Uns wurde gesagt, wir sollen einen Penetrationstest machen lassen — erklärt es mal in klarer Sprache, ist das wirklich nötig?

Stellt es euch so vor: Der automatische Scan ist ein Wachmann, der sich die Marke der Türschlösser des Gebäudes ansieht und prüft, ob es einen bekannten Defekt gibt. Der Penetrationstest dagegen ist ein professioneller Eindringling, der wie ein Dieb ins Gebäude zu gelangen versucht, an Fenstern rüttelt und die Feuertreppe ausprobiert. Firmenkunden wollen sehen, ob die Tür wirklich aufgeht.

Für einen ähnlichen B2B-Vertrag haben wir letztes Jahr 4.500 Dollar bezahlt und es machen lassen. Anfangs kam es mir total überflüssig vor, aber im Bericht tauchte eine sehr kritische Lücke auf, über die ein unautorisierter Zugriff auf die Kundendatenbank möglich war. Dank der Management-Zusammenfassung, die wir dem Kunden vorgelegt haben, haben wir den 60.000-Dollar-Vertrag problemlos abgeschlossen, das hat sich um ein Vielfaches ausgezahlt.

Geh sofort zu deinem Kunden und stell ihm diese Frage: 'Habt ihr eine bestimmte Norm oder einen bestimmten Umfang für den Bericht im Kopf?' Manchmal wollen Kunden nur einen externen IP-Scan, manchmal erwarten sie einen vollumfänglichen Anwendungstest. Wenn du den Umfang eingrenzen kannst, kann die angebotene Rechnung von 8.000 Dollar auf bis zu 3.000 Dollar runtergehen.

Auf dem Markt gibts jede Menge Läden, die für 1.000 Dollar ein automatisches Tool laufen lassen und einen 80-seitigen, undurchsichtigen Bericht als 'Pentest' verkaufen. Solche Fake-Berichte erkennen die Informationssicherheitsteams von Unternehmen auf den ersten Blick, und du verlierst ihr Vertrauen komplett. In der Leistung, die du beziehst, muss unbedingt eine manuelle Verifizierung enthalten sein.

Das ist die goldene Regel der Unternehmenswelt: Sie lieben es, ihre eigenen Risiken auf kleine Dienstleister abzuwälzen. Wenn du jetzt nicht 4.000 Dollar zahlst und den Bericht holst, vergeben sie den Vertrag an einen anderen Dienstleister, und dann prüfen sie dessen Sicherheit überhaupt nicht. Leider musst du dieses Spiel nach den Regeln spielen.

wir sind auch erst in Panik geraten als sie es das erste Mal verlangt haben. dabei hat die Versicherung des Kunden das einfach vorgeschrieben. wir haben den Umfang geklärt und uns mit einer kleinen Firma geeinigt die haben den Test in drei Tagen durchgezogen und den Kurzbericht geliefert und der Vertrag war unter Dach und Fach.

Keine Angst die machen nichts, was euer System zum Absturz bringt. Vor Testbeginn wird ein Vertraulichkeits- und Berechtigungsprotokoll unterschrieben, sie arbeiten in einer Testumgebung oder zu kontrollierten Zeiten. Wenn ihr euer Unternehmen vergrößern wollt werden solche Unternehmensphasen leider unvermeidlich.

Will euer Kunde den Test direkt in der Live-Umgebung oder werdet ihr einen Testserver aufsetzen? Und gibt es in eurer Datenbank sensible Kundendaten? Ohne den Umfang zu klären, ist es sehr schwer die Angebote der Firmen zu vergleichen.

Danke, genau die Antwort, die ich gesucht habe.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Wenn es jemand anders macht, würde mich das auch interessieren.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Gewohnheiten zu ändern ist schwieriger und teurer als ein System aufzubauen.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Wenn ich dich richtig verstehe, meinst du Folgendes: Lösungen die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen das habe ich spät gelernt.

meine Frge ist geklärt vielen Dank. geht keine Vereinbarung ein, die keinen Exit-Plan hat.

ich hoffe, das hlift dir weiter.

Bleibe dran.

Du hast recht ich bin denselben Weg gegangen. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Rechne das über die jährlichen Gesamtkosten, nicht über die monatliche Rechnung. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Vor zwei Jahren habe ich genau dasselbe erlebt. Erst messen, dann aufteilen. In dieser Reihenfolge endet die Diskussion.

Ich hoffe das hilft dir weiter.

Vielen Dank, ich werde es heute testen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Fehler auf der was ist ein penetrationstest-Seite sind meist rückgängig zu machen, aber teuer.

Das war's, entschuldige, wenn ich zu lang war.