Uns wird ein KI-gestützter Pentest angeboten – taugt das als Ersatz für manuelle Tests oder ist das nur ein verpackter Scanner?

KI-Tools taugen im Moment eigentlich nur dazu, bekannte CVE-Datenbanken abzugleichen und die Reporttexte hübsch auszuspucken. Komplexe Angriffsketten – etwa mit zwei parallelen Sessions Rollenrechte auszuhebeln oder die logische Reihenfolge einer API zu brechen – bekommt kein autonomes Tool hin.

Die Branche klatscht grad auf jedes billige Scan-Skript ein KI-Label und geht auf Preiskampf. Lasst euch den Vertragsentwurf geben: da steht garantiert kleingedruckt drin, dass es nur ein Vulnerability Scan ist und keine Haftung für Vollständigkeit übernommen wird. Der Auditor vom Kunden riecht das sofort und schmettert euch den Wisch ab.

Letztes Jahr haben wir einem Firmenkunden einen ähnlichen autonomen Scan-Bericht vorgelegt. Der Bericht umfasste 40 Seiten, aber das Audit-Team hat ihn am zweiten Tag direkt abgelehnt. Als Begründung hieß es, dass die Geschäftslogik überhaupt nicht verifiziert wurde und massenhaft False Positives enthalten waren. Am Ende haben wir 5.200 EUR bezahlt und einen manuellen Test machen lassen.

Auf welchem Framework basiert das Audit, das Ihr Kunde von Ihnen verlangt, denn genau? ISO 27001, SOC 2 oder deren eigene interne Sicherheitsrichtlinien? Ohne die Akzeptanzkriterien der Prüfer zu kennen, riskiert man bei der Auswahl des Angebots nur, Geld zum Fenster rauszuwerfen.

Stellt dem Anbieter mit dem 1.200-EUR-Angebot eine einzige Frage: Wird für die gefundenen Schwachstellen manuell ein unschädlicher Proof of Concept (Exploit) erstellt? Wenn die Antwort ausweichend ausfällt oder einfach nur Tool-Output geliefert wird, sortiert das Angebot direkt aus.

wir wären dmals fast in dieselbe Falle getappt. im Sales-Pitch klang das so, als würde ein virtueller Hacker das Unternehmen auseinandernehmen, aber der Musterbericht war am Ende bloß das ganz normale wöchentliche Scan-Log in bunt. spart euch das Geld echt.

Schau beim Preisvergleich auf die Personentage. Das 4.500-EUR-Angebot kalkuliert die Arbeitszeit eines Experten ein. Die 1.200 EUR dürften dagegen bloß die Marge für ein Software-Abo sein, bei dem einfach ein Skript auf dem Server läuft und im Hintergrund eine fertige PDF-Vorlage ausspuckt.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Korrigiert mich, falls ich falsch liege.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Korrigiert mich, falls ich falsch liege.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Gespeichert.

Das habe ich auch erlebt.

Ein Thema, das gerade aktuell ist.

Bleibe dran. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Das war's, entschuldige, wenn ich zu lang war.

Beim Umsetzen gibt es drei Dinge zu beachten. Wer bei pentest mit künstlicher intelligenz hetzt stolpert alle an derselben Stelle.

Viel Erfolg.

Das hatte ich auch schon überlegt. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

das habe ich auch erlebt dann enntscheidend ist nicht die Zahl sondern worauf sie sich bezieht.

Ich bin in derselben Situation, deshalb frage ich. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Ich hoffe, das hilft dir weiter.