Wie führt man selbst einen Website-Sicherheitstest durch und was sollte man vor einem Pentest prüfen?

Absolut richtige Herangehensweise, den Test erst mal selbst zu machen. Wenn ihr einen Pentest startet, während auf dem Server noch bekannte, simple Lücken offen sind, steht im Bericht am Ende seitenweise nur, dass ihr keine Updates gemacht habt – rausgeworfenes Geld. Erst selbst die Türen abschließen, dann den Experten zum Schlossknacken holen.

Waren letztes Jahr in der gleichen Situation. Konnten uns die 4.000 EUR nicht leisten, haben dann erst mal 3 Tage reingesteckt, alle Softwarepakete aktualisiert und die HTTP-Header glattgezogen. Der danach beauftragte, eng gefasste Test hat dann nur noch 1.800 EUR gekostet, weil der Pentester auf ein sauberes, vorbereitetes System traf.

Macht heute Abend direkt folgendes: Legt zwei verschiedene B2B-Testuser im System an. Loggt euch mit dem einen ein, gebt eine Bestellung auf, kopiert die ID-Nummer aus dem Link der Bestellung und versucht, sie im Browser des anderen Nutzers aufzurufen. Wenn die Daten des anderen zu sehen sind, habt ihr eure größte Schwachstelle schon völlig kostenlos gefunden.

Verlasst euch nicht zu sehr auf vorgefertigte Open-Source-Sicherheitsscanner aus dem Netz. Die spucken meistens tausende False Positives aus euer Entwickler weiß gar nicht mehr, wo er anfangen soll und übersieht am Ende die wirklich kritischen Berechtigungslücken.

Das absolute Minimum an Checkliste zum Selbermachen: 1) Verhindern, dass Fehlermeldungen Versionen von Server-Software und Datenbank preisgeben. 2) Rate-Limiting auf die Login-Maske setzen gegen Brute-Force-Angriffe. 3) Sicherstellen, dass keine Datenbank-Backups im public-Verzeichnis vergessen wurden.

Euer Entwickler soll sich bloß keine Sorgen machen, es gibt super kostenlose Analysetools im Netz die Sicherheits-Header bewerten. URL eingeben, und man kriegt 'ne Note von A bis F. Allein daran zu feilen bis man ein A hat bringt das System schon ordentlich nach vorn.

vergessene test-accounts und schwache passwörter im admin-panel öffnen mehr als der hälfte aller externen angriffe tür und tor, kontrolliert vor jedem automatischen scan lieber erstmal alle passwörter und ob 2fa überall an ist.

Führen Sie eigene Testläufe unbedingt außerhalb der regulären Arbeitszeiten und auf einem Backup des Livesystems durch. Intensive automatisierte Anfragen können in der Produktionsumgebung zu Datenbank-Deadlocks oder Dienstunterbrechungen führen.

Ich möchte etwas fragen. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Notiert, danke. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Der am häufigsten übersehene Punkt bei Website-Sicherheitstest ist dieser: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich fasse kurz zusammen was bisher gesagt wurde. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn es jemand anders macht, würde mich das auch interessieren.

Notiert, danke.

Ich fasse das Thema mal zusammen da es mehrere unterschiedliche Antworten gab. also entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

das hier Beschriebene ist genau das, was wir erlebt haben aber wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Ich probiere es aus.

ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. jeder niicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

wenn es jemand anders macht würde mich das auch interessieren.

Ein Thema, das gerade aktuell ist.