Wie legt man den Umfang einer schriftlichen Genehmigung für Penetrationstests fest und was muss im Dokument stehen?

Nehmt unbedingt eine Klausel zur Offenlegung der Quell-IPs auf. Das Pen-Test-Team muss genau angeben, über welche festen externen IPs die Scans laufen. So könnt ihr den Test in eurer WAF sauber von echten Cyberangriffen unterscheiden und die Aktivitäten in den Logs für eventuelle forensische Analysen problemlos filtern.

Die Vertragsstrafen und Geheimhaltungsklauseln sollten sich an den IT-Straftatbeständen des türkischen Strafgesetzbuchs und dem KVKK orientieren. Es muss rechtlich bindend geregelt sein, wie verfahren wird, falls während des Tests versehentlich Kundendaten oder sensible Finanzdatensätze eingesehen werden – inklusive Meldepflicht in Echtzeit und sicherem Löschprotokoll.

Lasst auf keinen Fall direkt die Produktivdatenbank testen. Baut euch lieber eine Staging-Umgebung auf, die ein 1:1-Abbild der Prod ist, anonymisiert die echten Kundendaten und lasst dort testen. Den Banken geht es um Sicherheitslücken in der Architektur und im Code; dafür muss man nicht die Live-Kundentabelle aufs Spiel setzen.

Selbst mit Scope-Vereinbarung werfen viele Dienstleister einfach nur Standard-Vulnerability-Scanner an und lehnen sich zurück. Wenn ihr im Vertrag kein striktes Rate-Limit für automatisierte Scanner festlegt (z. B. max. X Requests pro Sekunde) geht euer API-Gateway in die Knie und die Kunden sehen nur noch Timeouts.

Wir hatten letztes Jahr für so einen Test ein Fenster von 02:00 bis 05:00 Uhr freigegeben. Der Tester hat dann versehentlich statt der Staging- die Prod-Queue vollgeballert, Message-Broker war 40 Minuten down. Zum Glück hatten wir eine Not-Aus-Klausel drin und konnten den Test innerhalb von 3 Minuten stoppen. Ohne die Klausel wäre der Morgenbetrieb komplett lahmgelegt gewesen.

Edit: Ich habe ein paar Tippfehler korrigiert.

Wird es ein Blackbox- oder Whitebox-Test? Falls ihr dem Team Quellcode oder API-Dokus aushändigt, werden Klauseln zum Schutz des geistigen Eigentums und zur unwiderruflichen Löschung der Daten nach Testende umso kritischer.

Ohne schriftliche Genehmigung keinen einzigen Ping auf irgendeinen Port zulassen; unbefugter Datenzugriff landet sonst ganz schnell direkt bei der Staatsanwaltschaft, und zwar für beide Seiten.

Du hast recht, ich bin denselben Weg gegangen. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Korrigiert mich, falls ich falsch liege.

Ich probiere es aus. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

da hast du recht aber wenn die Zwei-Faktor-Authentifizierung aktiv ist reicht ein gestohlenes Passwwort allein nicht aus.

dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. wenn ihr das Ergebnis hier postet hilft es auch anderen.

Es gab drei verschiedene Ansichten die sich alle ergänzen... übrigens entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Gut, dass du diesen Thread eröffnet hast.

Ich stimme zu.

Ich fasse kurz zusammen, was bisher gesagt wurde. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Wenn es jemand anders macht, würde mich das auch interessieren.

Notiert, danke. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Danke fürs Schreiben, das ist genau richtig. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

das wusste ich nicht... also entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich würde sagen, lass uns nichts überstürzen. Wer bei penetrationstest schriftliche genehmigung hetzt stolpert alle an derselben Stelle.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.