Cybersicherheit: Pentests und Trainings
Cybersicherheit bedeutet für uns, sowohl die Systeme als auch die Mitarbeitenden so aufzustellen, dass Angriffe keine Chance haben. Denn beide – IT-Systeme und Menschen – sind regelmäßig das Ziel von Cyberattacken. Daher müssen Organisationen und Unternehmen nicht nur die Methoden der Cyberkriminellen kennen, sondern aktiv die Systeme auf Schwachstellen testen und alle Beschäftigten beim Thema Cybersicherheit immer wieder auf den neuesten Stand bringen und sensibilisieren.
Wir decken kritische Sicherheitsschwachstellen auf und unterstützen Sie dabei, das angestrebte Sicherheitsniveau zu erreichen. Dazu begeben wir uns in die Rolle der Cyberkriminellen bzw. Angreifer und versuchen im Rahmen eines Penetrationstests (kurz Pentests) in die Systeme einzudringen.
Des Weiteren bieten wir Ihnen passgenaue Möglichkeiten, um Ihre Mitarbeitenden für Cyberbedrohungen zu sensibilisieren und dafür zu sorgen, dass der Faktor Mensch in Ihrer Organisation ein wichtiger Baustein in der Abwehr von Cyberangriffen wird. Dazu nutzen wir eLearning-Kurse, Schulungen sowie spezielle Anti-Phishing-Trainings und Security-Awareness-Kampagnen.
Nehmen Sie Kontakt mit uns auf – wir beraten Sie gerne!
Pentests kurz erklärt
Während ein Angreifer versucht, Sicherheitslücken zu finden, um bspw. Ihre Systeme zu verschlüsseln, nutzt ein Pentest das gleiche Vorgehen, um Ihnen die möglichen Angriffsvektoren im Vorfeld aufzuzeigen. Um sicherheitsrelevante Schwachstellen aufzudecken, gibt es verschiedene Vorgehensweisen: Zum einen wird nach den verfügbaren Informationen für den Pentester zwischen Black-Box-, Grey-Box und White-Box-Pentests unterschieden. Zum anderen kann zwischen internen und externen Pentests unterschieden werden, also ob der Angriff von innen über das Netzwerk oder von außen über öffentlich erreichbare Informationen und Dienste erfolgt.
Mit Blick auf die Prüfgenauigkeit und -tiefe beginnen Penetrationstests normalerweise mit automatisierten Scans. Im nächsten Schritt folgen dann manuelle Tests und als letzte Maßnahme werden die gefundenen Schwachstellen ausgenutzt, sog. Exploits, um bspw. auf bestimmte Daten zugreifen oder Änderungen im System vornehmen zu können. In den meisten Fällen ist ein Pentest mit den manuellen Tests abgeschlossen.
Die Durchführung von Exploits birgt einerseits das Risiko, dass die IT-Systeme beeinträchtigt werden können und ist andererseits äußerst ressourcenintensiv. In der Regel ist der Aufwand, bestimmte Schwachstellen auszunutzen, im Vergleich zum potenziellen Sicherheitsgewinn unverhältnismäßig hoch. Die konkrete Ausnutzung von Schwachstellen erfolgt daher nur auf expliziten Wunsch und in enger Absprache mit Ihnen und den Systemverantwortlichen.
Scans
- Prüftiefe: oberflächlich
Automatisierte Scans identifizieren offensichtliche Sicherheitslücken und Systeminformationen wie offene Ports und bekannte Schwachstellen. - Prüfgenauigkeit: mittel bis niedrig
Scans bieten eine breite Übersicht, können aber False Positives und False Negatives produzieren, da sie die Kontextspezifität und die neuesten Bedrohungen möglicherweise nicht vollständig erfassen. - Kosten/Ressourcenaufwand: niedrig
Durch den hohen Grad der Automatisierung bleiben Aufwände sowie Kosten stets im niedrigen Bereich.
Manuelle Tests
- Prüftiefe: tief
Sicherheitsexperten analysieren das System detailliert, überprüfen Scanergebnisse und untersuchen spezifische Sicherheitsaspekte, die automatisierte Tools übersehen könnten. - Prüfgenauigkeit: hoch
Durch die Bewertung im Kontext und die Fähigkeit, komplexe Sicherheitsfragen zu verstehen, minimieren manuelle Tests die Wahrscheinlichkeit von Fehlalarmen und entdecken subtilere Schwachstellen. - Kosten/Ressourcenaufwand: moderat
Die Tests werden individuell auf den Untersuchungsgegenstand zugeschnitten. Der Testumfang sowie das Prüfvorgehen sind dabei auf Effektivität sowie auf Effizienz ausgelegt, um den größtmöglichen Sicherheitsgewinn mit einem gerechtfertigten und angemessenen Aufwand zu erreichen.
Exploits
- Prüftiefe: sehr tief
Diese Phase beinhaltet die aktive Ausnutzung gefundener Schwachstellen, um Zugriff auf das System zu erlangen oder andere kritische Aktionen durchzuführen. - Prüfgenauigkeit: sehr hoch
Die erfolgreiche Ausnutzung liefert unmittelbare Beweise für die Existenz und Auswirkung einer Schwachstelle, indem sie zeigt, wie sie in der Praxis ausgenutzt werden könnte. - Kosten/Ressourcenaufwand: sehr hoch
Post-Exploitation-Phasen erfordern oft einen erheblichen zusätzlichen Aufwand in Form von Zeit und Ressourcen. Je nach Komplexitätsgrad und Angriffsszenario kann dies die Kosten des Penetrationstests deutlich erhöhen.
Wichtig: Pentests sollten immer von qualifizierten Experten durchgeführt werden, die im Idealfall nicht selbst am Aufbau / an der Konzeption oder dem Betrieb des Systems beteiligt sind bzw. waren. So werden Interessenskonflikte oder auch die sog. Betriebsblindheit vermieden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt zudem den Einsatz von externen Prüfern, da sich die genannten Probleme so am besten vermeiden lassen.
Unsere Dienstleistungen
Wir führen für verschiedene Untersuchungsgegenstände Pentests durch. Hier finden Sie auführliche Informationen zu den einzelnen Tests und unseren Security Scans. Sprechen Sie uns bei Fragen gerne jederzeit an!
Mitarbeitende für Angriffsmethoden sensibilisieren
Wenn es um Cybersicherheit geht, dann sind sichere Systeme ein wichtiger Aspekt, der andere sind die Mitarbeitenden. Oft versuchen Cyberkriminelle über die Beschäftigten einen Weg ins Unternehmen zu finden. Neben dem Einschleusen von Ransomware zur Datenverschlüsselung, die bspw. über einen Link in einer E-Mail verbreitet wird, sind Phishing-Angriffe und Social Engineering gängige Mittel, um an Daten oder Passwörter zu gelangen. Auch auf diesem Wege geht es darum, entweder Geld oder Informationen zu erbeuten. Mit Trainings und eLearnings können Sie Ihre Mitarbeitenden über die Methoden bei Cyberangriffen informieren und sensibilisieren. Denn hier stellt sich nicht die Frage, ob Ihre Organisation ins Visier der Angreifer gerät, sondern wann und wie gut Sie dann vorbereitet sind.
Unsere Qualifikation als Pentester:
- Vorgehen nach anerkannten Standards (BSI IS-Pentest, BSI IS-Webcheck, OWASP uvm.)
- Qualifizierte Penetrationstester mit langjähriger Erfahrung
- Individualisierung aller Tests anhand der entsprechenden Prüfsituation
- Umfassende Projekterfahrung im Smart Meter Gateway-Bereich nach BSI TR-03109-1
- Unkomplizierte Prozesse und Transparenz zu jeder Zeit
- Fokus auf Verbesserung der IT-Sicherheit des Auftraggebers
Des Weiteren sind wir ausgezeichnet als
- Offensive Security Certified Professional (OSCP)
- Certified Ethical Hacker (CEH)
- Offensive Security Wireless Professional (OSWP)
Ihr Ansprechpartner
Sie möchten einen Pentest durchführen lassen und suchen einen qualifizierten Dienstleister? Wir stehen Ihnen mit unserer Erfahrung und Fachexpertise zur Verfügung. Kontaktieren Sie uns gerne telefonisch oder per E-Mail – wir freuen uns auf Ihre Anfrage!
Michael Cyl, M.Sc.
Leiter Cybersicherheit | Penetrationstests
E-Mail: mcyl@re-move-this.datenschutz-nord.de
Telefon: +49 421 69 66 32-319
datenschutz nord GmbH, Bremen
FAQ zum Thema Pentest und Cybersicherheit
Black-Box-, Grey-Box- oder White-Box-Pentest: Wo liegen die Unterschiede?
Pentests unterscheiden sich nicht nur durch den Untersuchungsgegenstand (z. B. Netzwerk, App, API etc.), sondern auch durch das Ausgangsszenario. Wir erläutern den Unterschied zwischen Black-Box-, Grey-Box- und White-Box-Pentests.
Ein Black-Box-Pentest startet mit möglichst wenig Informationen und kommt daher einem realen Angriffsszenario am nächsten. Für diese Art von Pentest reicht oft eine IP-Adresse, eine URL oder auch nur ein Domain-Name.
Demgegenüber steht der White-Box-Pentest, welcher umfangreiche Informationen über den Prüfgegenstand offenlegt. Dabei kann es sich um Netzwerkdiagramme, Sicherheitskonzepte, Konfigurationen und auch Code-Ausschnitte handeln. Der White-Box-Test ermöglicht eine konkretere Planung der Prüfungen und Fokussierung auf sensible Systeme und Funktionen. Es besteht aber auch die Gefahr, dass die Objektivität des Testers eingeschränkt wird.
Um die Vorteile von Black-Box und White-Box zu vereinen, kann im Rahmen eines Grey-Box-Pentests zunächst mit einer Black-Box gestartet werden, um danach ggf. benötigte Informationen für einen effektiven Testverlauf auszutauschen. Auch wenn im Vorfeld Anmeldedaten für einen Dienst o. Ä. zur Verfügung gestellt werden, spricht man von einem Grey-Box-Szenario.
Kennen Sie schon unseren Blog?
Mit unserem Blog „datenschutz notizen“ informieren wir Kunden und Interessierte über aktuelle Themen in den Bereichen Datenschutz, Informationssicherheit und Compliance. Hier finden Sie unsere neuesten Beiträge über Informationssicherheit, Cybersicherheit und Pentests:
