Von uns wird ein Pentest für unsere Website verlangt – was bedeutet das und ist das wirklich nötig?

Pentests werden meist nach drei Methoden durchgeführt: Black Box (keinerlei Vorabinfos über das System), White Box (vollständiger Zugriff auf Quellcode und Server) und Gray Box (mit normalen Benutzerrechten). Für einen Onlineshop ist Gray Box am effizientesten, da es sowohl einen externen Angreifer als auch einen Kunden mit erweiterten Rechten simuliert.

Wir haben vor zwei Monaten für unseren Shop in ähnlicher Größenordnung einen 3-Tage-Test machen lassen und 38.000 TL bezahlt. Wir haben auch keine Kartendaten gespeichert, aber über die API gab es eine Authentifizierungslücke. Ein Nutzer konnte die kompletten Bestellverläufe und Wohnadressen aller anderen Kunden einsehen. Allein um das zu fixen, hat sich jeder Cent gelohnt.

Fragt bei der Firma mit dem Angebot über 45.000 TL unbedingt nach dem genauen Scope. Es gibt genug Buden auf dem Markt, die nur ein automatisches Tool zwei Stunden durchlaufen lassen und das Ergebnis als Bericht verkaufen. Machen die manuelle Tests? Wie viele Personentage sind angesetzt? Haben die Tester gültige Zertifikate? Lasst euch das schriftlich geben.

Wenn der Geschäftspartner den Bericht zur Bedingung macht, kommt ihr nicht drumherum. Um den Preis zu drücken, schränkt den Scope ein: 1) Nur die Webanwendung testen lassen, internes Firmennetzwerk rauslassen, 2) Testdauer auf maximal 2 Arbeitstage begrenzen 3) Schriftlich im Vertrag festhalten, dass nach dem Schließen der Lücken ein kostenloser Re-Test dabei ist.

Als wir letztes Jahr noch einen kleinen Schmuckshop hatten, dachten wir auch: „Wer will uns schon hacken?“. Eines Tages sind sie über das Kundenportal in die Datenbank rein, haben alle Lieferadressen gelöscht und Lösegeld erpresst. Zwei Wochen lang ging gar nichts mehr. Das Backup einzuspielen und die Datenverluste auszubügeln hat uns am Ende ein Vielfaches der Testkosten gekostet.

ein fertiges virtuelles pos schert halt nur die kartenzahlung ab. wenn tausende adressen und kontaktdaten aus der datenbank geklaut werden sind die bußgelder nach kvkk locker deutlich höher als 45 tausend lira.

Verlangt der Partner einen standardmäßigen unabhängigen Auditbericht oder besteht er auf einen Penetrationstest mit TSE-Zertifizierung nach Level A oder B? Falls da spezielle Akkreditierungen gefordert sind, zahlt bloß kein Geld an irgendwelche Hinterhof-Dienstleister, sonst wird der Bericht am Ende gar nicht anerkannt.

Lasst euch vom Ablauf keine Angst machen, nur weil es das erste Mal ist. Eure Seite stürzt bei so einem Test nicht ab. Seriöse Sicherheitsfirmen testen meistens auf einer Staging-Umgebung oder nachts zu verkehrsarmen Zeiten mit kontrollierter Last.

Bei mir war es genau umgekehrt deshalb schreibe ich das. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Du hast recht.

ich erzähle mal was mir passiert ist vielleicht hilft es euch aber die Zeit, die ihr braucht um ein Problem zu erkennen bestimmt direkt dessen Kosten.

wenn deine Situation anders ist, ändert sich das natürlich.

Mich interessiert das auch. Scheut euch nicht zu fragen wer nicht fragt, zahlt am Ende mehr.

Ein automatisierter Scan-Report ist kein Penetrationstest. Aus Erfahrung weiß ich das.

Danke, genau die Antwort, die ich gesucht habe.

Bei uns ist es genauso.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

An deiner Stelle würde ich so vorgehen.

ich würde sgaen lass uns nichts überstürzen. zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Aus Erfahrung weiß ich das.

Das wusste ich nicht.