Sicherheits-Checkliste für Web-Apps: 12 Punkte und die passenden Nachweise

Verlangen und prüfen Sie acht Punkte, bevor Sie eine extern gebaute Web-App abnehmen: Mehrfaktor-Authentifizierung, TLS überall, verschlüsselte Backups mit getesteter Wiederherstellung, zentrale Protokollierung, einen dokumentierten Patch-Plan, einen unterzeichneten Auftragsverarbeitungsvertrag mit namentlich genannten Unterauftragsverarbeitern sowie einen schriftlichen Notfallplan für Sicherheitsvorfälle. Fordern Sie vom Dienstleister eine dokumentierte Checkliste oder eine Abnahmebestätigung zu jedem Punkt, dazu einen nach Priorität geordneten Massnahmenplan für alles, was nicht besteht. Nutzen Sie die folgende Übersicht Punkt für Punkt als Abnahmetest oder als Anhang zu Ihrer Ausschreibung.

---

Kurz zusammengefasst:

• Dienstleister müssen Mehrfaktor-Authentifizierung, TLS-Verschlüsselung und verschlüsselte Backups nachweisen, bevor die App live geht, belegt durch Screenshots oder Berichte.

• Ein dokumentierter Patch-Plan, eine getrennte Staging-Umgebung, ein unterzeichneter Auftragsverarbeitungsvertrag und ein Notfallplan sind Voraussetzung für die Freigabe zum Start.

• Zugriffsrechte gehören regelmässig überprüft, inklusive Rollenmatrix und Sitzungssicherheit, belegt durch Protokolle und periodische Reviews, idealerweise aus einem privaten Browserfenster.

• Laufende Sicherheitsarbeit wie wöchentliche Patch-Kontrollen, vierteljährliche Health-Checks und jährliche Schwachstellen-Scans ist nötig, um neue Risiken nach dem Start abzufangen.

• Ampersand Labs übernimmt fortlaufende Sicherheitsprüfungen und verankert diese Checkliste in Entwicklungs- und Supportmandaten für bestehende wie für kommende Projekte.

---

Was gehört auf Ihre Sicherheits-Checkliste für Web-Apps?

Sie müssen keinen Code lesen können, um diese Checkliste durchzugehen. Sie müssen wissen, was Sie verlangen und was als Nachweis zählt. Jeder Punkt unten nennt die Leistung des Dienstleisters und wie Sie sie prüfen, dazu die Angabe, ob er den Go-live blockiert oder ob Sie ihn für die ersten 30 bis 90 Tage einplanen.

1. Mehrfaktor-Authentifizierung für alle Administrationskonten. Verlangen Sie einen Screenshot der erzwungenen MFA-Einstellungen. Pflicht vor dem Go-live.

2. TLS-Verschlüsselung bei der Übertragung. Verlangen Sie die Angaben zum SSL-Zertifikat oder einen Scan-Bericht. Pflicht vor dem Go-live.

3. Verschlüsselung sensibler Felder in der Datenbank. Fragen Sie, welche Datenbankfelder verschlüsselt sind und wie. Pflicht vor dem Go-live.

4. Dokumentierter Backup-Plan mit durchgeführtem Wiederherstellungstest. Verlangen Sie Datum und Ergebnis des letzten Tests. Pflicht vor dem Go-live.

5. Zentrale Protokollierung von Administrations- und Datenzugriffen. Verlangen Sie einen Beispielexport über eine Woche. Einplanen für 30 Tage.

6. Schriftlich festgelegter Rhythmus für Patches und Aktualisierungen von Abhängigkeiten. Verlangen Sie den letzten Prüfbericht zu den Abhängigkeiten. Einplanen für 30 Tage.

7. Staging-Umgebung getrennt vom Produktivsystem. Verlangen Sie das Dokument zum Release-Prozess. Pflicht vor dem Go-live.

8. Rückfallplan für fehlgeschlagene Deployments. Verlangen Sie das letzte Rollback-Protokoll oder die Zusammenfassung eines Probelaufs. Einplanen für 30 Tage.

9. Unterzeichneter Auftragsverarbeitungsvertrag mit Unterauftragsverarbeitern und Speicherorten. Verlangen Sie das unterzeichnete Dokument. Pflicht vor dem Go-live.

10. Notfallplan für Sicherheitsvorfälle mit namentlichen Kontakten. Verlangen Sie das Handbuch und die Eskalationskontakte. Pflicht vor dem Go-live.

11. Überwachung und Alarmierung bei auffälligen Aktivitäten. Verlangen Sie eine Beispielmeldung oder einen Screenshot des Dashboards. Einplanen für 90 Tage.

12. Rollenmatrix, die zeigt, wer Administrationsrechte hat. Verlangen Sie die aktuelle Liste und das Datum der letzten Überprüfung. Einplanen für 30 Tage.

Ein Dienstleister, der bei den Punkten 1, 2, 4, 7, 9 oder 10 zögert, ist nicht bereit für den Go-live, egal wie überzeugend die Demo aussieht.

Authentifizierung und Zugriffskontrolle: Das müssen Sie verlangen

Schwache Zugriffskontrolle ist der schnellste Weg, wie eine von einer Agentur gebaute App kompromittiert wird, meist über ein gemeinsam genutztes Administrationspasswort, das seit dem Start niemand gewechselt hat. Ihre Aufgabe ist es nicht, das selbst einzurichten. Ihre Aufgabe ist es, den Nachweis für die korrekte Konfiguration einzufordern.

• Verlangen Sie MFA für jedes Administrationskonto sowie eine Rechteerhöhung nur bei Bedarf, damit niemand standardmässig mit vollen Rechten angemeldet bleibt.

• Fordern Sie eine Rollenmatrix mit allen Administrationskonten und den jeweils verantwortlichen Personen, dazu die Zusage, die Berechtigungen monatlich zu überprüfen.

• Verlangen Sie Konfigurationsnotizen oder Screenshots zu Sitzungs-Zeitlimiten, sicheren Cookie-Flags und der geltenden Passwortrichtlinie.

• Melden Sie sich mit einem Testkonto mit wenigen Rechten an und prüfen Sie, ob Sie tatsächlich keine Administrationsseiten erreichen und keine Daten exportieren können, die Sie nicht sehen dürften.

Profi-Tipp: Führen Sie Ihre Zugriffsprüfungen in einem privaten Browserfenster oder einer sauberen Sitzung durch, nie auf dem angemeldeten Laptop Ihrer Entwickler:innen. Eine Sitzung voller alter Administrations-Cookies oder zwischengespeicherter Berechtigungen verdeckt genau die Lücken, die Sie finden wollen.

Verlangen Sie Protokolle, die zeigen, dass die Zugriffsbeschränkungen in einer kürzlich vergangenen Woche tatsächlich griffen, nicht bloss ein Richtliniendokument, das beschreibt, was passieren sollte.

Datenschutz: Verschlüsselung, Speicherort und Protokollierung

Beim Datenschutz lassen sich Käufer:innen ohne Technikhintergrund am leichtesten abspeisen, denn «wir verschlüsseln» klingt beruhigend, ganz gleich, ob es für die entscheidenden Felder auch stimmt.

• Verlangen Sie TLS für die gesamte Anwendung, nicht nur für die Anmeldeseite, und lassen Sie sich das mit einem Zertifikatsbericht belegen.

• Verlangen Sie Verschlüsselung im Ruhezustand für sensible Felder (Zahlungsdaten, Personendaten, Gesundheitsdaten) und fragen Sie, welche Spalten konkret abgedeckt sind.

• Fragen Sie, wo die Verarbeitung tatsächlich stattfindet, und lassen Sie eine Liste der Unterauftragsverarbeiter und Speicherorte direkt in den Auftragsverarbeitungsvertrag schreiben.

• Verlangen Sie Protokollierung und Nachvollziehbarkeit dazu, wer auf sensible Daten zugegriffen oder sie verändert hat, dazu dokumentierte Aufbewahrungs- und Löschverfahren.

Wenn Ihre App grosse Mengen sensibler Daten verarbeitet oder etwas tut, das einem automatisierten Profiling ähnelt, sollten Sie vor dem Start eine Datenschutz-Folgenabschätzung verlangen. Die Schweizer Datenschutzpraxis erwartet bei risikoreicher Bearbeitung genau diese Art von Dokumentation und Nachvollziehbarkeit, und die Empfehlungen zur Sorgfaltsprüfung bei Cloud-Diensten raten zur gleichen Genauigkeit bei Unterauftragsverarbeitern, bevor Sie irgendetwas unterschreiben, so Chambers and Partners’ cloud computing practice guide.

Sichere Entwicklung und Auslieferung: Diese Kontrollen brauchen Sie

Wie Code vom Laptop der Entwickler:innen auf Ihre Live-Website gelangt, entscheidet darüber, ob eine fehlerhafte Aktualisierung Ihre App für eine Stunde oder für eine Woche lahmlegt. Das ist eine Prozessfrage, keine technische, und Sie können einen Dienstleister darauf verpflichten, ohne eine Zeile Code zu lesen.

• Verlangen Sie einen dokumentierten Release-Prozess mit getrennter Staging- und Produktivumgebung, einen schriftlichen Rückfallplan und einen vereinbarten Deployment-Kalender.

• Fragen Sie, wer die Zugangsdaten und Schlüssel für das Produktivsystem hält, und drängen Sie auf möglichst wenige Personen mit direktem Zugriff.

• Verlangen Sie Belege für automatisierte Tests (CI-Nachweis) und Deployment-Protokolle, die zeigen, was wann ausgeliefert wurde.

• Verlangen Sie geplante Backups mit einem dokumentierten, datierten Wiederherstellungstest, nicht bloss einen Backup-Job, der läuft und von dem man annimmt, dass er funktioniert.

Ein Backup, das nie jemand wiederhergestellt hat, ist eine Hoffnung, keine Absicherung. Verlangen Sie das Datum des letzten erfolgreichen Wiederherstellungstests, bevor Sie den Go-live freigeben.

Abhängigkeiten und Patches: Risiken aus Fremdkomponenten im Griff behalten

Die meisten Web-Apps laufen auf Dutzenden fremder Bibliotheken, die der Dienstleister nicht geschrieben hat und vielleicht nicht genau im Blick behält. Genau dort entsteht ein grosser Teil der realen Sicherheitsvorfälle, unbemerkt, über eine Komponente, die niemand aktualisiert hat.

• Verlangen Sie eine Übersicht aller Abhängigkeiten und eine namentlich benannte Person oder Rolle, die für den Patch-Rhythmus verantwortlich ist.

• Fordern Sie eine schriftliche Regelung zu Komponenten ohne Herstellerunterstützung und dazu, wie schnell der Dienstleister auf eine neu veröffentlichte kritische Schwachstelle (CVE) reagiert.

• Prüfen Sie das anhand eines aktuellen Prüfberichts zu den Abhängigkeiten oder einer klaren Aussage des Dienstleisters dazu, wie oft Aktualisierungen laufen.

Ein Dienstleister ohne Antwort auf die Frage «Wie schnell patchen Sie eine kritische CVE?» sagt Ihnen damit, dass Patches nur reaktiv erfolgen, wenn überhaupt.

Überwachung, Protokollierung und Reaktion auf Vorfälle: Diese Nachweise verlangen Sie

Jede App wird früher oder später abgetastet, gescannt oder mit gestohlenen Zugangsdaten attackiert. Ob daraus ein beherrschbarer Vorfall oder ein Desaster wird, hängt davon ab, ob es rechtzeitig jemand merkt und ob die Reaktion eingeübt statt improvisiert ist.

1. Verlangen Sie Protokollierung und Alarmierung im Betrieb sowie einen schriftlichen Notfallplan mit namentlich benannten, erreichbaren Kontakten.

2. Verlangen Sie den Beleg, dass der Plan tatsächlich getestet wurde, sei es in einer Trockenübung oder bei einem echten Vorfall im vergangenen Jahr.

3. Bestehen Sie auf einer schriftlich zugesicherten Reaktionszeit, etwa Beginn der Ersteinschätzung innert 24 Stunden nach Entdeckung.

4. Verlangen Sie vertragliche Zusagen (SLA) zur Meldegeschwindigkeit bei Vorfällen und zur Unterstützung bei der Behebung.

5. Prüfen Sie das, indem Sie Handbücher, eine anonymisierte Zusammenfassung eines Vorfalls oder einen eigenen Vorfallsbericht des Dienstleisters aus einem früheren Mandat anfordern.

Profi-Tipp: Verlangen Sie ausdrücklich eine anonymisierte Zusammenfassung eines Vorfalls, kein makelloses Zeugnis. Ein Dienstleister, der über Jahre Produktivsysteme betreibt und nie einen einzigen Sicherheitsvorfall hatte, hat entweder extremes Glück oder schaut nicht genau genug hin.

Das Nationale Zentrum für Cybersicherheit der Schweiz veröffentlicht IKT-Minimalstandards, die Überwachung und Vorbereitung auf Vorfälle ausdrücklich verlangen. Ein nützlicher Bezugspunkt, falls ein Dienstleister diese Forderungen als übertrieben abtut.

Sorgfaltsprüfung des Dienstleisters: die Vertragscheckliste

Im Vertrag entscheidet sich, ob Sicherheitsversprechen durchsetzbar sind oder beim ersten Zwischenfall verpuffen. Das gilt für eine Banking-Web-App mit regulierten Finanzdaten genauso wie für eine einfache Marketing-Website, die E-Mail-Adressen sammelt.

• Verlangen Sie einen Auftragsverarbeitungsvertrag, der jeden Unterauftragsverarbeiter nennt, angibt, wo die Daten physisch liegen, und die Mitwirkungspflichten bei einem Datenabfluss klar regelt.

• Fordern Sie, wo sinnvoll, Zertifizierungen oder Prüfberichte Dritter an, etwa ISO/IEC 27001 oder ISAE 3402, besonders bei Dienstleistern, die Finanz- oder Gesundheitsdaten bearbeiten.

• Verhandeln Sie ein Prüfrecht oder den Anspruch auf regelmässige Berichte Dritter und bestehen Sie darauf, dass jeder Befund mit einem nach Priorität geordneten Massnahmenplan samt konkreten Terminen kommt, nicht nur mit dem Versprechen, «sich das anzuschauen».

Ein Dienstleister, der sich gegen eine Prüfrechtsklausel wehrt, verrät Ihnen einiges darüber, wie sicher er sich seiner eigenen Kontrollen ist.

Wie oft sollten Sie die Sicherheit nach dem Start prüfen?

Sicherheit ist kein einmaliger Abnahmetest. Sie ist eine Wartungsgewohnheit, und die meisten Gründer:innen lassen sie fallen, sobald die App draussen ist.

1. Führen Sie wöchentlich eine Patch-Kontrolle durch, um zu bestätigen, dass Abhängigkeiten und Plattform-Aktualisierungen aktuell sind.

2. Planen Sie vierteljährlich einen Health-Check zu Protokollierung, Wiederherstellung von Backups und Zugriffsrechten.

3. Beauftragen Sie jährlich einen Schwachstellen-Scan oder ein externes Audit, dessen Ergebnisse in ein dokumentiertes Massnahmenprotokoll fliessen.

4. Verlangen Sie einen Wiederherstellungstest bei jeder Änderung an der Backup-Infrastruktur und führen Sie nach jedem grösseren Release Abnahmetests durch.

Die Empfehlungen von Alpine Excellence für Schweizer KMU verstehen das als a risk-based ongoing program und nicht als Häkchen am Starttag. Sie empfehlen zudem, das Sicherheitsbudget am tatsächlichen Risiko der App auszurichten statt an einem pauschalen Branchenwert. Führen Sie ein laufendes Massnahmenprotokoll, geordnet nach Schweregrad, damit nichts Kritisches monatelang liegen bleibt, weil sich niemand um die Nachverfolgung kümmert.

Wie Ampersand Labs diese Checkliste in der Praxis anwendet

Ampersand Labs ist ein Studio in Zürich, in dem erfahrene Entwickler:innen von der ersten Beratung bis zur Übergabe im Projekt bleiben. Das sichert Kontinuität und Qualität.

• Im Projekt NeuroMynds lieferte das Team die Website eines Gründers, die schnell und sicher ist und vom ersten Tag an zahlende Abonnent:innen aufnehmen kann. Die oben beschriebenen Zugriffs- und Auslieferungskontrollen waren von Anfang an eingebaut, nicht nachträglich ergänzt.

• Erfahrene Beteiligung ab dem Start bedeutet: Die Person, die Ihr Anmeldeverfahren konzipiert hat, ist auch beim Launch noch dabei, statt durch irgendwen ersetzt zu werden, der im betreffenden Sprint gerade frei war.

Wie Ampersand Labs Sie bei dieser Checkliste unterstützt

Es gibt andere Wege: Sie beauftragen freischaffende Prüfer:innen für einen einmaligen Scan oder lassen Ihre bestehende Agentur sich selbst gegen eine Checkliste wie diese bestätigen. Beides funktioniert, aber keines gibt Ihnen erfahrene Entwickler:innen, die auch nach Ablage des Berichts in der Verantwortung bleiben. Ampersand Labs verankert Sicherheit direkt im Bau, in Mandaten für MVP- und Web-App-Entwicklung. So sind die oben genannten Punkte vom ersten Tag an Abnahmekriterien statt hektische Nacharbeit kurz vor dem Start.

Wenn Ihre App bereits live ist, deckt der monatliche Support den in diesem Artikel beschriebenen Rhythmus ab: Patch-Kontrollen, vierteljährliche Health-Checks und ein Massnahmenprotokoll, das tatsächlich abgearbeitet und nicht nur geschrieben wird. Für Teams, die noch einen Dienstleister evaluieren oder einen bereits beauftragten überprüfen möchten, führt Ampersand Labs eine fokussierte Checklisten-Prüfung oder ein kurzes Audit gegen genau diese Punkte durch. Sehen Sie sich die Fallstudien an, um zu sehen, wie das in echten Projekten aussieht, und melden Sie sich für eine Prüfung oder eine Offerte für monatlichen Support.

Quellen

• a risk-based ongoing program

• Chambers and Partners’ cloud computing practice guide

Häufige Fragen

Was ist der wichtigste Punkt auf einer Sicherheits-Checkliste für Web-Apps?

Mehrfaktor-Authentifizierung für Administrationskonten und ein getesteter Wiederherstellungsvorgang aus dem Backup verhindern den grössten Schaden. Beides sollte vor dem Go-live nicht verhandelbar sein.

Wie oft sollte eine extern gebaute Web-App auf Sicherheit geprüft werden?

Wöchentlich eine Patch-Kontrolle, vierteljährlich ein interner Health-Check und jährlich ein externer Schwachstellen-Scan oder ein Audit. Bei Apps mit Zahlungs- oder Gesundheitsdaten prüfen Sie häufiger.

Was gehört in den Auftragsverarbeitungsvertrag eines Dienstleisters?

Der Vertrag sollte jeden Unterauftragsverarbeiter nennen, angeben, wo die Daten physisch gespeichert sind, die Mitwirkungspflichten bei einem Datenabfluss beschreiben und, wo einschlägig, auf Zertifizierungen wie ISO/IEC 27001 verweisen.

Wie prüfe ich die Sicherheitsaussagen eines Dienstleisters ohne technisches Wissen?

Verlangen Sie konkrete Belege statt Beschreibungen: Zertifikatsberichte, exportierte Protokolle, Daten von Wiederherstellungstests und eine anonymisierte Zusammenfassung eines Vorfalls. Prüfen Sie dann, ob die Daten aktuell sind und nicht Jahre zurückliegen.

Kann Ampersand Labs meine bestehende App gegen diese Checkliste prüfen?

Ja. Ampersand Labs bietet fokussierte Checklisten-Prüfungen und laufenden monatlichen Support für Apps, die bereits im Einsatz sind, aufbauend auf dem von erfahrenen Entwickler:innen geführten Vorgehen, wie es etwa bei NeuroMynds zum Einsatz kam.

Empfohlen

• NeuroMynds: Die Website eines Gründers schnell, sicher und bereit für Abonnent:innen.

• MVP-, Web- & Mobile-App-Entwicklung Zürich

• Repa Immobiliare: Ein Immobilienportfolio weg vom Papier, mit Software, die nie online geht.