Einführung
So arbeite ich
Meine Prinzipien
Woran ich gerade arbeite
Tiefer rein
David Büngener
Sicherheitsexperte mit 10 Jahren Erfahrung: Ich finde Sicherheitslücken und behebe sie selbst, von der Software bis tief ins Gerät. Lösungen, die bleiben.Ich bin Sicherheitsexperte mit 10 Jahren Erfahrung in besonders schützenswerten IT-Systemen. Meine Spezialität: Sicherheitslücken finden und selbst beheben, von der Software bis tief in die Geräte hinein. Anders als Berater, die nur prüfen und wieder verschwinden, hinterlasse ich Lösungen, die bei dir bleiben.
So arbeite ich
Ich komme nicht zum Prüfen und verschwinde wieder. Jedes Audit endet bei mir mit einem Befund, der eine Lösung benennt, und auf Wunsch baue ich die Lösung selbst ein. Kein Auditor-vs-Dev-Pingpong: Ich behebe kritische Findings selbst und prüfe danach nach.Jede Prüfung läuft methodisch entlang anerkannter Maßstäbe, nicht gegen eine Meinung: OWASP ASVS für Web und API, IEC 62443 für OT und Industrie, und die Nachweisführung so, dass sie eine NIS2-Prüfung übersteht.Und ich arbeite schnell dort, wo es schnell geht: Ein Health Check steht in 3–5 Tagen, ein vollständiger Audit-Bericht in 1–2 Wochen. Weil ich alle Layer kenne (von der Firmware über die API bis zur Cloud-Konfiguration), kommt die ganze Prüfung aus einer Hand.
Der Ablauf in vier Schritten
1 · Scoping & Threat ModelIch definiere Systeme, Repositories und Datenflüsse im Audit-Umfang. Auf Basis von Architektur und Deployment-Topologie modelliere ich Bedrohungen nach STRIDE. Ergebnis: schriftlicher Scope und priorisierte Angriffsszenarien, die die Test-Tiefe steuern.
2 · Static Code ReviewManueller Secure Code Review der kritischen Pfade plus SAST-Tooling (Semgrep, CodeQL, projektspezifische Linter). Fokus: Input-Validierung, Auth, Kryptografie, Fehler- und Log-Handling. Tiefe statt Breite.
3 · Dynamic TestingAPI-Tests mit Burp Suite und eigenen Fuzzing-Skripten, Konfigurations- und Rate-Limit-Checks, Abuse-Case-Validierung. Die im Threat Model priorisierten Szenarien werden exploitativ verifiziert, reproduzierbare Befunde, kein Theater.
4 · Reporting & optionale RemediationJedes Finding mit CVSS, Reproduktion, Impact und Fix-Empfehlung auf Code-Ebene. Auf Wunsch übernehme ich die Behebung selbst und liefere einen Re-Test der gefixten Findings. Audit und Implementierung in einer Hand.
Meine Prinzipien
Branchenerfahrung
Security-Audits für Branchen, in denen Ausfall, Datenleck oder Bußgeld richtig weh tun.Versicherer
Security- und Last-Stabilität für Schadenprozesse im Produktivbetrieb.Passende Prüfung ansehenKRITIS & Energie
NIS2-Readiness und Konfigurations-Audits für Versorger und kritische Infrastrukturen.Passende Prüfung ansehenProduzierender Mittelstand
NIS2-Audits, OT-Strecken-Härtung und Lieferketten-Nachweise für die Fertigung.Passende Prüfung ansehenHealthcare & Zahnarztpraxen
KBV-konforme Sicherheit, TI-Komponenten, Patch-Governance und Managed Services.Passende Prüfung ansehenEmbedded- & IoT-Hersteller
Firmware-Audits, Secure Boot, signierte OTA-Pipelines und Hardware-nahe Härtung.Passende Prüfung ansehenSaaS & Plattformen
API- und Backend-Security für Produktteams, die schnell wachsen und nachweisen müssen.Passende Prüfung ansehenWoran ich gerade arbeite
Aktuell arbeite ich an Tetraguard (Auth-Sidecar für Windows-Login mit 2FA), an der Co-Parenting-Plattform KiDara und an Enterprise-Deployments für regulierte Umgebungen. Bestandskunden betreue ich in Security Governance und QA, darunter ROLAND Rechtsschutz-Versicherung und Königszahn. Mein täglicher Security-Digest wertet 15 Feeds automatisch aus; die HTB-Zertifizierungen CPTS und CWEE habe ich 2026 abgeschlossen.