Ihre öffentliche Angriffsfläche
Wir erfassen, was auf der vereinbarten Website, Domain und den Subdomains ohne Anmeldung erreichbar ist – einschließlich öffentlich zugänglicher Dienste, die möglicherweise in Vergessenheit geraten sind.
Zybee Exposure Report
Erkennen Sie die Risiken Ihrer Website.
Erfahren Sie, was Sie zuerst beheben sollten.
Der Zybee Exposure Report untersucht, welche Informationen und Dienste Ihre Website oder Webanwendung öffentlich zugänglich macht. Sie erhalten persönlich geprüfte Ergebnisse, verständliche Erläuterungen zu den Folgen für Ihr Unternehmen und konkrete Handlungsempfehlungen – statt einer weiteren Liste unkommentierter Warnungen.
Lieferung innerhalb von 12–48 Stunden nach Annahme Ihrer Anfrage. Zahlung nach Lieferung.
✓Keine Anmeldung oder Zugangsdaten nötig✓Keine Änderungen an Ihrer Website✓Persönlich geprüft
Die Grundlage für Ihre Entscheidung
Auch eine funktionierende Website kann Ihr Unternehmen gefährden.
Ein offengelegter Zugangsschlüssel, eine vergessene Sicherungskopie oder ein Dienst mit zu weitreichenden Zugriffsrechten können vertrauliche Informationen und Betriebsabläufe gefährden. Für die Unternehmensleitung sind solche Probleme nicht immer erkennbar.
Wir prüfen die öffentlich zugänglichen Bereiche Ihrer Website oder Anwendung, für die Sie uns eine Freigabe erteilt haben. Aus den Ergebnissen erstellen wir einen Maßnahmenplan mit klaren Prioritäten. Dies ist eine gezielte technische Prüfung – keine Bewertung Ihres gesamten Unternehmens.
Die Prüfung von außen
Was wir prüfen.
Die vereinbarte Website, Domain und die zum Prüfumfang gehörenden Subdomains – soweit sie ohne Anmeldung zugänglich sind.
Offengelegte Schlüssel und Zugangsdaten
Öffentlich ausgelieferter Code kann API-Schlüssel und Zugangsdaten enthalten. Wir unterscheiden Kennungen, die für die öffentliche Nutzung vorgesehen sind, von geheimen Schlüsseln und erläutern die Belege und Risiken.
Öffentlich erreichbare Datenbanken
Wir suchen nach Hinweisen auf öffentlich zugängliche Daten bei Supabase, Firebase und angebundenen Diensten. Keine Anmeldung, kein Durchsuchen von Kundendaten und kein Herunterladen Ihrer Datenbank.
Dateien, die nicht öffentlich sein sollten
Konfigurationsdateien, Sicherungskopien, Exporte und vergessene Verwaltungsseiten. Kleine Fehler bei der Bereitstellung können deutlich mehr preisgeben als beabsichtigt.
Grundlegende Schutzmaßnahmen
HTTPS, Sicherheitsheader für Browser und öffentlich sichtbare Konfigurationen. Praktische Prüfungen von Einstellungen, die leicht übersehen werden.
Veraltete Komponenten
Wenn sichtbare Softwareversionen auf bekannte Sicherheitsprobleme hindeuten, nennen wir die Belege und erläutern, was genauer geprüft werden sollte. Eine Versionsangabe allein beweist noch nicht, dass sich eine Schwachstelle ausnutzen lässt.
Keine Passwörter. Kein Zugriff auf den Quellcode. Keine Änderungen am laufenden System.
Ein Bericht, mit dem Sie weiterarbeiten können
Belege. Prioritäten. Ein konkreter Plan.
Zu jedem Befund erfahren Sie, was wir festgestellt haben, warum es relevant ist und was als Nächstes zu tun ist. Die Grenzen der Prüfung benennen wir offen, statt Lücken mit Annahmen zu füllen.
- 01Nachvollziehbare Belege
Sie sehen, wo wir das Problem festgestellt haben und welche Belege es dafür gibt. Sensible Werte sind geschwärzt. Jeder Befund wird persönlich geprüft.
- 02Klare Prioritäten
Sofort beheben, zeitnah beheben, sinnvolle Verbesserung oder gut zu wissen – mit den Folgen für Ihr Unternehmen und einer Einschätzung des Aufwands.
- 03Alles für die nächsten Schritte
Klare Anleitungen zur Behebung, eine Arbeitsanweisung für Ihr KI-Programmierwerkzeug oder Ihr Entwicklungsteam und eine einseitige Zusammenfassung für Entscheidungsträger.
Sofort behebenF-01 · BEISPIELBEFUND
Ein privater API-Schlüssel ist im öffentlich ausgelieferten Code sichtbar.
example.com /assets/app.js
Was wir festgestellt haben
Eine öffentlich zugängliche JavaScript-Datei enthält einen Zugangsschlüssel, der nur auf dem Server verwendet werden sollte. Jeder Besucher kann ihn einsehen. Wir haben den Schlüssel nicht verwendet.
E-01 · ÖFFENTLICHER CODEAUSZUG
service_api_key: [GESCHWÄRZT]Beispiel zur Veranschaulichung. Kein echter Zugangsschlüssel.Warum das relevant ist
Ist der Schlüssel aktiv, könnten Dritte die damit verbundenen Zugriffsrechte nutzen oder Kosten auf Ihrem Konto verursachen. Die Auswirkungen hängen von den zugehörigen Berechtigungen und Nutzungslimits ab.
Maßnahme · Aufwand noch zu klären
Sperren Sie den offengelegten Schlüssel, erstellen Sie einen neuen und verlagern Sie den Dienstaufruf in eine serverseitige Funktion. Der Aufwand hängt von der Anbindung ab; der Bericht enthält eine Einschätzung für den konkreten Befund.
Arbeitsanweisung für Ihr KI-Programmierwerkzeug
Helfen Sie mir, einen privaten API-Schlüssel eines Dienstes aus meinem öffentlich ausgelieferten Code zu entfernen. Verlegen Sie die betroffenen Aufrufe in eine serverseitige Funktion, die eine Authentifizierung erfordert, und speichern Sie den Ersatzschlüssel ausschließlich in serverseitigen Umgebungsvariablen. Sperren Sie den offengelegten Schlüssel beim Anbieter. Prüfen Sie die Berechtigungen und Nutzungslimits der Funktion. Erstellen Sie die Anwendung neu und prüfen Sie, dass weder alte noch neue geheime Schlüssel in öffentlichen Dateien enthalten sind. Geben Sie keine geheimen Werte aus und greifen Sie nicht auf Kundendaten zu.
Ein zweiter Blick. Klare Grenzen.
Nur öffentlich zugänglich und mit Ihrer Erlaubnis
Keine Bereiche hinter einer Anmeldung. Keine Nutzung Ihrer Zugangsdaten, keine Ausnutzung von Schwachstellen und keine destruktiven Tests.
Ihre Systeme bleiben unverändert
Keine Änderungen an Code oder Datenbank. Kein Herunterladen von Kundendaten. Die Umsetzung der Maßnahmen ist eine separate Leistung.
Eine gezielte Prüfung, keine Garantie
Kein vollständiger Penetrationstest, keine Quellcodeprüfung, keine Compliance-Zertifizierung und keine Bewertung des gesamten Unternehmens. Wir weisen darauf hin, wenn weitergehende Fragen eine gesondert vereinbarte Prüfung erfordern.
Von der Anfrage zu konkreten Schritten
Einfach starten. Gezielt handeln.
01
Senden Sie uns Ihre Website-Adresse
Nennen Sie die Website oder Anwendung und bestätigen Sie, dass sie Ihnen gehört oder Sie zur Beauftragung berechtigt sind. Wir bestätigen Prüfumfang und Preis vor Beginn.
02
Wir prüfen von außen
Wir untersuchen die öffentlich zugänglichen Bereiche und prüfen die Befunde persönlich. Wenn für die Überprüfung ein weitergehender Zugriff nötig wäre, weisen wir darauf hin.
03
Erst der Bericht, dann die Zahlung
Sie erhalten Ihren Bericht per E-Mail innerhalb von 12–48 Stunden nach Annahme Ihrer Anfrage. Die Rechnung folgt nach Lieferung, mit Hinweisen zur Zahlung per Karte oder Banküberweisung.
Jeder Bericht wird persönlich geprüft
„Ich prüfe jeden Bericht persönlich. Und ja, Sie können mir direkt antworten.“
Ich bin Steffen. Ich prüfe, welche Risiken von außen auf Ihrer Website erkennbar sind, und leite daraus konkrete Handlungsempfehlungen ab. Sie erhalten einen Bericht, mit dem Sie weiterarbeiten können – keinen Scanner-Export mit Ihrem Namen darauf.
Steffen SteinGründer · Zybee Labs
Ist das eine vollständige Sicherheitsbewertung meines Unternehmens?
Nein. Wir prüfen gezielt die öffentliche Angriffsfläche Ihrer Website oder Webanwendung. Interne Systeme und die Arbeitsweisen Ihrer Mitarbeitenden sind nicht abgedeckt; auch sämtliche Geschäftsrisiken lassen sich damit nicht erfassen. Es handelt sich weder um einen vollständigen Penetrationstest noch um Tests mit Anmeldung, eine Quellcodeprüfung oder eine Compliance-Zertifizierung.
Verändern Sie etwas oder greifen Sie auf Kundendaten zu?
Nein. Wir ändern keinen Code, schreiben nicht in Ihre Datenbank, nutzen keine Zugangsdaten und führen keine destruktiven Tests durch. Wir prüfen öffentlich erreichbare Bereiche, ohne Kundendatensätze zu durchsuchen oder Ihre Datenbank herunterzuladen. Wenn zur Überprüfung ein weitergehender Zugriff nötig wäre, weisen wir darauf hin, statt diese Grenze zu überschreiten.
Muss meine Website KI oder eine bestimmte Plattform nutzen?
Nein. Der Bericht eignet sich für öffentlich erreichbare Websites und Webanwendungen, unabhängig davon, wie sie erstellt wurden. Die Anleitungen können Sie Ihrem Entwicklungsteam übergeben oder mit Werkzeugen wie Lovable, Replit, Cursor oder Claude verwenden.
Was passiert, wenn Sie nichts Dringendes finden?
Sie erhalten trotzdem einen Bericht mit den geprüften Bereichen, unseren Beobachtungen und den Grenzen der Prüfung. Wir erfinden keine Befunde. Ein unauffälliger Bericht ist hilfreich, garantiert aber nicht, dass Ihre Website frei von Schwachstellen ist.
Was kostet der Bericht und wann zahle ich?
Der Bericht kostet 249 €, einmalig. Wir bestätigen Ihren Preis vor Beginn. Sie zahlen nach Erhalt des fertigen Berichts per Karte oder Banküberweisung gemäß den Rechnungshinweisen. Kein Abonnement und keine Vorauszahlung.
Wann erhalte ich den Bericht?
Innerhalb von 12–48 Stunden nach Annahme Ihrer Anfrage.
Können Sie bei der Behebung helfen?
Ihr Bericht enthält Anleitungen, eine Aufwandsschätzung und eine Arbeitsanweisung für Ihr KI-Programmierwerkzeug oder Ihr Entwicklungsteam. Die Umsetzung der Maßnahmen ist eine separate Leistung und wird gesondert vereinbart. Antworten Sie auf die E-Mail mit Ihrem Bericht, um die nächsten Schritte zu besprechen.
Ihr nächster Schritt
Treffen Sie fundierte Entscheidungen zur Sicherheit Ihrer Website.
Lassen Sie Ihre Website oder Webanwendung gezielt von außen prüfen – mit klaren Prioritäten für die nächsten Maßnahmen.
249 €
Einmalige ZahlungKein Abonnement.
- Senden Sie uns Ihre Website-Adresse.
Wir bestätigen Prüfumfang und Preis vor Beginn.
- Sie erhalten Ihren Bericht.
Per E-Mail innerhalb von 12–48 Stunden nach Annahme Ihrer Anfrage.
- Erst der Bericht. Dann die Rechnung.
Prüfen Sie die Ergebnisse und zahlen Sie anschließend. Keine Vorauszahlung, kein Abonnement.
Wir prüfen ausschließlich öffentlich zugängliche Bereiche von außen. Keine Zugangsdaten, Codeänderungen oder Datendownloads.
Zybee Exposure Report
Geben Sie Ihre Website-Adresse an.
Mit wenigen Angaben senden Sie Ihre Anfrage.
Ihre Anfrage ist eingegangen.
Wir haben eine Bestätigung gesendet an .
Anfrage-Nr.:
Wir bestätigen Annahme und Prüfumfang per E-Mail. Ihr Bericht folgt innerhalb von 12–48 Stunden nach der Annahme, zusammen mit der Rechnung.
Möchten Sie uns lieber direkt schreiben? hello@zybee.ai