Schwachstellenscan und Penetrationstest: Ist das dasselbe, und was reicht für uns aus?

Automatische Scanner produzieren extrem viele False Positives. Sie melden gerne mal Dinge als kritische Lücke, die im System eigentlich gar kein Risiko darstellen. Oder umgekehrt: Komplexe Szenarien, wie das Umgehen einer Zwei-Faktor-Authentifizierung, übersehen sie komplett. Die Preisdifferenz spiegelt reine Expertenarbeitszeit wider.

Wenn Sie den Scan für 12.000 TL buchen, bekommen Sie am Ende einen 80-seitigen, englischen Rohbericht aus Standardsoftware vorgesetzt. Um die Funde überhaupt zu verstehen und auszusortieren, müssen Sie dann doch wieder stundenlang einen Entwickler bezahlen.

Den Fehler haben wir vor zwei Jahren auch gemacht, weils billig war eben nur den Scan genommen. Im Bericht leuchteten 15 rote Alarme auf – Entwickler drübergeschaut, 12 davon waren bloß Hinweise auf geschlossene Ports. Riesenpanik für absolut nichts, Geld komplett verbrannt.

Man kann den Unterschied auf zwei Punkte herunterbrechen: 1) Schwachstellenscans laufen automatisiert in wenigen Stunden durch und listen Befunde auf. 2) Pentests dauern Tage, nutzen die Lücken real aus, versuchen in die Datenbank zu gelangen und liefern handfeste Beweise.

Wir haben letzten Monat einen Pentest auf unserer Seite machen lassen. Auf der Profilseite, wo der automatische Scan null Komma nichts gefunden hatte, gab es eine Berechtigungslücke, über die man Adressen und Bestelldetails fremder Nutzer einsehen konnte. Kein Scanner dieser Welt hätte das gemerkt.

Klar kann man für 12.000 TL ein grünes Häkchen kaufen. Dann schläft man zwar ruhig ein, aber wenn Kreditkartendaten abfließen, erklärt man seinen Kunden die Lage sicher nicht anhand dieses Scanberichts.

Kurz gesagt: Bei extrem knappem Budget ist ein Scan besser als gar nichts, aber die Sicherheit von eigenem Code löst er nicht. Im E-Commerce sind die 55.000 TL für einen Pentest keine bloße Ausgabe, sondern reine Versicherungskosten.

Genau so, und das ist zudem kaum bekannt. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Korrigiert mich, falls ich falsch liege.

Das hier Beschriebene ist genau das, was wir erlebt haben. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich stimme zu.

Wenn wir ins Detail gehen: Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

An deiner Stelle würde ich so vorgehen.

ich möchte etwas fragen.. aber ehrlich gesagt die Antwort hängt stark von der Branche ab es gibt keine allgemeine Regel.

an deiner Steelle würde ich so vorgehen.

Lasst uns die Begriffe trennen sie werden oft verwechselt. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn es jemand anders macht würde mich das auch interessieren.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Aus Erfahrung weiß ich das.

Meine Frage ist geklärt, vielen Dank. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Das allein zu versuchen, ist der teuerste Weg.

Ich habe keinerlei Erfahrung mit Schwachstellenscan Bedeutung, deshalb frage ich. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn es jemand anders macht, würde mich das auch interessieren.

So klar geschriebene Texte sind selten.