Man will uns einen "Pentest-Service" andrehen – was soll das sein, brauchen wir das in unserer Größe wirklich?

Lasst euch von den Panikmache-Tricks der Vertriebler bloß nicht verrückt machen. Ein Pentest ist definitiv sinnvoll, aber Buden, die mit 'Wenn Sie nicht sofort kaufen, fliegen Sie auf die Schnauze' kommen, liefern meistens Schrott ab. Definiert erst mal selbst euren Bedarf, statt blind deren Pakete zu buchen.

Man muss den Unterschied zwischen automatisiertem Vulnerability-Scan und Penetrationstest verstehen. Ein Scanner findet bekannte Standard-Lücken, aber keine Logikfehler. Wenn man z. B. die Bestell-ID in der URL von 105 auf 106 ändert und die Rechnung eines anderen Händlers sieht, merkt das nur ein Mensch beim manuellen Testen.

Wir haben letztes Jahr für ein ähnlich aufgebautes Bestellportal 40.000 TL gezahlt. Beim Test kamen 2 kritische Rechte-Lücken raus, die unser Coder in zwei Tagen gefixt hatte. Wäre das jemand Böswilligem aufgefallen, hätten Konkurrenten gegenseitig ihre Sonderpreislisten abgezogen. Hat sich absolut gelohnt.

hatten auch mal so ne mail im postfach haben abgelehnt und unseren programmierer mit open-source-tools drüberschauen lassen. ehrlich gesagt reicht fürs erste aber wenn budget da ist machts ein profi natürlich gründlicher.

Schauen Sie sich unbedingt die Referenzen der Firma an, die 60.000 TL verlangt. Viele Agenturen lassen einfach zwei Stunden lang irgendwelche kostenlosen Tools aus dem Netz drüberlaufen und klatschen Ihnen dann einen 80-seitigen Standardbericht hin. Wenn der Bericht keine konkrete Analyse Ihres Quellcodes oder Ihrer Geschäftsabläufe enthält, ist das rausgeworfenes Geld.

Klären Sie bei der Angebotsprüfung folgende drei Punkte ab: 1) Wird als Grey-Box-Test getestet, sprich bekommen die Tester einen Benutzeraccount? 2) Besteht während des Tests das Risiko von Ausfallzeiten? 3) Gilt der Abschlussbericht im Rahmen des Türk Ticaret Kanunu oder der KVKK-Prozesse als vollwertiger, unabhängiger Audit-Nachweis?

Unterschreiben Sie bloß noch keinen Vertrag. Fordern Sie von mindestens zwei weiteren IT-Sicherheitsfirmen ein Scoping-Gespräch an. Geben Sie denen zwei Händler-Testaccounts und lassen Sie sich gezielt nur ein Angebot für das B2B-Portal machen, lassen Sie die Server-Infrastruktur da erstmal außen vor.

Darf ich mal was fragen: Ist unser Bestellsystem während dieses Tests eigentlich komplett down oder können die Händler im Hintergrund ganz normal weiterbestellen?

Das habe ich auch erlebt. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Das hört man oft, aber bei uns war es nie so. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Wenn ich dich richtig verstehe, meinst du Folgendes: Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Der am häufigsten übersehene Punkt bei Pentest-Service ist dieser: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Kannst du das etwas genauer erklären? Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. An deiner Stelle würde ich so vorgehen.

Danke fürs Schreiben das ist genau richtig. also änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Ich hoffe, das hilft dir weiter.

Ich möchte kurz warnen. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

An deiner Stelle würde ich so vorgehen.

Bleibe dran.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.