Uns wurde gesagt, wir müssen einen Penetrationstest machen lassen, was ist das und ist das wirklich nötig?

Ein Schwachstellen-Scan schaut sich euer System an und sagt, das Schloss an der Tür ist ein altes Modell. Der Penetrationstest dagegen öffnet dieses Schloss mit dem Dietrich, geht rein, versucht den Safe zu öffnen und legt eine gefälschte Datei, die er von innen mitgenommen hat, als Beweis in den Bericht. Euer Kunde will diesen belegten Bericht.

Was genau steht im Vertrag eures Kunden? Manchmal wollen sie einen Grey-Box-Penetrationstest, manchmal reicht auch nur ein externer Netzwerktest. Holt keine Angebote ein, ohne die Testart zu klären, sonst lasst ihr euch unnötig Leistungen außerhalb des Umfangs bepreisen.

Wir hatten letztes Jahr eine ähnliche Anfrage. In Turin haben wir einen unabhängigen Experten nur für die externe API und die Kunden-Login-Oberfläche einen Penetrationstest machen lassen. Für 3 Tage Arbeit haben sie 3.200 EUR in Rechnung gestellt und der Kunde hat den Bericht sofort akzeptiert.

Es gibt viele Berater auf dem Markt, die unter dem Namen Penetrationstest einen automatischen Scanner laufen lassen und dem Kunden einen 40-seitigen PDF-Ausdruck verkaufen. Fragt beim Angebot unbedingt nach einem Beispielbericht und welche manuelle Methodik sie verfolgen, zahlt nicht für einen leeren Bericht.

Unterschreibt nicht sofort ein Angebot. Setzt euch erst mit eurem Systemadmin zusammen und erstellt ein Umfangsdokument: Wie viele statische Seiten wie viele dynamische Formulare wie viele API-Endpunkte werden getestet? Gebt diese Liste drei verschiedenen Firmen, und ihr werdet sehen, wie der Preis fällt.

Es ist rechtlich entscheidend, mit der Partei, die den Test durchführt, eine umfassende Geheimhaltungsvereinbarung zu unterzeichnen und die Testzeiten schriftlich so im Protokoll festzuhalten, dass sie euren Arbeitsablauf nicht stören.

wir dachten beim ersten Mal auch, das ist unnötiige Ausgabe aber im Bericht kam raus, dass man unberechtigt auf das Buchhaltungs-Panel zugreifen konnte dann das belastet das Budget ja aber besser als einen Kunden zu verlieren oder Daten klauen zu lassen.

Meine Frage ist geklärt, vielen Dank.

Absolut. Wenn ich noch etwas hinzufügen darf: Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Notiert, danke.

Da hast du recht. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Ein automatisierter Scan-Report ist kein Penetrationstest. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Gut, dass du diesen Thread eröffnet hast.

Bleibe dran. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Ich hoffe, das hilft dir weiter.

Ein Thema, das gerade aktuell ist.

Gut gemacht.

Lasst uns die Begriffe trennen, sie werden oft verwechselt. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich hoffe, das hilft dir weiter.

dieser Ansatz hat seinen Preis der aber nicht thematisiert wird dann halt schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

wenn es jemand anders macht, würde mich das auch interessieren.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Viel Erfolg.