Die fordern einen „Pentest / Penetrationstest“ – was bedeutet das und braucht man das als kleiner Betrieb wirklich?

Wenn ein Jahresvertrag über 1.800.000 TL im Raum steht, sollten Sie 35.000 TL für einen Pentest keinesfalls als Ausgabe betrachten. Die Audit-Teams großer Kunden unterzeichnen Verträge ohne diesen Bericht schlichtweg nicht. Wenn Sie es nicht machen lassen, steigen die aus den Verhandlungen aus, und der Deal geht direkt an einen Konkurrenten, der diese Anforderung erfüllt.

Definieren Sie bei der Angebotseinholung den Scope ganz genau. Um den Preis zu drücken, nehmen Sie nur die Domain des Händler-Webportals und die API-Endpunkte in den Umfang auf; das Büronetzwerk oder die Mailserver der Firma lassen Sie außen vor. Der Test sollte unbedingt als „Gray Box“-Verfahren durchgeführt werden, indem der Sicherheitsfirma ein regulärer Händler-Account bereitgestellt wird.

Letztes Jahr mussten wir für die Zusammenarbeit mit einer Supermarktkette auch 40.000 TL auf den Tisch legen und das machen lassen. Beim Test kam heraus, dass ein Händler im Portal über einen einzigen geänderten Parameter die Bestellhistorie anderer Händler herunterladen konnte. Ein Glück, dass wir das gemacht haben – der Image- und Vertrauensschaden bei unseren Händlern im Falle eines Datenlecks hätte ein Vielfaches dieser Summe gekostet.

Worauf man bei der Auftragsvergabe achten sollte: 1) Lassen Sie im Vertrag festhalten, dass der eingesetzte Experte über gültige Cybersicherheitszertifikate (TSE oder internationale Äquivalente) verfügt. 2) Verlangen Sie, dass die Tests außerhalb der Geschäftszeiten oder auf einem Staging-Server laufen, damit die Datenbank nicht blockiert wird. 3) Klären Sie verbindlich ab, dass der Nachtest nach Schließung der Lücken im Preis inbegriffen ist.

Am Markt gibt es etliche Dienstleister, die einfach eine automatisierte Software drüberlaufen lassen und den 15-seitigen englischen Export als Bericht verkaufen. Wenn Sie 35.000 TL zahlen und bloß einen Standard-Scanbericht bekommen schmettert das IT-Sicherheitsteam des Kunden das sofort ab. Fragen Sie den Anbieter konkret, wie viele Stunden für manuelle logische Tests eingeplant sind.

schickt bloß nicht den ersten bericht an den kunden. also da sind garantiert fette rote kritische lücken drin aber euer entwickler muss die erst fixen dann prft die security-bude das nochmal nach und gibt grünes licht und erst diese saubere zusammenfassung kriegt der kunde.

Dass Großunternehmen bei der Lieferantenauswahl ein unabhängiges Sicherheitsaudit verlangen, ist durch KVKK und Standards des Informationssicherheitsmanagements zwingend vorgegeben. Die Kosten für den geforderten Test stellen eine absolut verhältnismäßige operative Absicherung dar – insbesondere mit Blick auf behördliche Bußgelder und Schadenersatzansprüche, die im Fall einer Datenschutzverletzung drohen.

Schicken Sie der Firma mit dem Angebot über 35.000 TL den Scope schriftlich zu und machen Sie den Vertrag inklusive Re-Test fest. Geben Sie Ihrem Kunden zeitgleich kurz offiziell Bescheid: „Der Penetrationstest wurde beauftragt, der Bericht geht Ihnen innerhalb von 10 Tagen zu.“ So bleibt der Zeitplan für den Vertragsabschluss beim Kunden voll im Rahmen.

Ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht. ehrlich gesagt sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Gut gemacht.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Fehler auf der was ist ein pentest penetrationstest-Seite sind meist rückgängig zu machen, aber teuer.

Ich würde sagen, lass uns nichts überstürzen. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Korrigiert mich, falls ich falsch liege.

Du hast recht, ich bin denselben Weg gegangen. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Das hier Beschriebene ist genau das, was wir erlebt haben. Fehler auf der was ist ein pentest penetrationstest-Seite sind meist rückgängig zu machen, aber teuer.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

ich bin derselben Meinung. wenn du das nicht von Anfang an scrhiftlich festhältst gibt es später Streit.

wenn deine Situation aners ist, ändert sich das natürlich.

Ich würde mich freuen, wenn du das Ergebnis postest. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

genau so und das ist zudem kaum bekannt. nur weil alle es tun heißt es nicht, dass es richtig ist.