Leitfaden für Penetrationstests für Unternehmen: Umfang, Methoden und Abhilfe

Ein Penetrationstest (Pentest) simuliert reale Angriffe auf Ihre Systeme, um Schwachstellen zu finden, bevor es Angreifer tun. Im Gegensatz zum automatisierten Schwachstellen-Scanning sind beim Penetrationstest qualifizierte Sicherheitsexperten beteiligt, die wie Angreifer denken, Schwachstellen miteinander verketten und Ihre Abwehrmaßnahmen auf eine Weise testen, die automatisierte Tools nicht können.

Untersuchungen von Coalfire zeigen, dass 73 Prozent der Penetrationstests mindestens eine kritische Schwachstelle entdecken und 42 Prozent einen Weg zu einer vollständigen Systemkompromittierung finden. Dennoch führen viele Unternehmen Penetrationstests schlecht durch – sie fassen den Umfang zu eng, wählen den falschen Anbieter aus oder reagieren nicht auf die Ergebnisse. Dieser Leitfaden stellt sicher, dass Sie den größtmöglichen Nutzen aus Ihrer Investition in Penetrationstests ziehen.

---

Arten von Penetrationstests

Wissensniveaus

---

Umfang Ihres Penetrationstests

Schritt 1: Ziele definieren

Schritt 2: Umfang definieren

Enthalten:

• Alle mit dem Internet verbundenen IP-Adressen und Domänen
• Kritische interne Systeme (ERP, HR, Finanzen)
• Webanwendungen (Produktions-URLs)
• API-Endpunkte
• Cloud-Umgebungen und -Dienste
• Authentifizierungsmechanismen

Ausschließen (mit Begründung):

• Von Drittanbietern gehostete Dienste, die Ihnen nicht gehören
• Systeme in aktiver Entwicklung (stattdessen Test-Staging)
• Produktionssysteme während der Hauptgeschäftszeiten (Planung außerhalb der Geschäftszeiten)
• Zerstörende Tests (DoS, Datenvernichtung), sofern nicht ausdrücklich genehmigt

Schritt 3: Regeln für das Engagement festlegen

Dokumentieren Sie diese, bevor Sie mit dem Test beginnen:

---

Auswahl eines Anbieters für Penetrationstests

Bewertungskriterien

Rote Fahnen

– Der Anbieter bietet nur automatisiertes Scannen an (keine echten Penetrationstests)

• Keine benannten Tester mit anerkannten Zertifizierungen
• Extrem niedriger Preis (<3.000 $ für ein mehrtägiges Engagement)
• Keine Diskussion über die Regeln des Engagements – Die Berichtsvorlage enthält keine Anleitung zur Behebung
• Der Anbieter kann seine Methodik nicht erklären

---

Verstehen Sie Ihren Penetrationstestbericht

Bewertung des Schweregrads der Sicherheitslücke

Was ein guter Bericht enthält

• Zusammenfassung --- Geschäftsrisikosprache, kein Fachjargon
• Methodik --- Was wurde getestet und wie
• Befunde mit Schweregrad, Beweisen und geschäftlichen Auswirkungen
• Behebungsanleitung für jede Feststellung (spezifisch, umsetzbar)
• Positive Erkenntnisse --- Was Sie gut machen
• Strategische Empfehlungen zur Sicherheitsverbesserung
• Anhänge mit Rohdaten und detaillierten technischen Nachweisen

---

Sanierungsprozess

Schritt 1: Triage (Tag 1-2)

• Überprüfen Sie alle Ergebnisse mit dem IT- und Sicherheitsteam
• Validieren Sie die Ergebnisse (bestätigen Sie, dass sie echt und nicht falsch positiv sind)
• Weisen Sie jedem Fund Besitzer zu
• Priorisieren Sie basierend auf Schweregrad und Geschäftsrisiko

Schritt 2: Planen (Tag 3–7)

Schritt 3: Beheben (variiert)

• Beheben Sie kritische und schwerwiegende Befunde sofort
• Gruppieren Sie mittlere Ergebnisse im nächsten Wartungsfenster
• Planen Sie niedrige Ergebnisse für das nächste Quartal ein

Schritt 4: Überprüfen (nach der Behebung)

• Fordern Sie einen erneuten Test kritischer und hoher Ergebnisse an (die meisten Anbieter bieten begrenzte erneute Tests an).
• Dokumentieren Sie den Sanierungsnachweis
• Risikoregister aktualisieren

---

Zeitplan für Penetrationstests

---

Verwandte Ressourcen

• Vorlage für einen Incident Response Plan --- Was zu tun ist, wenn Schwachstellen ausgenutzt werden
• Zero Trust Implementation Guide --- Architektonische Verteidigungsmaßnahmen
• Best Practices für Cloud-Sicherheit --- Cloud-spezifische Sicherheit
• API-Sicherheit und Authentifizierung --- Sichern von APIs, die Pentests durchführen

---

Penetrationstests sind der Realitätscheck für Ihr Sicherheitsprogramm. Es zeigt die Lücke zwischen Ihrer Einschätzung Ihrer Sicherheitslage und dem, was ein Angreifer finden würde. Kontaktieren Sie ECOSIRE für die Sicherheitsbewertung und die Koordinierung von Penetrationstests.