Schwachstellenscan steht im Angebot, verstehe aber nur Bahnhof: Was ist das, reicht das oder muss ein Pentest her?

Stellt euch den Scan so vor: Ein Sicherheitsdienst läuft ums Gebäude und rüttelt von außen an allen Türen und Fenstern, um zu sehen, ob abgeschlossen ist. Der Pentest wäre dann, durch das offene Fenster reinzuklettern und zu versuchen, den Tresor auf dem Schreibtisch aufzubrechen. Der Scan im Angebot gleicht im Grunde nur eure Ports und Dienste mit einer bekannten Datenbank ab.

Wir haben für unsere Großhandelsseite in Rom letztes Jahr für 1.100 EUR Schwachstellenscans eingeführt. Im ersten Bericht kamen direkt 34 Lücken raus, 6 davon kritisch – lag alles an einem uralten Server-Plugin. Updates eingespielt, im nächsten Quartal waren die kritischen Lücken auf null. Hat sich für uns definitiv gelohnt.

Bevor ihr unterschreibt, fragt die Firma unbedingt: 'Kriegen wir danach einfach nur ein rohes PDF hingeklatscht, oder ist eine Stunde Beratung mit unserem IT-Verantwortlichen dabei, um die wichtigsten Punkte zu priorisieren?' Wenn die euch nur einen automatisierten Report rüberschieben und weg sind, spart euch das Geld.

Automatisierte Scans werfen jede Menge 'False Positives' ab, also Fehlalarme. Da wird selbst eine harmlose Header-Konfiguration gern mal als hohes Risiko eingestuft. Wenn bei euch im Team niemand sitzt, der den Report lesen und Wichtiges von Unwichtigem trennen kann, bringt euch das Papier herzlich wenig.

meinr meinung nach ist pentest grad rausgeschmissenes geld wenn ihr keine kreditkarten speichert aber regelmaessig scannen und server-updates nicht schleifen lassen reicht bei 90 prozent der kleinen firmen völlig aus.

Nach den Datenschutzvorschriften in Italien und der EU sind Sie verpflichtet, technische Maßnahmen zum Schutz von geschäftlichen Kundendaten zu ergreifen. Regelmäßige Schwachstellenscans und deren Archivierung dienen bei einer eventuellen Datenprüfung als valider Nachweis, dass Sie sich proaktiv um IT-Sicherheit bemüht haben.

Gehören die Zeichnungen im Portal euch oder sind das Kundenanfertigungen? Falls ihr geschützte Konstruktionsdaten von Kunden hostet, die als Geschäftsgeheimnis gelten, könnte es sein, dass Kunden laut Vertrag einen jährlichen Pentest fordern – habt ihr eure Verträge mal dahingehend gecheckt?

Macht euch keinen Stress nehmt ohne schlechtes Gewissen das Paket für 1.200 EUR, aber klärt direkt mit den Leuten ab wer die gefundenen Lücken behebt... naja lasst das System im ersten Jahr einmal grundreinigen, wenn der Laden brummt, könnt ihr nächstes Jahr immer noch über einen Pentest nachdenken.

Dieses Thema ist archiviert.

bei uns ist es genauso.

Letztes Jahr haben wir fast genau dasselbe erlebt. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Funktioniert das deiner Meinung nach in jeder Größe? Wer bei was ist ein schwachstellenscan hetzt, stolpert alle an derselben Stelle.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Richtig.

Es gab drei verschiedene Ansichten die sich alle ergänzen. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

An diesem Punkt widerspreche ich dir. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Viel Erfolg.

So klar geschriebene Texte sind selten.

entschuldigung aber das gilt nicht in jedem Fall. also fehler auf der was ist ein schwachstellenscan-Seite sind meist rückgängig zu machen aber teuer.

das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.