RPA Security

RPA-Plattform: Penetrationstest deckt kritische Schwachstellen in Multi-Tenancy-Umgebung auf

Ein deutsches Unternehmen für intelligente Prozessautomatisierung beauftragte uns mit einem umfassenden 64-Stunden-Penetrationstest ihrer Cloud-basierten RPA-Plattform. Der zweite Test nach einem Jahr zeigte deutliche Verbesserungen, deckte aber 13 neue Schwachstellen auf - darunter kritische Local File Inclusion und fehlende Autorisierungsprüfungen.

64h
Testing-Zeit
13
Schwachstellen gefunden
2
Kritische Findings
100%
Nach Retest behoben
Branche Robotic Process Automation (RPA)
Service Full Penetration Test (64 Stunden)
Technologie .NET Backend + Angular Frontend
Testing-Methodik Black Box + Grey Box

Projekt-Übersicht

Ein führendes Unternehmen im Bereich Robotic Process Automation beauftragte uns mit dem zweiten umfassenden Penetrationstest ihrer Cloud-Plattform. Der erste Test lag etwa ein Jahr zurück - Zeit für signifikante Weiterentwicklungen und neue Features.

2
Kritisch
3
Hoch
5
Mittel
3
Niedrig

Zielsetzung & Scope

Die RPA-Plattform ermöglicht Unternehmen die Automatisierung komplexer Geschäftsprozesse über eine zentrale Weboberfläche. Als Multi-Tenant-System mit verschiedenen Mandanten stand die Sicherheit der Datentrennung im Fokus.

  • Black-Box-Test: Keine Quellcode-Einsicht, realistische Angreifer-Perspektive
  • Multi-Tenancy-Fokus: Zugriff auf fremde Mandantendaten verhindern
  • API-Security: REST-Endpoints und öffentliche API-Funktionen
  • Autorisierung: Rollenbasierte Zugriffskontrolle über 12 Testnutzer

Ergebnis

Im Vergleich zum ersten Test war das System deutlich schwerer anzugreifen - ein klares Zeichen erfolgreicher Sicherheitsverbesserungen. Dennoch konnten durch neue Features und erweiterte Funktionalität zusätzliche Schwachstellen identifiziert werden, die schnell behoben wurden.

Kontext & Herausforderungen

Die Cloud-basierte RPA-Plattform automatisiert Geschäftsprozesse für Unternehmen weltweit. Als SaaS-Lösung mit Multi-Tenancy-Architektur sind Sicherheit und Datentrennung geschäftskritisch.

Technischer Stack & Architektur

  • Backend: .NET-basierte REST-API mit diversen Endpunkten
  • Frontend: Angular Single-Page-Application
  • Authentifizierung: Token-basiert (Bearer Authentication)
  • Multi-Tenancy: Shared Database mit logischer Mandantentrennung

Besondere Herausforderungen

Die Plattform ist kein vollständiges Multi-Tenancy-System mit isolierten Umgebungen pro Mandant. Diese Shared-Architektur erhöht das Risiko für Datenlecks zwischen Mandanten und erfordert besonders robuste Autorisierungsprüfungen.

Zweiter Pentest nach einem Jahr

Der erste Test hatte diverse Schwachstellen aufgedeckt. Die Empfehlungen wurden umgesetzt, was zu einem deutlich sichereren System führte. Neue Features brachten jedoch neue Angriffsvektoren mit sich.

Test-Setup & Methodik

Mit 64 Stunden Testzeit und zwei erfahrenen Penetrationstestern wurde ein umfassender Black-Box-Test aus Sicht eines externen Angreifers durchgeführt.

Black-Box-Ansatz

Kein Zugriff auf Quellcode - nur Dokumentation, Swagger-API-Definition und Testzugänge für realistische Angreifer-Perspektive.

Rollenbasiertes Testing

12 Testnutzer mit verschiedenen Rollen und Berechtigungen in separaten Mandanten für umfassende Autorisierungstests.

Tools & Techniken

Burp Suite mit AuthMatrix-Plugin für automatisierte Autorisierungstests. Manuelle Analyse aller API-Endpunkte.

Enge Zusammenarbeit

Direkter Kontakt mit dem Engineering-Team via Slack für schnelle Klärung technischer Fragen während des Tests.

Fokusbereich

Schwerpunkt lag auf Multi-Tenancy-Sicherheit: Kann ein Nutzer von Mandant A auf Daten von Mandant B zugreifen? Zusätzlich wurden klassische OWASP-Top-10-Schwachstellen getestet.

Deutliche Verbesserungen erkennbar

Die Anzahl der Schwachstellen mit niedrigem und mittlerem Schweregrad ist im Vergleich zum ersten Test deutlich gesunken. Das Team hatte die Empfehlungen ernst genommen.

Ergebnisse auf einen Blick

Insgesamt dokumentierten wir 13 verwertbare Schwachstellen. Im Vergleich zum ersten Test sank die Gesamtzahl deutlich, allerdings wurden durch neue Features auch neue kritische Schwachstellen eingeführt.

2 Kritisch (LFI & SSRF)
3 Hoch (Auth-Bypass & Path Traversal)
5 Mittel (Clickjacking & Privilege Escalation)
3 Niedrig (Information Disclosure)
Schnelle Umsetzung

Das Engineering-Team zeigte hohe Reaktionsgeschwindigkeit. Kritische Findings wurden priorisiert und innerhalb von zwei Wochen behoben. Ein Retest bestätigte die erfolgreiche Implementierung.

Technische Highlights

Die sensibelsten Schwachstellen betrafen Datenzugriff und Mandantentrennung - Kernrisiken für Multi-Tenant-SaaS-Plattformen.

Local File Inclusion & SSRF

Öffentlich zugängliche API-Endpunkte erlaubten das Auslesen lokaler Serverdateien und Anfragen an interne Systeme - behoben durch strikte Input-Validierung.

Fehlende Autorisierung

Mehrere Endpunkte prüften Benutzerrollen nicht korrekt. Nutzer ohne Rechte konnten sensible Funktionen ausführen - zentralisierte Auth-Checks implementiert.

Path Traversal im Upload

Datei-Upload-Funktion war anfällig für Directory-Traversal-Angriffe mit Filter-Bypass. Dateien konnten in fremde Mandantenverzeichnisse geschrieben werden.

IDOR in File Operations

Manipulation von Benutzer-IDs ermöglichte Zugriff auf Dateien anderer Mandanten - serverseitige Ownership-Validierung nachgerüstet.

Clickjacking-Anfälligkeit

Fehlende X-Frame-Options-Header erlaubten UI-Redressing-Angriffe - Frame-Protection und CSP implementiert.

Versteckte Admin-Rolle

Privilege-Escalation über versteckte Rolle möglich, die weiterhin vergeben werden konnte - Rolle entfernt und Berechtigungssystem überarbeitet.

Worst-Case-Szenario

Durch Kombination von Path Traversal und File Upload hätte theoretisch eine Shell im Webroot platziert werden können. Die Tester konnten keinen über Browser erreichbaren Pfad finden, das Risiko wurde dennoch als kritisch eingestuft.

Business Impact & Mehrwert

Der Penetrationstest lieferte klare Handlungsempfehlungen und verhinderte potenzielle Sicherheitsvorfälle in der Produktionsumgebung einer geschäftskritischen SaaS-Plattform.

Direkter Mehrwert

  • Validierung der Sicherheitsverbesserungen: Bestätigung, dass Maßnahmen aus dem ersten Test erfolgreich umgesetzt wurden
  • Risikominimierung vor kritischen Features: Neue Funktionen konnten sicher ausgerollt werden
  • Priorisierte Roadmap: Klare Einstufung aller Findings für effiziente Behebung
  • Kontinuierliche Verbesserung: Erkenntnisse flossen in Entwicklungsprozesse ein

Verhinderte Risiken

Ohne den Test wären folgende Szenarien möglich gewesen:

Datenleck zwischen Mandanten

IDOR-Schwachstellen hätten Zugriff auf Prozessautomatisierungen und Geschäftsdaten anderer Kunden ermöglicht.

Server-Kompromittierung

Local File Inclusion ermöglichte Zugriff auf Konfigurationsdateien, Secrets und potenziell Kundendaten auf dem Server.

Interne Netzwerk-Reconnaissance

SSRF-Schwachstelle hätte Scanning interner Systeme und Zugriff auf Cloud-Metadaten-APIs ermöglicht.

Vertrauensverlust

Sicherheitsvorfälle in einer RPA-Plattform hätten massiven Reputationsschaden und Kundenabwanderung bedeutet.

Messbare Verbesserung

Die Anzahl kritischer und hochgradiger Schwachstellen konnte zwischen erstem und zweitem Test signifikant reduziert werden. Das Team demonstrierte starke Security-Kultur.

Lessons Learned & nächste Schritte

Der zweite Penetrationstest bestätigte, dass kontinuierliche Sicherheitstests bei schnell wachsenden SaaS-Plattformen unverzichtbar sind - besonders bei Multi-Tenancy-Architekturen.

Empfehlungen für die Roadmap

  • Zentralisierte Autorisierung: Einheitliche Auth-Checks über alle API-Endpunkte hinweg statt verstreuter Implementierungen
  • Input-Validierung als Standard: Whitelist-basierte Validierung für alle Benutzereingaben, besonders bei Datei-Operationen
  • Regelmäßige Pentests: Bei Multi-Tenant-Systemen ohne vollständige Isolation sollten vierteljährliche Tests Standard sein
  • Security-Awareness im Dev-Team: Code-Reviews mit Security-Fokus und Training zu OWASP-Top-10 und API-Security
  • Monitoring & Detection: Anomalie-Erkennung für verdächtige API-Zugriffe über Mandantengrenzen hinweg
Multi-Tenancy-Sicherheit im Fokus?

Wir unterstützen SaaS-Unternehmen mit regelmäßigen Penetrationstests und Security-Audits. Kontaktieren Sie uns für ein unverbindliches Gespräch.

Zurück zur Übersicht
Wir sind für Sie da

Ähnliche Herausforderungen?

Haben Sie Fragen zu unseren Dienstleistungen? Wir beraten Sie gerne und erstellen Ihnen ein individuelles Angebot.

Schnelle Antwort

Wir melden uns innerhalb von 24 Stunden bei Ihnen

Datenschutz

Ihre Daten werden vertraulich behandelt

Persönliche Beratung

Direkter Kontakt zu unseren Experten

Kontaktieren Sie DSecured