Penetration Testing

Ihr Partner für die Vorbereitung, Planung und Durchführung von Penetrationstests von Unternehmensnetzwerken, Anwendungen und Systemen. Kompetent an Ihrer Seite.

Sicherheitslücken finden, bevor andere es tun

Penetration Testing

Benötigen Sie Unterstützung bei der Analyse Ihrer IT-Systeme?


Wir stehen Ihnen mit unserem Fachwissen zur Seite, kontaktieren Sie uns gern.


KONTAKTIEREN SIE UNS

Sicherheitslücken finden, bevor andere es tun

In einer zunehmend von Hackerangriffen bedrohten Geschäftswelt müssen Unternehmen dringend Ihre IT-Systeme schützen, andernfalls sind Investitionen in Produktentwicklung, Patente und Geschäftsprozesse potenziell gefährdet. Um das Risiko erfolgreicher Angriffe zu mindern, ist es entscheidend, dass Hersteller und Betreiber regelmäßige Penetrationstests durchführen. Penetrationstests sind ein äußerst effektives Instrument, um potenzielle Sicherheitslücken aufzudecken, Behebungsmaßnahmen zu identifizieren und damit das Sicherheitsniveau zu erhöhen. Durch regelmäßige Penetrationstests können Unternehmen aktiv gegen Bedrohungen vorgehen und Ihre Daten sowie Geschäftsabläufe besser schützen.

Unser Angebot für Sie

Mit unserer Expertise sind wir in der Lage, Ihre Produkte oder Systeme umfassend zu testen. Wir beraten Sie gern und bieten Ihnen folgende Prüfleistungen an:

IoT & Embedded

Mit modernstem Labor-Equipment sind wir in der Lage, alle Bestandteile Ihrer eingebetteten Systeme und IoT-Geräte zu analysieren, vom einzelnen Sensor bis hin zum kompletten Ökosystem. Im Rahmen unserer Security-Tests analysieren wir für Sie z.B.:

  • Alle internen (z.B. JTAG, I²C, SPI) und externen Schnittstellen (z.B. USB, Ethernet), inkl. funkbasierter Schnittstellen (z.B. Wi-Fi, Bluetooth/BLE, ZigBee, LoRaWAN, Mobilfunk)
  • Interne (z.B. Onboard Flash-Speicher) und externe Speicher (z.B. SD-Card)
  • Firmware samt angebotener (Netzwerk-)Dienste sowie zugehörige Firmware-Update Prozesse
  • Hard- und Software aus dem Automobilbereich (Steuergeräte, Gesamtfahrzeuge und mobile Apps zur Fahrzeugsteuerung)

Webanwendungen und Webdienste

Im Bereich der Web-Komponenten bieten wir Ihnen Penetrationstests nach bekannten Richtlinien wie dem OWASP Web Security Testing Guide (WSTG) an. Gern testen wir für Sie:

  • Webanwendungen basierend auf verschiedensten Technologien
  • APIs (z.B. REST, SOAP)

Weiterhin prüfen wir Ihre Applikationen und APIs im Rahmen von Source Code Analysen auf Schwachstellen.

OT- & IT-Infrastrukturen sowie Komponenten

Mit Security Tests Ihrer OT- und IT-Umgebungen können Sie Ihre Infrastrukturkomponenten und internen Netzwerke prüfen. Wir bieten Ihnen Analysen von:

  • Perimeter-Systemen
  • Unternehmensnetzwerken
  • Cloud-Umgebungen
  • Infrastructure as Code Architekturen
  • Härtungsmaßnahmen von Servern, Datenbanken etc.
  • Verbindungen zwischen OT- und IT-Infrastrukturen
  • Produktionsanlagen und Steuerungen

Mobile Applikationen

Auch für mobile Anwendungen (Android, iOS) bieten wir Ihnen Penetrationstests nach bekannten und aktuellen Richtlinien wie dem OWASP Mobile Application Security Testing Guide (MASTG). Hierbei führen wir, abhängig von Ihrem Bedarf, die folgenden Analysen durch:

  • Statische und dynamische Analysen von mobilen Applikationen
  • Analyse aller Kommunikationskanäle (z.B. Kommunikation mit Backend Systemen)
  • Source Code Analyse

Unsere Methodik

Der Penetrationstestprozess der BDO Cyber Security GmbH basiert auf dem fünfstufigen Ansatz, welcher in der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichten “Studie Durchführungskonzept für Penetrationstest ”, definiert ist:

  Phase 1
  Vorbereitung

In der ersten Phase des Penetrationstests werden die Testziele sowie organisatorische, technische und rechtliche Aspekte mit dem Kunden abgestimmt, u.a.:

  • Komponenten, die im Prüfungsumfang enthalten sind, sowie damit verbundene Prüfschwerpunkte (Scope des Tests)
  • Komponenten und Testfälle, die nicht im Prüfungsumfang enthalten sind (Out of Scope)
  • Allgemeine Teststrategie, einschließlich:
    • Informationsbasis (z.B. Black-, Gray- oder White-Box-Ansatz)
    • Aggressivität (z.B. passiv scannend, vorsichtig, abwägend oder aggressiv)
    • Vorgehensweise (verdeckt oder offensichtlich)
    • Ausgangspunkt für den Test (Außenperspektive, Innenperspektive)
  • potenzielle (technische) Risiken bzw. besondere Bedingungen und Einschränkungen, die sich auf das Prüfverfahren und die Testergebnisse auswirken könnten
  • Liste von Ansprechpartnern, inkl. eines Notfallkontakts auf beiden Seiten für den Fall, dass eine dringende Kommunikation während des Tests erforderlich ist

Die Ergebnisse dieser Phase werden in einem Vertrag dokumentiert, der als Rechtsgrundlage für die Beauftragung des Penetrationstests dient.

  Phase 2
  Informationsbeschaffung

In Phase 2 werden die vom Kunden zur Verfügung gestellten Informationen und Unterlagen verwendet, um erste Informationen über das Prüfobjekt zu erhalten, z.B.:

  • Verwendete Technologien, Frameworks und Softwareversionen
  • Erreichbare Hosts und/oder (Sub-)Domains
  • Zugängliche (Hardware-)Schnittstellen

Parallel dazu wird geprüft, ob Zugriff auf alle Testkomponenten möglich ist. 

  Phase 3
  Bewertung der Informationen

Basierend auf den gesammelten Informationen der vorangegangenen Phasen kann die Liste der geplanten Testfälle – und damit der Zeitaufwand – für ausgewählte Komponenten entsprechend ihrer Relevanz angepasst werden. Dazu werden potenzielle Bedrohungen und Angriffsvektoren identifiziert, analysiert und priorisiert (z.B. abhängig vom Schadenspotenzial, den Erfolgsaussichten und möglichen Auswirkungen).

  Phase 4
  Aktive Eindringversuche

Im Anschluss werden aufgrund der Analysen der vorangegangenen Phasen aktive Eindringversuche durchgeführt. Dazu werden die ausgewählten Testfälle für jede im Prüfungsumfang enthalte Komponente ausgeführt. 

Führt ein Testfall zu einer (potenziellen) Schwachstelle, so wird deren Ausnutzbarkeit und Auswirkung geprüft:

  • Ausnutzbarkeit bezieht sich dabei auf Bedingungen, die den Erfolg eines Einbruchsversuchs beeinflussen, z.B. die Erreichbarkeit der anfälligen Komponente, erforderliche Berechtigungen und Know-how, Schutzmaßnahmen und Schutzmechanismen usw.
  • Auswirkungen beziehen sich dabei auf die Folgen, die ein erfolgreicher Angriff haben würde, z.B. auf die Vertraulichkeit, Integrität und Verfügbarkeit von Systemen, Benutzerkonten oder Daten.

Darüber hinaus werden für jede Schwachstelle Nachweise gesammelt, z.B. in Form von Screenshots oder Schritt-für-Schritt-Anleitungen, mit denen ein Angriff reproduziert oder ein bestimmtes Systemverhalten provoziert werden kann.

Gegebenenfalls können Aktivitäten aus den Phasen 2 und/oder 3 auf Grundlage der in dieser Phase gewonnenen Ergebnisse und Informationen wiederholt werden. Dabei können Testfälle hinzugefügt oder angepasst werden. Beispielsweise könnte das Vorhandensein bestimmter Schwachstellen auf die Anfälligkeit eines Systems gegenüber weiteren Arten von Angriffen hinweisen.

  Phase 5
  Abschlussanalyse und Clean-Up

Den Abschluss des Penetrationstests bildet die finale Analyse- und Clean-Up Phase. Dabei werden alle in den vorangegangenen Phasen erzielten Ergebnisse in einem detaillierten Bericht zusammengefasst:

  • Eine Zusammenfassung des Testansatzes und der Testergebnisse, einschließlich einer allgemeinen Bewertung des Gesamtsicherheitsniveaus des Testobjekts
  • Eine detaillierte Beschreibung jeder entdeckten Schwachstelle, einschließlich eines Proof-of-Concept und Screenshots
  • Eine Bewertung jeder Schwachstelle hinsichtlich ihres Schweregrads
  • Allgemeine Empfehlungen für Gegenmaßnahmen zur Behebung oder Mitigation der festgestellten Schwachstellen

Falls notwendig, werden in dieser Phase auch Spuren der Testaktivitäten entfernt.

Alle Tests werden überwiegend manuell durchgeführt. Auf diese Weise ist es möglich, Schwachstellen zu identifizieren, die sonst von automatisierter Software wie Schwachstellenscannern nicht erkannt werden würden. Wenn möglich, können einzelne Prüfschritte mit (teil-)automatisierten Werkzeugen unterstützt werden. Ergebnisse, die auf diese Weise erzeugt wurden, werden vom Testteam überprüft und analysiert. Automatisierte Tests werden im Zweifelsfall manuell wiederholt, wodurch False-Positives ausgeschlossen werden.

Test basierend auf etablierten Frameworks

Im Rahmen des Penetrationstests werden Testfälle auf der Grundlage von Testleitfäden ausgewählt und durchgeführt. Während das BSI-Modell für Penetrationstests Testfälle in Module für die Informationsbeschaffung (I-Module) und Eindringversuche (E-Module) untergliedert, nutzt die BDO Cyber Security GmbH ein eigenes Framework. Der primäre Grund dafür ist, dass die I- und E-Module nur auf bestimmte Technologien beschränkt sind und damit den Prüfprozess einschränken.

Das Framework der BDO Cyber Security GmbH basiert auf bekannten, aktuellen Standards. Insbesondere die folgenden Leitfäden werden, abhängig vom konkreten Testobjekt, genutzt:

  • Webanwendungen und Webdienste: Tests von web-basierten Lösungen werden auf Basis des OWASP Web Security Testing Guide (WSTG) durchgeführt.
  • Mobile Applikationen: Tests von mobilen Applikationen (Android- und iOS-Applikationen) werden basierend auf dem OWASP Mobile Application Security Testing Guide (MASTG) durchgeführt.
  • IT-Infrastrukturen und Infrastrukturkomponenten: Tests von IT-Infrastrukturen und einzelnen Infrastrukturkomponenten werden basierend auf einem eigens durch die BDO Cyber Security GmbH entwickelten und gepflegten Testfallkatalog durchgeführt.
  • Hardwaregeräte: Tests von Hardwaregeräten basieren auf dem OWASP IoT Security Testing Guide (ISTG) sowie auf einem von der BDO Cyber Security GmbH entwickelten und gepflegten Testfallkatalog.
  • Security Audits / Hardening Checks: Security Audits und Hardening Checks werden auf Basis der CIS Benchmarks durchgeführt.

Kontaktieren Sie uns!

FAQ Penetrationstest bei BDO Cyber Security GmbH

Ein Penetrationstest simuliert reale Angriffe auf IT-Systeme, Geräte, Anwendungen oder Netzwerke, um Sicherheitslücken frühzeitig zu identifizieren. Er zeigt auf, welche Schwachstellen realistisch ausgenutzt werden könnten und welche Auswirkungen dies auf Systeme, Daten und Geschäftsprozesse haben kann. Unternehmen erhalten dadurch eine realistische Einschätzung ihrer Sicherheitslage und können Risiken reduzieren, bevor diese von Angreifern ausgenutzt werden.

Der Nutzen lässt sich insbesondere durch folgende Punkte belegen:

  • Risiken frühzeitig erkennen: Schwachstellen werden identifiziert, bevor sie von Angreifern ausgenutzt werden.
  • Schäden vermeiden: Die Behebung kritischer Sicherheitslücken kann das Risiko von Ausfällen, Datenverlusten und Sicherheitsvorfällen reduzieren.
  • Maßnahmen priorisieren: Die Ergebnisse helfen dabei, Sicherheitsinvestitionen gezielt auf die wichtigsten Risiken auszurichten.
  • Anforderungen erfüllen: Penetrationstests unterstützen bei der Erfüllung von Sicherheits-, Compliance- und Kundenanforderungen.
  • Sicherheitsniveau nachweisen: Unternehmen können gegenüber Kunden, Partnern und internen Stakeholdern zeigen, dass Cybersicherheit aktiv gesteuert wird.

Ein Penetrationstest ist damit nicht nur eine technische Prüfung, sondern ein Werkzeug zur fundierten Risikobewertung und Entscheidungsunterstützung für das Management.

Ob und in welchem Umfang Penetrationstests erforderlich sind, hängt von den jeweils geltenden Vorgaben und dem individuellen Risikoprofil des Unternehmens ab. Eine allgemeine gesetzliche Pflicht zur Durchführung von Penetrationstests besteht nicht für jedes Unternehmen.

Verschiedene gesetzliche, regulatorische oder branchenspezifische Vorgaben können jedoch die regelmäßige Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen verlangen. Beispiele hierfür sind die NIS2-Richtlinie, der Cyber Resilience Act (CRA) oder weitere nationale und internationale Regelwerke.

Penetrationstests gelten als bewährte Methode, um Schwachstellen aufzudecken, Risiken zu bewerten und Compliance-Anforderungen zu unterstützen. Dadurch unterstützen sie die Umsetzung eines risikobasierten Sicherheitsmanagements, wie es bspw. von NIS2 gefordert wird.

Nein. Penetrationstests sind ein wichtiger Bestandteil einer umfassenden Sicherheitsstrategie, ersetzen jedoch keine organisatorischen und technischen Sicherheitsmaßnahmen.

Dazu gehören beispielsweise:

  • Aufrechterhaltung der Mitarbeiter-Awareness
  • Vulnerability Management
  • Patch Management
  • Monitoring
  • Incident Response
  • Sicherheitsrichtlinien und -prozesse

Ja. Cyberangriffe betreffen längst nicht nur Großunternehmen. Auch kleine und mittelständische Unternehmen verarbeiten häufig sensible Daten oder betreiben geschäftskritische Systeme und geraten dadurch ebenso ins Visier von Angreifern.

Hinzu kommt: Viele Angriffe, wie bspw. Ransomware- und Phishing-Attacken, erfolgen nicht nur gezielt gegen bestimmte Unternehmen, sondern oft auch automatisiert und breit gestreut. Angreifer suchen hierfür nach verwundbaren Stellen, unabhängig von der Unternehmensgröße oder Branche. Das bedeutet, dass auch kleinere Betriebe rein zufällig Opfer einer solchen Attacke werden können, wenn beispielsweise eine bekannte Sicherheitslücke ungepatcht bleibt.

Ein Penetrationstest hilft dabei, Risiken frühzeitig zu erkennen und Sicherheitsmaßnahmen gezielt zu verbessern.

Ein Penetrationstest umfasst typischerweise folgende Phasen:

  1. Vorbereitung: Auftraggeber und Dienstleister besprechen gemeinsam Testziele, Testvorgehen und -tiefe, besonderen Einschränkungen und organisatorische sowie technische Rahmenbedingungen (insb. Ansprechpartner und Kommunikationswege).
  2. Informationsbeschaffung: Je nach Testart können unterschiedliche Informationen erforderlich sein. Der konkrete Informationsbedarf hängt im Wesentlichen vom Umfang und der Art des Penetrationstests ab. Für einen Blackbox-Penetrationstest werden beispielsweise in der Regel keine Nutzerkonten oder internen Informationen bereitgestellt, während bei Greybox- oder Whitebox-Tests weitergehende Informationen erforderlich sein können. Die tatsächlich benötigten Informationen werden vor Beginn des Penetrationstests im Rahmen der Auftragsklärung und der Scope-Definition abgestimmt.
  3. Bewertung der Informationen: Das Testteam analysiert die Testziele und identifiziert potenzielle Angriffsvektoren. Anschließend werden die möglichen Testfälle basierend auf dem erwartbaren Schadenspotenzial sowie den Erfolgsaussichten priorisiert.
  4. Aktive Eindringversuche: Die Testfälle werden ausgeführt und es werden aktiv Manipulations- und Eindringversuche erprobt. Für ermittelte Schwachstellen werden Ausnutzbarkeit und Auswirkungen geprüft und Nachweise wie Screenshots, Befehle und Logs gesammelt.
  5. Abschlussanalyse und Clean-Up: Abschließend wird ein detaillierter Bericht erstellet. Neben einer Management Summary enthält dieser detaillierte Beschreibungen für jede identifizierte Schwachstelle, inkl. Vorgehensbeschreibung und Screenshots zur Demonstration, Schweregradbewertung und Handlungsempfehlungen. Die Ergebnisse werden im Debriefing mit dem Auftraggeber besprochen.

Nach der Durchführung des Penetrationstests und Umsetzung der resultierenden Maßnahmen durch den Auftraggeber kann auf Wunsch auch ein Nachtest (Retest) durchgeführt werden. In diesem Nachtest wird überprüft, ob die zuvor identifizierten Schwachstellen erfolgreich behoben wurden. Dadurch erhalten Unternehmen einen Nachweis über die Wirksamkeit der umgesetzten Sicherheitsmaßnahmen.

Das grundlegende Vorgehen bei einem Hardware-Penetrationstest entspricht dem eines klassischen Penetrationstests: Ausgehend von einer Analyse der Hardware (z.B. eines IoT- oder eingebetteten Geräts) werden potenzielle Schwachstellen identifiziert, gezielt auf ihre Ausnutzbarkeit hin überprüft und die Ergebnisse anschließend bewertet und dokumentiert.

Der besondere Fokus liegt beim Hardware-Penetrationstest jedoch auf den folgenden Aspekten:

  • Gerätefirmware samt der zugehörigen Firmware-Update-Mechanismen
  • Bussysteme sowie Onboard- und Debug-Schnittstellen, wie z.B. SPI, UART oder JTAG
  • Externe Schnittstellen, etwa USB, Ethernet oder CAN
  • Funkschnittstellen, wie Wi-Fi, Bluetooth, Bluetooth Low Energy und ZigBee
  • Steuerungsmöglichkeiten und Benutzerschnittstellen, wie bspw. Touch-Screens
  • Kommunikationskanäle zum angebundenen Ökosystem des Geräts (z.B. Cloud-Backend, mobile App, weitere Geräte)
  • Speicherbausteine, die möglicherweise sensible Daten enthalten
  • Secure-Boot-Mechanismen, die die Integrität des Systems beim Start sicherstellen sollen
  • Kryptographische Implementierungen, um Vertraulichkeit und Integrität von Daten zu sichern

Der Hardware-Penetrationstest geht somit über einen rein softwarebasierten Penetrationstest hinaus und bezieht auch Manipulationsmöglichkeiten über physische Schnittstellen oder Schwächen in der Hardware-nahen Sicherheitsarchitektur mit ein.

Bei einem Blackbox-Test verfügen die Tester über keine internen Informationen.

Bei einem Greybox-Test stehen ausgewählte Informationen oder Benutzerkonten zur Verfügung. Durch zusätzliche Informationen können Tester tiefergehende Analysen durchführen und Schwachstellen identifizieren, die in einem reinen Blackbox-Szenario möglicherweise verborgen bleiben.

Bei einem Whitebox-Test erhalten die Tester umfangreiche Informationen wie Quellcode, Architektur- oder Netzwerkdokumentationen. Whitebox-Tests eignen sich besonders für sicherheitskritische Anwendungen.

Ein Penetrationstest kann beispielsweise die folgenden Schwachstellen identifizieren:

  • Fehlerhafte Konfigurationen
  • Unsichere Authentifizierungsverfahren und Verwendung von Standardpasswörtern
  • Sicherheitslücken durch Programmierfehler in Anwendungen (z.B. Web, Mobile, Desktop), APIs und Geräten
  • Veraltete Software, sowie unsichere Updateprozesse für Soft- und Firmware
  • Unsichere Netzwerkdienste und Kommunikationsprotokolle
  • Kryptographische Schwächen
  • Offen zugängliche Managementoberflächen und Geräte-Schnittstellen (z.B. für Debugging)

Es ist jedoch wichtig zu beachten, dass ein Penetrationstest Sicherheitslücken aufdeckt, aber nicht deren vollständige Abwesenheit garantieren kann. Da Zeit und Ressourcen begrenzt sind, können nicht alle Funktionen, Eingaben und Szenarien geprüft werden. Zudem bildet ein Penetrationstest immer nur den Sicherheitszustand zum Zeitpunkt der Durchführung ab. Deshalb sind regelmäßige Tests und eine kontinuierliche Sicherheitsstrategie wichtig.

Die Bewertung berücksichtigt technische Risiken und potenzielle Auswirkungen auf das Unternehmen. Dazu werden Faktoren wie Ausnutzbarkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Geschäftsauswirkungen betrachtet.

Ein standardisiertes Bewertungssystem zur Einstufung der Schwere von Sicherheitslücken ist das Common Vulnerability Scoring System (CVSS) bzw. der CVSS-Score. Das CVSS ermöglicht es, Schwachstellen anhand objektiver Kriterien zu bewerten und deren Schweregrad besser einzuordnen.

Der CVSS-Score wird auf einer Skala von 0,0 bis 10,0 angegeben: 0,0 (keine Auswirkungen), 0,1 bis 3,9 (niedriger Schweregrad), 4,0 bis 6,9 (mittlerer Schweregrad), 7,0 bis 8,9 (hoher Schweregrad), 9,0 bis 10,0 (kritischer Schweregrad).

Die Bewertung berücksichtigt verschiedene Faktoren, darunter:

  • wie leicht die Schwachstelle ausgenutzt werden kann
  • ob und wenn ja, mit welchen Privilegien ein Angreifer authentifiziert sein muss
  • ob eine Benutzerinteraktion notwendig ist
  • welche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit entstehen

Hohe und kritische Schwachstellen mit starken Auswirkungen und einfacher Ausnutzbarkeit sollten mir besonderer Priorität behoben werden. Gern helfen wir dabei, Schwachstellen im jeweiligen Unternehmenskontext einzuordnen und geeignete Maßnahmen zu definieren und priorisieren.

Der CVSS-Score bietet eine einheitliche Grundlage zur Priorisierung von Schwachstellen und wird von vielen Herstellern, Sicherheitsdienstleistern und Datenbanken verwendet, beispielsweise von der National Vulnerability Database (NVD).

Es ist jedoch wichtig zu beachten, dass der CVSS-Score lediglich die technische Schwere einer Schwachstelle beschreibt. Das tatsächliche Risiko für ein Unternehmen hängt zusätzlich von Faktoren wie beispielsweise der Systemkritikalität und den konkreten Geschäftsprozessen ab.

Viele Unternehmen führen jährlich oder halbjährlich Tests durch. Empfehlenswert sind Penetrationstests:

  • vor dem Go-Live
  • nach größeren funktionalen Änderungen oder Architekturänderungen
  • nach sicherheitsrelevanten Vorfällen
  • regelmäßig im Rahmen des Sicherheitsprogramms

Die Dauer eines Penetrationstests hängt von Umfang und Komplexität des Projekts ab. Kleinere Assessments können innerhalb weniger Tage durchgeführt werden, während umfangreiche Infrastruktur-, Cloud- oder Red-Teaming-Projekte durchaus komplexer sein können. Der Aufwand richtet sich unter anderem nach:

  • Anzahl der Systeme
  • Komplexität
  • Testtiefe
  • Verfügbaren Informationen
  • Testmethodik
  • Compliance-Anforderungen

Automatisierte Sicherheitsscans sind ein wichtiger Bestandteil der Sicherheitsüberprüfung, können einen Penetrationstest jedoch nicht vollständig ersetzen. Sie sind darauf ausgelegt, bekannte Schwachstellen, Fehlkonfigurationen und veraltete Softwareversionen zu identifizieren. Dabei arbeiten sie überwiegend regel- und signaturbasiert.

Ein Penetrationstest geht deutlich darüber hinaus. Er bewertet die tatsächliche Ausnutzbarkeit von Schwachstellen und berücksichtigt den konkreten Anwendungskontext sowie die Geschäftslogik. Viele sicherheitsrelevante Schwachstellen können von automatisierten Scannern nur eingeschränkt oder gar nicht erkannt werden.

Zu den Grenzen automatisierter Scans gehören insbesondere:

  • Fehlende Bewertung von Geschäftslogikfehlern und komplexen Angriffspfaden
  • Eingeschränkte Erkennung von Autorisierungs- und Berechtigungsproblemen
  • Keine realistische Einschätzung der tatsächlichen Auswirkungen einer Schwachstelle
  • Begrenzte Fähigkeit zur Identifikation von Schwachstellen, die mehrere Systeme oder Funktionen betreffen
  • Fehlalarme (False Positives), die manuell verifiziert werden müssen
  • Übersehen von Schwachstellen, die nicht durch bekannte Signaturen oder Regeln abgedeckt sind

Ein Penetrationstest kombiniert automatisierte Werkzeuge mit manuellen Prüfungen und der Expertise erfahrener Sicherheitsexperten. Dadurch können auch komplexe Schwachstellen, Fehlkonfigurationen und Angriffsszenarien identifiziert werden, die von reinen Sicherheitsscans häufig unentdeckt bleiben.

Automatisierte Sicherheitsscans und Penetrationstests sollten daher nicht als Alternativen, sondern als sich ergänzende Maßnahmen betrachtet werden. Während Sicherheitsscans eine effiziente und regelmäßige Überprüfung bekannter Schwachstellen ermöglichen, liefert ein Penetrationstest eine tiefgehende Analyse der tatsächlichen Sicherheitslage eines Systems.

Ein Bericht enthält typischerweise:

  • eine Management Summary mit einer Gesamtbewertung und einem Überblick über den aktuellen Sicherheitsstand
  • Informationen zum vereinbarten Testumfang und der verwendeten Methodik
  • detaillierte Beschreibungen der gefundenen Schwachstellen, einschließlich (falls möglich) eines Proof-of-Concepts und Screenshots
  • Bewertungen der identifizierten Schwachstellen hinsichtlich ihres Schweregrads
  • allgemeine Empfehlungen für Gegenmaßnahmen zur Behebung oder Mitigation der erkannten Schwachstellen

Der im Anschluss an den Penetrationstest erstellte Abschlussbericht enthält konkrete Handlungsempfehlungen zur Behebung der identifizierten Schwachstellen. Die Ergebnisse sollten analysiert, priorisiert und in konkrete Maßnahmen überführt werden. Ein anschließender Nachtest kann die erfolgreiche Behebung bestätigen.

Mögliche Maßnahmen sind:

  • Einspielen von Sicherheitsupdates
  • Konfigurationsanpassungen
  • Härtungsmaßnahmen
  • Verbesserte Zugriffskontrollen
  • Prozessoptimierungen

Professionell geplante Penetrationstests minimieren Auswirkungen auf den Geschäftsbetrieb. Durch vorherige Abstimmung von Umfang, kritischen Systemen und Anwendungen sowie Testzeiten und Eskalationswegen können mögliche Beeinträchtigungen jedoch reduziert bzw. frühzeitig erkannt und koordiniert werden.