Penetrationstests, die zeigen, wo Ihr Unternehmen wirklich angreifbar ist

Ein Penetrationstest ist ein kontrollierter, autorisierter Angriff auf Ihr System, durchgeführt so, wie es ein echter Angreifer täte, aber in einem vereinbarten Umfang und vollständig dokumentiert. Das Ziel ist nicht nur eine Liste von Schwachstellen, sondern der Nachweis, was sich damit tatsächlich anstellen lässt: welche Daten erreichbar sind, welches Konto übernommen werden kann und wie weit ein Angreifer in die Infrastruktur vordringt.

Das unterscheidet einen Pentest von einem Schwachstellenscan. Ein Scanner vergleicht seine Funde mit einer Datenbank bekannter Signaturen und liefert eine Liste von Alarmen, oft mit vielen Fehlalarmen. Ein Pentester verifiziert jede Hypothese von Hand, führt einzeln harmlose Fehler zu einem Angriffspfad zusammen und bestätigt ihn mit einem funktionierenden Nachweis. Ein Scan kann Teil eines Tests sein, niemals ein Ersatz.

Der beste Zeitpunkt für einen Test ist kurz bevor ein System in den Produktivbetrieb geht, sowie nach jeder wesentlichen Änderung: einer neuen Funktion, einer Cloud-Migration, einer Architekturänderung oder einer Integration mit einem externen Anbieter. Jede davon schafft neue Angriffsfläche, die ein früherer Test nicht abgedeckt hat.

Unabhängig von Änderungen empfehlen wir mindestens einen jährlichen Zyklus, in Umgebungen mit hohem Risiko einen häufigeren. Ein Test wird zudem oft direkt von einer Regulierung oder von einem Geschäftspartner im Rahmen der Due Diligence verlangt. Nach einem Vorfall bestätigt ein separater Test nach der Behebung, dass die Lücke tatsächlich geschlossen und nicht nur umgangen wurde.

Bevor wir beginnen, vereinbaren wir gemeinsam Umfang und Regeln des Tests, die Rules of Engagement: welche Systeme im Spiel sind, welche Techniken erlaubt sind, in welchen Zeitfenstern wir arbeiten und wer auf Ihrer Seite Ansprechpartner ist. So wissen Sie genau, was wann geschieht, und der Test stört den Produktivbetrieb nicht.

Den Umfang richten wir am realen Risiko aus, nicht an einer Preisliste. Eine öffentliche Webanwendung wird anders getestet als ein internes Active-Directory-Netzwerk und wiederum anders als eine OT-Umgebung, in der die Betriebskontinuität Vorrang hat. Die Wahl des Modells, von Black-Box bis White-Box, wirkt sich direkt auf die Abdeckungstiefe und die benötigte Zeit aus.

Wir liefern den Bericht in zwei Ebenen. Der technische Teil beschreibt jede Schwachstelle mit Nachweis, CVSS-Bewertung und Reproduktionsschritten, damit Ihr Team das Problem bestätigen und sofort mit der Behebung beginnen kann. Der Management-Teil erklärt das Risiko in der Sprache des Geschäfts, ohne Fachjargon, damit Prioritätsentscheidungen auf realer Auswirkung beruhen.

Das Wichtigste geschieht nach dem Versand des Berichts. Wir ordnen die Korrekturen nach tatsächlichem Risiko statt allein nach CVSS-Zahl, beantworten die Fragen Ihres Teams während der Behebung und führen nach der Umsetzung der Korrekturen einen Retest durch und bestätigen schriftlich, dass die Lücke geschlossen ist. Ohne diesen Schritt bleibt der Bericht nur ein Dokument.

Für zunehmend viele Unternehmen ist der Penetrationstest von einer guten Praxis zur Pflicht geworden. DORA verlangt regelmäßige Tests der digitalen Widerstandsfähigkeit von Finanzunternehmen, NIS2 legt wesentlichen und wichtigen Einrichtungen Pflichten zu Risikomanagement und Sicherheitstests auf, und das polnische NIS-Gesetz (KSC) erfasst Betreiber wesentlicher Dienste und öffentliche Stellen.

Wir erstellen unsere Berichte so, dass sie direkt einem Auditor vorgelegt und konkreten Anforderungen zugeordnet werden können, einschließlich der Maßnahmen aus Anhang A der ISO 27001. Ein Test liefert den Nachweis, dass die deklarierten Maßnahmen tatsächlich wirken, was das spätere Compliance-Audit verkürzt und vereinfacht.