Cybersicherheit: Pentests und Trainings

Beide Ansätze dienen dazu, Schwachstellen in Ihrer IT zu identifizieren. SIe unterscheiden sich jedoch deutlich in Tiefe, Methodik und Aussagekraft. Ein Security Scan eignet sich gut als kontinuierliche Basismaßnahme zwischen den Pentests. Ein Pentest bietet hingegen eine tiefgreifende, realitätsnahe Sicherheitsbewertung, die auch komplexe Angriffswege aufdeckt. Wir bieten beide Leistungen an und beraten Sie gerne, welche Kombination für Ihr Unternehmen sinnvoll ist. Hier geht es zu unseren Security Scans:

Mehr erfahren

Ja. Für die meisten Regularien sind Pentests inzwischen kein optionales Extra mehr. NIS-2 ist das naheliegendste Beispiel: Die Richtlinie verlangt technische Maßnahmen im Risikomanagement, lässt aber offen, was genau dazuzählt. Ein regelmäßiger Pentest lässt sich dabei gut als Nachweis nutzen. Er findet Schwachstellen und dokumentiert gegenüber Prüfern, dass sich das Unternehmen proaktiv mit dem Thema Cybersicherheit befasst.

Die Dauer eines Pentests hängt von mehreren Faktoren ab – insbesondere vom Umfang und der Komplexität des Prüfgegenstandes sowie vom gewählten Testszenario (Black-Box, Grey-Box oder White-Box). Als grober Richtwert können Sie mit folgendem zeitlichen Aufwand je Test rechnen:

• Externer Netzwerk-Pentest ca. 3 bis 8 Tage
• Interner Netzwerk-Pentest ca. 5 bis 8 Tage
• Pentest für Webapplikationen / Web-APIs ca. 6 bis 10 Tage
• Smartphone-App-Pentest ca. 8 bis 10 Tage

Nach dem Pentest bekommen Sie einen Abschlussbericht. Eine Management Summary fasst die wichtigsten Befunde und das Gesamtrisiko zusammen – verständlich auch ohne Security-Hintergrund. Dazu kommt eine technische Dokumentation aller Schwachstellen mit Risikoeinstufung und Nachweis sowie Behebungsempfehlungen.

Auf Wunsch gehen wir die Ergebnisse in einem gemeinsamen Abschlussgespräch mit Ihnen durch.

Wollen Sie vorher sehen, wie so ein Bericht aussieht? Wir haben ein anonymisiertes Beispiel – nehmen Sie Kontakt mit uns auf!

Sobald die Schwachstellen behoben sind, können wir auf Wunsch einen Nachtest machen und prüfen, ob die empfohlenen Maßnahmen erfolgreich umgesetzt wurden.

Alle aus dem Internet erreichbaren Prüfgegenstände, z. B. extern erreichbare Systeme und Web-Anwendungen, werden von unserem Unternehmensstandort aus getestet. Für interne Tests wird meist eine VPN-Verbindung genutzt, da so Nebenkosten eingespart werden und eine längere Testdauer möglich ist. Sollte Ihrerseits kein VPN o. Ä. zur Verfügung stehen, besteht die Möglichkeit eines unserer Testgeräte zu installieren. Auch die Installation der benötigten Software Ihrerseits auf einem eigenen Gerät ist denkbar. Sofern diese Szenarien keine Option darstellen, findet der Pentest durch einen Tester vor Ort statt.

Die zu testende Instanz des Untersuchungsgegenstandes wird von Ihnen festgelegt. Sofern eine Test- oder Staging-Instanz existiert, empfiehlt es sich, den Pentest in einer dieser Umgebungen durchzuführen. Dabei sollte allerdings darauf geachtet werden, dass sich insbesondere die Sicherheitseinstellungen möglichst nah an der Produktivumgebung orientieren, da die Testergebnisse davon beeinflusst werden könnten.

Unabhängig von der gewählten Umgebung hat die Vermeidung von ungewollten Betriebsstörungen und des Ausfalls von Systemen bei jedem Pentest höchste Priorität. Denial-of-Service-Angriffe (kurz DoS-Angriffe) werden daher grundsätzlich nicht durchgeführt.

Der Aufwand für Sie als Auftraggeber ist relativ gering. Im Vorfeld muss lediglich das entsprechende Vorgehen kurz abgestimmt werden, ggf. ist noch eine Einführung in den Prüfgegenstand notwendig. Während des Tests sollte eine versierte Person für Rückfragen als Ansprechpartner innerhalb eines Arbeitstages erreichbar sein.

Wenn es um Cybersicherheit geht, dann sind sichere Systeme ein wichtiger Aspekt, der andere sind die Mitarbeitenden. Oft versuchen Cyberkriminelle über die Beschäftigten einen Weg ins Unternehmen zu finden. Neben dem Einschleusen von Ransomware zur Datenverschlüsselung, die bspw. über einen Link in einer E-Mail verbreitet wird, sind Phishing-Angriffe und Social Engineering gängige Mittel, um an Daten oder Passwörter zu gelangen. Auch auf diesem Wege geht es darum, entweder Geld oder Informationen zu erbeuten. Mit Trainings und eLearnings können Sie Ihre Mitarbeitenden über die Methoden bei Cyberangriffen informieren und sensibilisieren. Denn hier stellt sich nicht die Frage, ob Ihre Organisation ins Visier der Angreifer gerät, sondern wann und wie gut Sie dann vorbereitet sind.

Mehr erfahren