External Exposure Security
Öffentliche Secrets, API-Keys, offene Pfade und Fehlkonfigurationen. Die Engine findet sie und priorisiert die Findings.
KI unterstützt bei der Einordnung und Priorisierung.
ReconSec Security Assessment
demo-company.de
Angriffsfläche
Aktuelle Findings
Nenne uns die Website, deren öffentlich erreichbare Oberfläche du prüfen lassen möchtest.
Bestätige, dass du Eigentümer/Betreiber bist oder die notwendige Berechtigung für den Security Check besitzt.
Unsere Analyse-Engine arbeitet den vereinbarten Scope Schicht für Schicht ab. Die ersten Findings und deren Einordnung erhältst du anschließend per E-Mail.
Nicht nur die sichtbare Seite. Öffentlich können Keys, Source Maps, Admin-Pfade, schwache Header und Mail-Records liegen.
Je nach Scope sucht die Engine unter anderem nach:
Die Engine holt öffentliche Source Maps, Bundles und Pfade und sucht nach Keys, Secrets und anderen Expositionen. KI ordnet ein: was das ist, warum es zählt, was als Nächstes sinnvoll ist.
Von ReconSec erkannt
Öffentliche Source Map auf demo-company.de
/static/js/main.8f2a.js.map Secrets und PII maskiert
STRIPE_SECRET_KEY = sk_live_••••••••••••••••OPENAI_API_KEY = sk-••••••••••••••••••••AWS_ACCESS_KEY_ID = AKIA••••••••••••Name = M•••••• S••••••E-Mail = m••••••@example.de Einordnung
Eine öffentlich ausgelieferte Source Map kann Build-Secrets und personenbezogene Daten ohne Anmeldung offenlegen. Das ist derselbe Weg, über den Zugangsdaten und Keys ins Netz gelangen.
Map nicht mehr öffentlich ausliefern. Betroffene Keys rotieren. Bundles ohne sourcesContent bauen.
Jedes Finding soll sagen: was, wo, warum es zählt, welche Priorität, welcher nächste Schritt.
Executive Summary
61 / 100
Demo ohne echte Kundendaten. Findings nach Schwere, Oberfläche und nächstem Schritt.
Kategorien
Warum relevant?
Source Maps können interne Pfade, Kommentare und Zeichenketten, die wie Secrets aussehen, aus dem Build offenlegen. Dafür ist keine Anmeldung nötig.
Nächster Schritt
Öffentliche Auslieferung der Map entfernen und Bundles ohne sourcesContent ausliefern.
Warum relevant?
Eine öffentlich erreichbare Spezifikation zeigt Endpunkte und Datenmodelle, die oft nicht für anonyme Nutzer gedacht sind.
Nächster Schritt
Doku hinter Authentifizierung legen oder auf das beschränken, was bewusst öffentlich sein soll.
Die angeforderte Website bzw. Domain wird als Teil der Assessment-Anfrage dokumentiert.
Du musst bestätigen, dass du Eigentümer/Betreiber bist oder ausdrücklich berechtigt bist, den Security Check anzufragen.
ReconSec untersucht ausschließlich die für den vereinbarten Check vorgesehene externe Angriffsfläche. Der Standard-Check ist nicht darauf ausgelegt, Systeme zu verändern, Dienste zu unterbrechen oder Daten zu manipulieren.
Details stehen in Scan Scope, Security Testing Terms und der Datenschutzerklärung. Scan Scope · Security Testing Terms · Datenschutz
12.195
Bestätigte Datenpannen im Verizon DBIR 2025, aus 22.052 Incidents.
Quelle: Verizon DBIR 2025
4,44 Mio. $
Globale Durchschnittskosten einer Datenpanne, IBM 2025.
88 %
Grundlegende Web-Angriffe, die gestohlene Zugangsdaten nutzten.
Quelle: Verizon DBIR 2025
44 %
Breaches mit Ransomware, nach 32 % im Vorjahr.
Quelle: Verizon DBIR 2025
30 %
Breaches mit Drittbeteiligung, verdoppelt gegenüber 15 %.
Quelle: Verizon DBIR 2025
Den von dir freigegebenen öffentlichen Teil: Secrets und API-Keys, Source Maps, offene Pfade und API-Doku, Security-Header, TLS, DNS und Mail. Der Rahmen steht im Scan Scope.
Nein. Der Standard-Check bleibt auf der öffentlichen Oberfläche. Kein DDoS, keine absichtliche Unterbrechung, keine destruktive Änderung. Ein tieferes Assessment kann separat vereinbart werden.
Nein. Du musst Eigentümer/Betreiber sein oder ausdrücklich dazu berechtigt worden sein.
Damit wir die Anfrage zuordnen können. Die Adresse muss zur Domain der Website gehören, zum Beispiel max@example.de für shop.example.de. Ergebnisse gehen an diese Adresse.
Wir dokumentieren die Exposition, nicht die Personen. Angaben in Findings werden soweit möglich maskiert.
Nicht als dauerhaftes Archiv. Ergebnisse nur so lange, wie Versand und Bearbeitung es erfordern. Anfrage- und Autorisierungsdaten bleiben getrennt davon.
Nach Prüfung der Anfrage per E-Mail. Die öffentliche Anfrage ist ohne Berechnung.
Ja. Umfang, Fenster und Lieferumfang werden dann separat vereinbart.
Lass die Engine prüfen, welche Secrets, offenen Pfade und Fehlkonfigurationen öffentlich erreichbar sind. Du bekommst eine priorisierte Übersicht.