Ein Test sagt Dir, wo es klemmt. Er behebt es nicht.
Immer mehr Kunden, Versicherer und Prüfer verlangen einen Penetrationstest. Diese Seite erklärt, wann er sich lohnt, was er leistet, was er nicht leistet, und was danach passieren muss, damit der Bericht nicht in einem Ordner endet.
Wir führen selbst keine Penetrationstests durch. Wir sagen Dir, ob Du einen brauchst, worauf Du bei der Auswahl achten solltest, und wir übernehmen den Teil, der nach dem Bericht anfängt.
Ein Schwachstellenscan ist kein Penetrationstest. Der Scan gleicht Deine Systeme gegen bekannte Schwachstellen ab und liefert eine Liste. Der Test versucht, Schwachstellen tatsächlich auszunutzen und zu verketten. Beides hat seinen Platz, aber der Scan ersetzt den Test nicht, und der Test ersetzt den Scan nicht.
Ein Test ist eine Momentaufnahme. Er beschreibt den Zustand am Tag der Prüfung. Jeder Patch, jede neue Schnittstelle und jeder neue Dienstleister verändert das Bild danach wieder.
Der Bericht ist nicht das Ergebnis. Das Ergebnis sind die behobenen Befunde. Ein Test ohne eingeplante Zeit für die Behebung und ohne Nachtest ist eine teure Bestandsaufnahme.
Ein bestandener Test ist kein Compliance-Nachweis. Weder NIS2 noch DORA noch ISO 27001 verlangen einen Penetrationstest als solchen. Sie verlangen ein Risikomanagement, in dem eine regelmäßige technische Überprüfung ein Baustein sein kann.
Vor dem Test
- Eine Verschwiegenheitsvereinbarung wird vor dem ersten inhaltlichen Gespräch unterzeichnet, nicht danach
- Ein schriftliches Angebot mit Umfang, Methodik, Zeitraum und Preis, statt einer Pauschale ohne Abgrenzung
- Eine benannte Methodik, üblich sind OWASP für Webanwendungen, NIST oder OSSTMM für Infrastruktur, und für Zahlungsverkehr die Vorgaben aus PCI DSS
- Eine klare Abgrenzung, welche Systeme in Reichweite sind und welche ausdrücklich nicht, inklusive Notfallkontakt für den Fall, dass etwas ausfällt
Beim Anbieter selbst
- Nachweisbare Zertifizierungen der Testenden, verbreitet sind OSCP für offensive Praxis und CISSP für die konzeptionelle Seite
- Eigene Forschung, etwa veröffentlichte Schwachstellen mit CVE-Nummer. Wer selbst Lücken findet und meldet, sucht anders als jemand, der ein Werkzeug bedient
- Ein Informationssicherheits-Managementsystem beim Anbieter selbst, denn er bekommt Zugang zu Deinen Systemen
- Referenzen aus Deiner Branche und in Deiner Sprache, gerade wenn Ergebnisse gegenüber Aufsicht oder Kunden erklärt werden müssen
Am Bericht
- Jeder Befund mit Nachweis der Ausnutzbarkeit, nicht nur mit einem Werkzeugnamen und einer Risikostufe
- Eine Bewertung der Kritikalität im Kontext Deines Unternehmens, statt einer generischen Punktzahl
- Konkrete Behebungsempfehlungen, die Deine Entwicklung oder Dein Dienstleister umsetzen kann
- Ein Nachtest der behobenen Befunde, idealerweise im Angebot enthalten und nicht als Zusatzposten
Ein Test beschreibt einen Tag. Diese vier Bausteine beschreiben die Zeit dazwischen, und die ist deutlich länger.
Bevor eine neue Anwendung oder ein Kundenportal öffentlich erreichbar wird, denn danach ist jede Lücke eine Lücke im Betrieb
Nach einer Migration, einer neuen Schnittstelle oder einem Wechsel des Dienstleisters, weil sich genau dort die Angriffsfläche verschiebt
Wenn ein Großkunde, ein Versicherer oder eine Aufsicht es fordert. Dann zählt nicht nur der Test, sondern auch, wie belastbar der Nachweis danach ist
Penetrationstest
Führt CAVRIX Penetrationstests selbst durch?
Nein. Wir prüfen nicht offensiv und wir führen keine Angriffssimulationen durch. Das ist eine eigene Disziplin mit eigenen Zertifizierungen, und wer beides aus einer Hand verspricht, prüft am Ende die eigene Arbeit. Wir ordnen für Dich ein, ob ein Test sinnvoll ist und in welchem Umfang, wir helfen bei der Auswahl und beim Lesen des Angebots, und wir übernehmen den Teil danach.
Was ist der Unterschied zwischen Penetrationstest, Schwachstellenscan und Red Teaming?
Der Schwachstellenscan ist automatisiert, breit und günstig, er findet Bekanntes. Der Penetrationstest ist manuell, tief und begrenzt auf einen vereinbarten Umfang, er versucht Schwachstellen tatsächlich auszunutzen. Red Teaming prüft nicht ein System, sondern Deine Organisation, also Technik, Menschen und Abläufe zusammen, meist ohne dass die IT vorab informiert ist. Für die meisten mittelständischen Unternehmen ist ein regelmäßiger Scan plus ein gezielter Test der sinnvolle Weg, Red Teaming lohnt erst mit gereifter Abwehr.
Was kostet ein Penetrationstest?
Seriös lässt sich das nicht pauschal sagen, weil der Preis am Umfang hängt, also an der Anzahl der Anwendungen, Schnittstellen und Zugangswege. Was Du prüfen kannst: Ein Angebot ohne definierten Umfang ist kein Angebot. Und ein Preis, der deutlich unter dem Markt liegt, bedeutet in der Regel weniger Testtage, nicht mehr Effizienz.
Verlangt NIS2 einen Penetrationstest?
Nicht ausdrücklich. NIS2 verlangt Risikomanagementmaßnahmen und Verfahren zur Bewertung ihrer Wirksamkeit, und die Geschäftsleitung haftet für die Umsetzung. Ein regelmäßiger technischer Test ist ein gängiger Weg, diese Wirksamkeit zu belegen, aber er ist nicht der einzige und für sich allein auch nicht ausreichend. Im Finanzsektor ist die Lage strenger: DORA sieht für bestimmte Institute bedrohungsgeleitete Tests ausdrücklich vor.
Wie oft sollte getestet werden?
Es gibt keine gesetzliche Frequenz. In der Praxis bewährt sich ein jährlicher Rhythmus für die von außen erreichbaren Systeme, ergänzt um einen Test immer dann, wenn sich an Architektur, Zugangswegen oder Dienstleistern etwas Wesentliches ändert. Zwischen den Tests trägt die laufende Beobachtung, nicht der Kalender.
Was passiert nach dem Bericht?
Der eigentliche Teil. Befunde priorisieren, Behebung planen und begleiten, Nachtest terminieren, und die Ergebnisse so dokumentieren, dass sie gegenüber Kunden, Versicherern und Aufsicht Bestand haben. Parallel läuft die Beobachtung weiter, denn zwischen zwei Tests entstehen neue Schwachstellen und tauchen Zugangsdaten in Leaks auf. Genau dieser Teil ist unser Teil.
Erst klären, ob Du einen Test brauchst. Dann klären, welchen
Wir sehen uns Deine Ausgangslage an und sagen Dir ehrlich, ob ein Penetrationstest der richtige nächste Schritt ist oder ob zuerst etwas anderes dran ist. Schreib uns an info@cavrix.de.