Warum unauthentifizierte Scans die Hälfte übersehen

Die Fassade trügt

Ein unauthentifizierter Scan prüft, was ein anonymer Besucher sieht: die öffentliche Startseite,

ein paar Endpunkte, vielleicht ein Login-Formular. Das ist nützlich — aber es ist die Fassade.

Die wirklich kritischen Schwachstellen — **Broken Access Control, IDOR, Privilege Escalation,

Business-Logik-Fehler — leben dort, wo Funktionalität ist: hinter der Anmeldung.**

Was hinter dem Login passiert

Eingeloggt wird die Angriffsfläche um ein Vielfaches größer: Profil-Endpunkte, Admin-Funktionen,

Datei-Uploads, API-Aktionen, Mehrschritt-Workflows. Genau hier entstehen die Lücken mit dem höchsten

Schadenspotenzial — und genau hier ist ein anonymer Scanner blind.

Wie agentschmitz hinter die Anmeldung kommt

Sie geben dem Agenten einfach Login-URL, Benutzername und Passwort. Der Agent:

1. ruft die Login-Seite auf und erkennt die Felder sowie einen eventuellen CSRF-Token automatisch,

2. meldet sich an und übernimmt das Session-Cookie,

3. testet anschließend als eingeloggter Nutzer weiter.

Alternativ lässt sich auch ein fertiges Session-Cookie oder ein Bearer-Token hinterlegen.

Der Unterschied im Ergebnis

In der Praxis ist der Sprung enorm: Erst mit gültiger Session findet der Agent IDORs in

/api/users/{id}, erreichbare Admin-Bereiche und Daten, die für anonyme Besucher unsichtbar sind.

Wer nur von außen testet, übersieht die Hälfte — oft die wichtigere Hälfte.