Pentest-Bericht liegt vor, aber wir verstehen nur Bahnhof – was steht da drin, worauf müssen wir achten?

Die Aussage Ihres Admins „das System läuft doch“ führt völlig in die Irre. Ob eine Webanwendung funktioniert oder ob sie sicher ist, sind zwei grundverschiedene Dinge. Bei einer SQL-Injection kann das Portal Bestellungen völlig reibungslos verarbeiten – gleichzeitig zieht ein Angreifer über einen manipulierten URL-Aufruf die komplette Kunden- und Kontotabelle ab. Schauen Sie sich unbedingt die Proof-of-Concept-Belege im Bericht an.

klassische reaktion vom admin leider hauptsache keine extra arbeit also wirds als übertrieben abgetan. geschätfsführung muss einfach alles mit 'kritisch' und 'hoch' in ne excel packen, deadline setzen und den verantwortlichen unterschreiben lassen dann alles andere ist reine zeitverschwendung.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Rufen Sie die Sicherheitsfirma an und fordern Sie – falls vertraglich abgedeckt – ein einstündiges Abschlussgespräch an. Setzen Sie Ihren IT-Admin mit rein und fragen Sie den Tester direkt: „Kann über diese Lücke unser B2B-Shop lahmgelegt oder Kundendaten gestohlen werden?“ Damit ist die Diskussion sofort beendet.

Manche Sicherheitsfirmen klatschen einfach die Rohdaten automatischer Scanner zusammen und verkaufen das als 40-seitigen Bericht. Dabei entstehen oft False Positives (Fehlalarme). Womöglich stützt sich die Skepsis Ihres ITlers darauf. Prüfen Sie ob hinter jedem Befund auch ein manuell nachgewiesener Exploit-Beweis hinterlegt ist.

Sinnvoller Ablauf zur Abarbeitung: 1) Für kritische Schwachstellen einen Notfall-Patchplan von maximal 7 Tagen festlegen. 2) Fixes niemals direkt live einspielen, sondern auf einer Staging-Umgebung testen, damit Bestellprozesse nicht blockiert werden. 3) Den vertraglich meist vereinbarten kostenlosen Retest nutzen, um das Schließen der Lücken schwarz auf weiß zu haben.

Aus jahrelanger Erfahrung mit Audits kann ich sagen: Der Bericht ist nur die Diagnose, die eigentliche Arbeit ist die Behandlung. Ein Einzelkämpfer in der IT ist oft schlicht überfordert, wenn er den laufenden Betrieb sichern und gleichzeitig komplexe Web-Lücken fixen soll. Ziehen Sie bei Bedarf die externe Agentur hinzu, die die Websoftware entwickelt hat, um Ihren Admin zu entlasten.

kostet so ein Nachtest egentlich wieder komplett extra? bei uns im Angebot stand dazu nichts Konkretes dann gehört sowas in der Praxis standardmäßig zum Paketpreis?

Da stimme ich zu. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Wie habt ihr das Problem gelöst? Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Nur als Notiz, könnte nützlich sein.

Die obige Antwort bringt es auf den Punkt. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht. Wenn deine Situation anders ist, ändert sich das natürlich.

Du hast recht.

Absolut. Wenn ich noch etwas hinzufügen darf: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn deine Situation anders ist ändert sich das natürlich.

Das habe ich auch erlebt.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Wer bei was ist ein pentest bericht hetzt, stolpert alle an derselben Stelle.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt. Das war's, entschuldige, wenn ich zu lang war.

Da hast du recht. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Ich hoffe das hilft dir weiter.

Wenn du so vorgehst, kläre das vorher. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

An deiner Stelle würde ich so vorgehen.