Pentest für Ausschreibung gefordert: Was ist das genau und wann lohnt sich das?

Schaut in die Vergabeunterlagen, welcher Testtyp gefordert ist. Bei Black-Box gibt es vorab keinerlei Infos zum System, bei Grey-Box bekommt der Tester Benutzer-Accounts, um Berechtigungs- und Schnittstellenlücken gezielt abzuklopfen. Behörden verlangen meistens Grey-Box.

Wir haben letztes Jahr für ein ähnliches Projekt in Madrid 5.200 EUR für einen Test bezahlt. Die Prüfer haben zwei kritische Lücken bei der Rechtevergabe in unserem eigenen Code gefunden – externe Nutzer konnten einfach Dokumente anderer Mandanten einsehen. Wir haben den Zuschlag bekommen, aber noch wichtiger: uns ist ein massiver Datenskandal erspart geblieben.

Es gibt dubiose Anbieter, die für 1.500 EUR nur ein Open-Source-Scan-Tool durchlaufen lassen und den Bericht dann mit KI aufhübschen. Öffentliche Auftraggeber merken das bei der Prüfung sofort und sortieren euch aus. Das Geld könnt ihr euch sparen.

Definiert den Scope im Angebot extrem präzise! Lasst euch den Test nur für das ausschreibungsrelevante Modul und den entsprechenden Server anbieten. Wenn ihr das gesamte Firmennetzwerk prüfen lasst, explodieren die Kosten völlig unnötig.

Der Ablauf besteht typischerweise aus drei Phasen: 1) Scope-Festlegung und Vertrag 2) Angriffssimulation und Schwachstellenbericht 3) Nachtest nach Behebung eurerseits. Behörden wollen im finalen Bericht schwarz auf weiß sehen, dass die gefundenen Lücken auch wirklich geschlossen wurden.

Wenn man im öffentlichen Sektor Geschäfte machen will, ist das mittlerweile leider Standardprozedere. Ich würde das nicht als einmalige Ausgabe sehen, sondern eher als Kosten für die Qualitätssicherung des Produkts.

Arbeiten die bei diesem Test in einer Testumgebung oder greifen die den Live-Server an? Gibt es während des Tests das Risiko dass das System abstürzt oder Kundendaten beschädigt werden?

Ich verstehe vollkommen, dass das Budget am Anfang hoch wirkt. übrigens aber wenn man Software an den Staat verkauft stärken solche neutralen Sicherheitszertifikate bei Verhandlungen ungemein den Rücken, fast noch mehr als Kundenreferenzen – trauen Sie sich ruhig.

Bei Pentest ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Dieses Thema ist archiviert.

Wie habt ihr das Problem gelöst? Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Gut gemacht. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Nur als Notiz, könnte nützlich sein.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Viel Erfolg.

Richtig.

Ich bin in derselben Situation, deshalb frage ich. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

ich bin derselben Meinung... jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteein später unterschiedlich erinnern.

wenn Genehmigung und Umfang nicht schirftlich vorliegen, darf der Test nicht starten aber ehrlich gesagt nur als Notiz könnte nützlich sein.

Bei mir war es genau umgekehrt deshalb schreibe ich das. halt wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. ehrlich gesagt aus Erfahrung weiß ich das.

Ein Thema, das gerade aktuell ist.