Wir sind ein KMU: Ist ein Penetrationstest gesetzlich vorgeschrieben oder freiwillig?

Wenn der Vertrag auf dem Tisch liegt, ist es völlig egal, was im Gesetz steht: Ohne den Report kriegt ihr den Deal nicht durch. Sagt den Sicherheitsfirmen beim Angebot einfach, sie sollen das Ganze strikt auf die externe IP und die Web-App begrenzen. Wenn man das interne Netz erst mal weglässt, lassen sich die 65.000 TL locker auf 35.000 bis 40.000 TL runterhandeln.

Wir haben letztes Jahr mit unserem 30-köpfigen Team einen ganz ähnlichen Prozess durchgemacht. Wegen der Kundenausschreibung mussten wir wohl oder übel 50.000 TL in die Hand nehmen und es machen lassen. Beim Test kam dann raus, dass unser Datenbank-Port unbefugt nach außen offen war und ein alter API-Endpunkt komplett ohne Authentifizierung lief. Anfangs dachten wir auch, das sei rausgeworfenes Geld, aber der Reputationsschaden durch diese Lücken hätte uns ein Vielfaches dieser Summe gekostet.

Es gibt mittlerweile hunderte Möchtegern-Dienstleister auf dem Markt, die für 15.000 TL einfach nur ein automatisches Scan-Tool durchlaufen lassen und einem dann einen 80-seitigen Bericht hinlatzen. Wenn das IT-Sicherheits-Team eures Firmenkunden auch nur ein bisschen Ahnung hat, landet der Bericht direkt im Müll und die Kohle ist futsch. Achtet unbedingt darauf, dass der Service auch manuelle Verifikation und szenariobasierte Pentests beinhaltet.

Das Thema lässt sich in vier Kernpunkten zusammenfassen: 1) Ohne branchenspezifische Regulierung besteht keine direkte gesetzliche Pflicht. 2) Da es unter KVKK als technische Maßnahme gilt, wird ein Versäumnis bei einem potenziellen Datenleck als grobe Fahrlässigkeit ausgelegt. 3) Firmenkunden mit ISO 27001 können dies vertraglich zur Bedingung machen. 4) Möchten Sie eine Cyber-Haftpflichtversicherung abschließen, wird dies als Police-Voraussetzung verlangt.

schickt dem kunden übrigens bloß nicht den kompletten bericht wenn er fertig ist aber lasst euch von der sicherheitsfirma eine executive summary geben. dem kunden die ganzen technischen details mit allen lücken und exploit-schritten offenzulgen schafft nur wieder ganz neue sicherheitsrisiken.

Bei Lieferantenaudits unterliegen Sie der Risikomatrix der Gegenseite. Um Ihre Rechte zu wahren, empfiehlt es sich, vorab eine Vertraulichkeitsvereinbarung zu unterzeichnen und ein Scope-Bestätigungsdokument einzufordern, welches festlegt, dass die Prüfungsergebnisse strikt auf den definierten Rahmen beschränkt bleiben.

Hat der Kunde für den Bericht einen TSE-Standard oder eine bestimmte Zertifizierung zur Bedingung gemacht? Falls ein unabhängiger Drittbericht reicht, könntet ihr den Scope auf das Webpanel beschränken und so die Kosten drücken – habt ihr das Lastenheft mal ganz genau gecheckt?

Am Anfang kommt das jedem wie eine völlig sinnlose Ausgabe vor, aber genau an dieser Hürde kommt kein B2B-Softwareanbieter vorbei der wachsen will. ehrlich gesagt wenn man es einmal durchgezogen und die Methodik verstanden hat läuft das in den Folgejahren viel schneller und stressfreier ab, lasst euch da keine Angst machen.

Das hier Beschriebene ist genau das, was wir erlebt haben. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn deine Situation anders ist, ändert sich das natürlich.

Es gibt auch noch die Mess-Seite. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Ein Thema, das gerade aktuell ist. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

gespeichert. zwei Wochen Notizen machen liefert beessere Ergebnisse als eine sechsmonatige Schätzung.

schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

Genau so ist es. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Fehler auf der kmu penetrationstest pflicht-Seite sind meist rückgängig zu machen, aber teuer.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Das war's, entschuldige, wenn ich zu lang war.

Beim Umsetzen gibt es drei Dinge zu beachten. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Mich interessiert das auch.

Wenn ich dich richtig verstehe, meinst du Folgendes: Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Korrigiert mich, falls ich falsch liege.