WEB SECURITY · WORDPRESS ENGINEERING · CONSULTING
PRAGMATISCHE SECURITY.
TECHNISCHE LÖSUNGEN MIT WEITBLICK.
Ich prüfe Webanwendungen aus realistischer Angreiferperspektive – mit Fokus auf relevante, praktisch ausnutzbare Schwachstellen statt theoretischer Findings. Gleichzeitig entwickle und erweitere ich bestehende Systeme dort weiter, wo Standardlösungen an ihre Grenzen kommen – pragmatisch, sauber und mit Blick auf das große Ganze.
4000+
SCHWACHSTELLEN GEMELDET
1100+
NACH MELDUNG BEHOBEN
60k+
WEBSITES GEPRÜFT
15+
JAHRE WEBENTWICKLUNG & SECURITY
SECURITY, DIE WEITERDENKT
MIT DEM FUND FÄNGT DIE ARBEIT ERST AN.
Eine Schwachstelle ist selten nur ein einzelner Fehler. Entscheidend ist, ihre Ursache zu verstehen, ihre Auswirkungen einzuordnen und sie nachhaltig zu beheben. Daraus entstehen Verbesserungen, die ähnliche Fehler künftig verhindern.
WEB SECURITY
Sicherheitsprüfungen für Webanwendungen und bestehende Systeme – vom realistischen Blackbox-Test bis zur gezielten Graybox- oder Whitebox-Analyse.
WEBENTWICKLUNG
Entwicklung und Erweiterung bestehender Systeme – besonders dort, wo Standardlösungen nicht ausreichen oder ungewöhnliche Anforderungen umgesetzt werden müssen.
BERATUNG & BEGLEITUNG
Technische Entscheidungen gemeinsam treffen, Konzepte verständlich vermitteln und Teams bei Architektur, Security und Umsetzung begleiten.
BLACKBOX-TESTS
Prüfung aus Sicht eines externen Angreifers – ohne internes Wissen und mit Fokus auf das, was über die öffentlich erreichbare Anwendung tatsächlich möglich ist.
GRAYBOX & WHITEBOX
Mit Benutzerzugängen, technischem Kontext oder Einblick in Code und Konfiguration lassen sich Berechtigungen, Geschäftslogik und einzelne Komponenten gezielter und tiefer untersuchen.
SECURITY REVIEWS & RISIKOANALYSE
Bestehende Pentest-Berichte, Scanner-Funde oder einzelne Schwachstellen technisch einordnen: Was ist tatsächlich ausnutzbar, welche Auswirkungen sind realistisch und was sollte zuerst behoben werden?
ARCHITEKTUR & SECURITY-KONZEPTE
Sicherheit bereits bei Architektur und technischen Entscheidungen mitdenken – Schutzmaßnahmen sinnvoll auswählen, Angriffsflächen reduzieren und Konzepte gemeinsam mit dem Entwicklungsteam weiterentwickeln.
WEB SECURITY
PRÜFEN, WAS EIN ANGRIFF WIRKLICH ERREICHEN KANN
Jeder Fund ist so aufbereitet, dass Entwickler ihn nachvollziehen und Verantwortliche das Risiko einordnen können. Dazu kommen konkrete Hinweise zur Behebung und – wenn gewünscht – die Prüfung danach.
WORDPRESS & WEBENTWICKLUNG
NICHTS IST UNMÖGLICH –
UNMÖGLICH DAUERT NUR LÄNGER.
Ich steige meist dort ein, wo ein bestehendes System an einer konkreten Anforderung scheitert. WordPress ist mein Schwerpunkt, aber ich arbeite mich auch in gewachsene oder fremde Codebases ein – von TYPO3 bis Shopware. Oft braucht es kein neues Projekt, sondern eine saubere Erweiterung, einen gezielten Patch, gründliches Debugging oder einen Beitrag an der richtigen Stelle.
Plugins und vorhandene Funktionen gezielt ergänzen – über Hooks, APIs oder eigene Erweiterungen, ohne Updates zu verbauen.
Wenn Plugin oder Dokumentation eine Funktion nicht vorsehen, suche ich nach einem sauberen Weg, sie trotzdem umzusetzen.
Ich arbeite mich in gewachsene Codebases ein, grenze Fehler systematisch ein und behebe die Ursache statt nur das Symptom.
Engpässe in PHP, WordPress, Datenbank oder Server finden und gezielt dort optimieren, wo tatsächlich Zeit verloren geht.
FÜR AGENTUREN & ENTWICKLUNGSTEAMS
DAZUHOLEN, WENN ES SPEZIELL WIRD.
Nicht jedes Spezialproblem braucht ein neues Projekt oder zusätzliche feste Kapazität. Ich steige punktuell in bestehende Projekte ein, arbeite mich in Codebase und Kontext ein und übernehme den Teil, für den gerade tieferes Security- oder Entwicklungswissen gebraucht wird. Ziel ist eine pragmatische Lösung, die sich sauber einfügt und ohne dauerhafte Abhängigkeit von mir weiterbetrieben werden kann.
ERFAHRUNG & HINTERGRUND
ENTWICKLUNG UND SECURITY SEIT ÜBER 15 JAHREN.
Seit meiner Jugend beschäftige ich mich mit Webentwicklung und Security. Was als Hobby begann, wurde über die Jahre zu meinem Beruf.
Der Gedanke „Jeder nach seinen Fähigkeiten, jedem nach seinen Bedürfnissen“ begleitet mich bis heute. Bei Responsible Disclosure heißt das für mich ganz konkret: Ich melde eine Schwachstelle auch dann, wenn es kein Bug-Bounty-Programm gibt, und mache die Meldung nicht von einer Belohnung abhängig.
RESPONSIBLE DISCLOSURE
Finde ich eine Schwachstelle, melde ich sie direkt an den Betreiber. Mein Report enthält die betroffene Stelle, reproduzierbare Schritte, einen bewusst harmlosen Proof of Concept und eine Einschätzung der möglichen Auswirkungen. Wenn sich die Ursache bereits eingrenzen lässt, gebe ich auch konkrete Hinweise zur Behebung.
Nach einem Update prüfe ich den ursprünglichen Angriffsweg erneut. Die Meldung selbst ist weder an eine Belohnung noch an einen Folgeauftrag gebunden. Möchte ein Unternehmen danach weitere Unterstützung, sprechen wir separat darüber.
PAY WHAT YOU WANT
Für ungefragt gemeldete Schwachstellen fordere ich keine Vergütung. Möchte sich ein Unternehmen für den Fund bedanken, kann es selbst entscheiden, was ihm die Meldung wert ist.
Bei einem kleinen Händler habe ich zum Beispiel schon eine Rechnung über 25 € geschrieben – eher symbolisch, aber ein schönes Dankeschön. Für eine einzelne Schwachstelle auf einer normalen Website halte ich häufig etwa 250 € für passend. Betrifft der Fund dagegen ein Plugin, eine Plattform oder eine andere Komponente, die bei vielen Kunden eingesetzt wird, liegt der Rahmen entsprechend höher.
Einen festen Betrag leite ich daraus bewusst nicht ab. Mehr, weniger oder auch keine Vergütung ist für mich in Ordnung. Bei beauftragten Security-Tests und Entwicklungsarbeit vereinbaren wir Umfang und Preis dagegen vorab.
SECURITY RESEARCH IN DER PRAXIS
Einen großen Teil meiner unabhängigen Security-Arbeit dokumentiere ich über OpenBugBounty. Dort sind viele meiner Meldungen und spätere Fixes öffentlich einsehbar.
Dabei bleibt es nicht immer bei einer einzelnen Website. Wenn mehrere betroffene Systeme dieselbe Software, dasselbe Plugin oder dieselbe Plattform einsetzen, suche ich nach der gemeinsamen Ursache und melde sie möglichst dort, wo sie zentral behoben werden kann.
PROBLEME HALTEN SICH NICHT AN ZUSTÄNDIGKEITEN.
Webanwendungen funktionieren nicht isoliert. Entwicklung, Betrieb und Security beeinflussen sich gegenseitig. Mein breiter technischer Hintergrund hilft mir, Zusammenhänge zu erkennen und Probleme über mehrere Ebenen hinweg zu verfolgen.was
VOM BROWSER BIS ZUM SERVER
Fehler zeigen sich oft an einer anderen Stelle, als sie entstehen. Ich verfolge sie durch Frontend, Backend, Datenbank und Infrastruktur bis zur tatsächlichen Ursache.
CODE UND KONFIGURATION ZUSAMMEN DENKEN
Sicherer Code reicht nicht, wenn Berechtigungen, Serverkonfiguration oder Deployment neue Angriffswege öffnen. Deshalb betrachte ich Anwendung und Umgebung gemeinsam.
ENTSCHEIDUNGEN ÜBER DEN LAUNCH HINAUS DENKEN
Eine technische Entscheidung wirkt sich später auf Updates, Deployment, Wartung und Security aus. Diese Folgen gehören für mich zur Entscheidung dazu.
WISSEN ZWISCHEN DISZIPLINEN ÜBERSETZEN
Entwickler, Betrieb und Security sehen dasselbe System aus unterschiedlichen Blickwinkeln. Ich kann zwischen diesen Perspektiven vermitteln und technische Entscheidungen so erklären, dass alle Beteiligten damit weiterarbeiten können.