Uns wurde gesagt: "Macht einen Web-Pentest" – was ist das genau und braucht unsere Website das wirklich?

wenn man mit großen Konzernen arbeitet, trifft man leider ständig auf solche bürokratischen Hürden.. dann das entscheidet nicht der Einkäufer der Ihre Möbel haben will sondern der IT-Leiter mit seiiner Checkliste. also wenn Sie den Auftrag wollen, kommen Sie um den Bericht kaum herum.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Wir standen letzten Monat mit unserer 8-seitigen Infoseite vor demselben Problem. Erstes Angebot lag bei 30.000 TL. Wir haben den Scope dann auf eine einzige Domain und statische Formulare begrenzt, unterm Strich 12.000 TL für zwei Tage Arbeit gezahlt, Bericht eingereicht und der Auftrag war durch.

Für eine rein statische Seite ohne Zahlungsabwicklung 25.000 TL für einen Pentest hinzublättern, ist pure Geldverschwendung. Schreibt dem Hoteleinkauf ein formelles Schreiben, dass es keine Benutzerregistrierung und keine Datenbank gibt, sondern nur ein Kontaktformular. Vielleicht erlassen sie es euch.

Der Ablauf sieht grob so aus: 1) Ihr übermittelt der Security-Firma eure URL und die Struktur der Seite. 2) Die Experten führen simulierte Angriffe durch. 3) Gefundene Lücken und Behebungsvorschläge kommen in einen Bericht. 4) Euer Hoster schließt die Lücken und der Abschlussbericht geht an den Kunden.

Fragt bei den anbietenden Firmen unbedingt nach, wie lange der Bericht dauert und ob der Retest nach Schließen der Lücken im Preis inklusive ist. Manche Firmen stellen für die Nachprüfung nämlich extra Gebühren in Rechnung.

wenn da eh nur ein kontaktformular ist nehmt es einfach runter und schreibt ne mailadresse hin, fragt mal beim kunden an ob ihr so um den pentest rumkommt.

Wenn der Gewinn aus dem Hotelauftrag die Testkosten locker abdeckt, lasst es einfach zügig machen. Konzerne machen bei ihren Sicherheitsrichtlinien ungern Ausnahmen. Wenn ihr da lange diskutiert, nehmen die einfach den nächsten Anbieter.

Dabei gibt es einen sehr häufigen Fehler. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Gut, dass du diesen Thread eröffnet hast.

Es gibt auch noch die Mess-Seite. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Aus Erfahrung weiß ich das.

Bei uns war es so... Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

An deiner Stelle würde ich so vorgehen.

Kannst du das etwas genauer erklären? In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten. Korrigiert mich, falls ich falsch liege.

Ich würde mich freuen, wenn du das Ergebnis postest.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Das war's, entschuldige, wenn ich zu lang war.

Ich würde sagen, lass uns nichts überstürzen. Die Zeit, die ihr braucht um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Bei uns war es so. Ein nicht getestetes Backup ist kein Backup.

Wenn es jemand anders macht, würde mich das auch interessieren.

Du hast recht, ich bin denselben Weg gegangen. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn es jemand anders macht, würde mich das auch interessieren.