
- Start: ab sofort
- Einsatzort: 100 Prozent remote
- Auslastung: projektbezogen, nach Aufwand
- Bitte mit Angabe von Verfügbarkeit, Stundensatz und zwei bis drei anonymisierten Referenzprojekten bewerben