Die Agentur meinte, wir brauchen einen „Penetrationstest“ – macht das bei unserer Größe überhaupt Sinn und wozu dient das?

Dass die Agentur ihren eigenen Code per Pentest prüft, ergibt doch gar keinen Sinn. Niemand wird die eigenen Fehler auf dem Silbertablett servieren. Wenn ihr das macht, holt euch ein Angebot von einem unabhängigen Dienstleister, der rein auf IT-Sicherheit spezialisiert ist.

Beim Pentest achtet man vor allem auf 'Broken Object Level Authorization', sprich unbefugten Datenzugriff. Ein Beispiel: Wenn Händler A eingeloggt ist und in der URL die Rechnungsnummer von 101 auf 102 ändert, sieht er dann die Rechnung von Händler B? Eine Firewall checkt das überhaupt nicht, genau sowas findet nur ein Pentest.

Wir haben letztes Jahr für ein Portal mit 20 Händlern 35.000 TL bezahlt und einen unabhängigen Tester drangesetzt. Resultat: Zwei Händler konnten gegenseitig ihre Rabattstaffeln sehen. Wäre das im Markt die Runde gemacht, wäre unser Ruf komplett dahin gewesen. Das Geld war absolut gut investiert.

die agentur lässt safe nur ein automatisiertes tool durchlaufen und exportiert dann ein pdf. halt lasst euch vorher ein scope-dokument geben und schaut genau, wie viele stunden manuelles testing drin sind.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Laufen über das Portal Kartenzahlungen? Falls Kreditkartendaten gespeichert oder direkt über euren Server statt über einen externen Zahlungsanbieter verarbeitet werden, ist der Test keine Option, sondern absolute Pflicht.

Fragt die Agentur vorab: 'Wird das ein Grey-Box- oder Black-Box-Test, und ist ein Retest zur Bestätigung behobener Lücken im Preis inbegriffen?' Wenn kein Nachtest dabei ist, ist der Bericht am Ende wertlos.

Vor zwei Jahren wurde das Portal eines befreundeten Textilhändlers gehackt – Kunden- und Preislisten gingen direkt an die Konkurrenz. Weder Backup noch SSL haben geholfen. Seitdem gehört so ein Sicherheitscheck bei jedem größeren Release fix dazu.

Ich möchte etwas fragen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

gespeichert. menschen verteidigen nicht den Prozess sondern die Gewohnheit aber der Widerstand kommt daher.

Kurzfassung für Neueinsteiger: Ein nicht getestetes Backup ist kein Backup.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll. Viel Erfolg.

Ich stimme zu, möchte das sogar besonders betonen. Wer bei Penetrationstest hetzt stolpert alle an derselben Stelle.

Das war's entschuldige, wenn ich zu lang war.

Funktioniert das deiner Meinung nach in jeder Größe? Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Wenn es jemand anders macht, würde mich das auch interessieren.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Das wusste ich nicht.

Das hört man oft, aber bei uns war es nie so. Ein nicht getestetes Backup ist kein Backup.

An deiner Stelle würde ich so vorgehen.

Gut, dass du diesen Thread eröffnet hast.

Gut gemacht. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

An deiner Stelle würde ich so vorgehen.

Ich möchte etwas fragen. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. Ich hoffe, das hilft dir weiter.