Cybersicherheit: Pentests und Trainings
Cybersicherheit bedeutet für uns, sowohl die Systeme als auch die Mitarbeitenden so aufzustellen, dass Angriffe keine Chance haben. Denn beide – IT-Systeme und Menschen – sind regelmäßig das Ziel von Cyberattacken. Daher müssen Organisationen und Unternehmen nicht nur die Methoden der Cyberkriminellen kennen, sondern aktiv die Systeme auf Schwachstellen testen und alle Beschäftigten beim Thema Cybersicherheit immer wieder auf den neuesten Stand bringen und sensibilisieren.
Wir decken kritische Sicherheitsschwachstellen auf und unterstützen Sie dabei, das angestrebte Sicherheitsniveau zu erreichen. Dazu begeben wir uns in die Rolle der Cyberkriminellen bzw. Angreifer und versuchen im Rahmen eines Penetrationstests (kurz Pentests) in die Systeme einzudringen.
Des Weiteren bieten wir Ihnen passgenaue Möglichkeiten, um Ihre Mitarbeitenden für Cyberbedrohungen zu sensibilisieren und dafür zu sorgen, dass der Faktor Mensch in Ihrer Organisation ein wichtiger Baustein in der Abwehr von Cyberangriffen wird. Dazu nutzen wir eLearning-Kurse, Schulungen sowie spezielle Anti-Phishing-Trainings und Security-Awareness-Kampagnen.
Nehmen Sie Kontakt mit uns auf – wir beraten Sie gerne!
Pentests kurz erklärt
Während ein Angreifer versucht, Sicherheitslücken zu finden, um bspw. Ihre Systeme zu verschlüsseln, nutzt ein Pentest das gleiche Vorgehen, um Ihnen die möglichen Angriffsvektoren im Vorfeld aufzuzeigen. Um sicherheitsrelevante Schwachstellen aufzudecken, gibt es verschiedene Vorgehensweisen: Zum einen wird nach den verfügbaren Informationen für den Pentester zwischen Black-Box-, Grey-Box und White-Box-Pentests unterschieden. Zum anderen kann zwischen internen und externen Pentests unterschieden werden, also ob der Angriff von innen über das Netzwerk oder von außen über öffentlich erreichbare Informationen und Dienste erfolgt.
Mit Blick auf die Prüfgenauigkeit und -tiefe beginnen Penetrationstests normalerweise mit automatisierten Scans. Im nächsten Schritt folgen dann manuelle Tests und als letzte Maßnahme werden die gefundenen Schwachstellen ausgenutzt, sog. Exploits, um bspw. auf bestimmte Daten zugreifen oder Änderungen im System vornehmen zu können. In den meisten Fällen ist ein Pentest mit den manuellen Tests abgeschlossen.
Die Durchführung von Exploits birgt einerseits das Risiko, dass die IT-Systeme beeinträchtigt werden können und ist andererseits äußerst ressourcenintensiv. In der Regel ist der Aufwand, bestimmte Schwachstellen auszunutzen, im Vergleich zum potenziellen Sicherheitsgewinn unverhältnismäßig hoch. Die konkrete Ausnutzung von Schwachstellen erfolgt daher nur auf expliziten Wunsch und in enger Absprache mit Ihnen und den Systemverantwortlichen.
Scans
- Prüftiefe: oberflächlich
Automatisierte Scans identifizieren offensichtliche Sicherheitslücken und Systeminformationen wie offene Ports und bekannte Schwachstellen. - Prüfgenauigkeit: mittel bis niedrig
Scans bieten eine breite Übersicht, können aber False Positives und False Negatives produzieren, da sie die Kontextspezifität und die neuesten Bedrohungen möglicherweise nicht vollständig erfassen. - Kosten/Ressourcenaufwand: niedrig
Durch den hohen Grad der Automatisierung bleiben Aufwände sowie Kosten stets im niedrigen Bereich.
Manuelle Tests
- Prüftiefe: tief
Sicherheitsexperten analysieren das System detailliert, überprüfen Scanergebnisse und untersuchen spezifische Sicherheitsaspekte, die automatisierte Tools übersehen könnten. - Prüfgenauigkeit: hoch
Durch die Bewertung im Kontext und die Fähigkeit, komplexe Sicherheitsfragen zu verstehen, minimieren manuelle Tests die Wahrscheinlichkeit von Fehlalarmen und entdecken subtilere Schwachstellen. - Kosten/Ressourcenaufwand: moderat
Die Tests werden individuell auf den Untersuchungsgegenstand zugeschnitten. Der Testumfang sowie das Prüfvorgehen sind dabei auf Effektivität sowie auf Effizienz ausgelegt, um den größtmöglichen Sicherheitsgewinn mit einem gerechtfertigten und angemessenen Aufwand zu erreichen.
Exploits
- Prüftiefe: sehr tief
Diese Phase beinhaltet die aktive Ausnutzung gefundener Schwachstellen, um Zugriff auf das System zu erlangen oder andere kritische Aktionen durchzuführen. - Prüfgenauigkeit: sehr hoch
Die erfolgreiche Ausnutzung liefert unmittelbare Beweise für die Existenz und Auswirkung einer Schwachstelle, indem sie zeigt, wie sie in der Praxis ausgenutzt werden könnte. - Kosten/Ressourcenaufwand: sehr hoch
Post-Exploitation-Phasen erfordern oft einen erheblichen zusätzlichen Aufwand in Form von Zeit und Ressourcen. Je nach Komplexitätsgrad und Angriffsszenario kann dies die Kosten des Penetrationstests deutlich erhöhen.
Wichtig: Pentests sollten immer von qualifizierten Experten durchgeführt werden, die im Idealfall nicht selbst am Aufbau / an der Konzeption oder dem Betrieb des Systems beteiligt sind bzw. waren. So werden Interessenskonflikte oder auch die sog. Betriebsblindheit vermieden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt zudem den Einsatz von externen Prüfern, da sich die genannten Problem so am besten vermeiden lassen.
Unser Pentest-Angebot
Wir führen für verschiedene Untersuchungsgegenstände Pentests durch. Hier finden Sie auführliche Informationen zu den einzelnen Tests. Sprechen Sie uns bei Fragen gerne jederzeit an!
Pentests bei externen Netzwerken
Ihre extern aus dem Internet erreichbaren Systeme sind dem größten Risiko ausgesetzt. Im Rahmen von externen Tests, die am ehesten mit einem klassischem „Hacker-Angriff“ in einem sog. Black-Box-Szenario zu vergleichen sind, werden alle nach außen exponierten Netzwerkdienste nach potentiellen Sicherheitslücken durchsucht. Dabei werden sowohl Ihre Firewall-Regeln als auch die Härtungseinstellungen Ihrer Systeme auf Herz und Nieren überprüft.
Die Basis unserer Prüfungen bilden öffentliche Empfehlungen und Richtlinien zur Durchführung von Pentests des Bundesamtes für Sicherheit in der Informationstechnik (BSI), sowie über 15 Jahren Erfahrung auf diesem Gebiet. Darüber hinaus wird jeder Test sorgfältig an den individuellen Prüfgegenstand angepasst und um die notwendigen Prüfungen erweitert.
Pentests bei internen Netzwerken
Während das Internet als potentielle Gefahrenquelle gilt, wird das Netzwerk innerhalb eines Unternehmens meist als weniger bedroht betrachtet. Fälschlicherweise, denn das Risiko durch einen Innentäter, bspw. durch die Überwindung des äußeren Perimeters, durch böswillige Mitarbeitende oder durch das unabsichtliche Einbringen von Schadsoftware, sollte ebenfalls nicht unterschätzt werden. Das momentan aufstrebende „Zero-Trust“-Modell geht sogar soweit, dass einem internen System genauso wenig Vertrauen wie dem Internet geschenkt werden sollte.
Durch einen internen Pentest werden mit Zugang zum Unternehmensnetz – vor Ort oder per VPN – analog zum externen Netzwerk-Pentest alle Netzwerkdienste des Intranets im Hinblick auf Sicherheitslücken und Konfigurationsfehler durchsucht. Weiterhin werden ggf. vorhandene Netzzugangskontrollen (NAC – Network Access Control) sowie Detektions- und Präventionsmaßnahmen gegen lokale Angriffe evaluiert und auf Effektivität überprüft. Das Vorgehen entspricht dabei eher einem Grey-Box-Szenario, kann aber durch die Bereitstellung von detaillierten Netzplänen und weiteren Informationen über die IT-Infrastruktur auch zu einem konkret definierten White-Box-Test erweitert werden.
Pentests bei Webapplikationen und Web-APIs
Neben einfachen Websites erfreuen sich browserbasierte Applikationen, kurz Web-Apps, bei Entwicklern und Anwendern zunehmender Beliebtheit. Der Funktionsumfang ist groß, angefangen von Onlineshops über Mail- und Kalenderanwendungen bis hin zu Videosprechstunden.
Ebenso groß ist allerdings das Potential für Fehler bei der Programmierung und damit ggf. für schwerwiegende Sicherheitslücken, welche nicht nur Websites und Web-Apps an sich, sondern auch den darunterliegenden Server und dessen Infrastruktur gefährden. Ein Pentest prüft daher die Webanwendung im Hinblick auf bekannte Sicherheitslücken (u. a. „OWASP Top 10“) und logische Fehler – insbesondere in der Rechteverwaltung.
Häufig mit modernen Web-Apps verbunden, aber ggf. auch alleinstehend, werden die zugrundeliegenden Programmierschnittstellen (APIs) bzw. Web-Services gemäß den architektur- und protokollspezifischen Besonderheiten ebenfalls auf Sicherheitslücken überprüft.
Pentests für Smartphone-Apps (iOS- und Android)
Sowohl unter iOS als auch auf dem Android-Betriebssystem besteht die Gefahr, dass die Sicherheitsfunktionen der Plattform falsch konfiguriert oder sensible Daten nicht ausreichend geschützt werden. Somit kann ein potentieller Angreifer ggf. auf dem Gerät selbst oder auf dem zugrundeliegenden Backend-System unautorisiert auf sensible Informationen zugreifen oder schadhafte Aktionen ausführen.
Im Rahmen eines Pentests werden iOS- oder Android-Apps daher sowohl auf Berechtigungs- und Konfigurationsebene als auch im Hinblick auf programmierbedingte Sicherheitslücken überprüft, wobei auch deren Anbindung an das entsprechende Backend-System eine zentrale Rolle einnimmt. Unsere Prüfungen basieren dabei u. a. auf dem „OWASP Mobile Security Testing Guide“.
Active-Directory-Audit
Mithilfe eines Active Directory (AD) kann ein Netzwerk entsprechend den Strukturen des Unternehmens bzw. der Organisation gegliedert werden. Die verschiedenen Objekte in einem Netzwerk – Computer, Dienste, Server, Geräte wie Drucker, aber auch Benutzer, Gruppen etc. – werden so verwaltet. Um die Sicherheit des Netzwerkes zu gewährleisten und sich vor unbefugten Zugriffen zu schützen, ist es empfehlenswert, den Verzeichnisdienst regelmäßig einem Audit zu unterziehen.
Sprechen Sie uns gerne direkt an!
Regelmäßige Security Scans
Wir bieten Ihnen die Möglichkeit, durch unsere Security Scans bzw. Schwachstellenscans Ihre extern erreichbaren Systeme in regelmäßigen Abständen auf Sicherheitsprobleme zu untersuchen. Diese Scans ersetzen keinen Pentest, erlauben aber bspw. Konfigurationsfehler schnell zu entdecken und zu beheben. Zudem sparen Sie sich die Anschaffung kostenintensiver Scan-Tools und entlasten Ihre IT-Abteilung. Die Ergebnisse der Scans erhalten Sie in einem aufbereiteten und leicht verständlichen Bericht, den wir Ihnen über unserer Managementsystem DSN port zur Verfügung stellen (webbasierte Anwendung, keine zusätzliche Lizenz erforderlich). Vorgesehen sind Scans alle drei Monate, kürzere Intervalle sind nach Absprache selbstverständlich möglich.
Trainings: Mitarbeitende für Angriffsmethoden sensibilisieren
Wenn es um Cybersicherheit geht, dann sind sichere Systeme ein wichtiger Aspekt, der andere sind die Mitarbeitenden. Oft versuchen Cyberkriminelle über die Beschäftigten einen Weg ins Unternehmen zu finden. Neben dem Einschleusen von Ransomware zur Datenverschlüsselung, die bspw. über einen Link in einer E-Mail verbreitet wird, sind Phishing-Angriffe und Social Engineering gängige Mittel, um an wichtige Daten oder Passwörter zu gelangen. Auch auf diesem Wege geht es darum, entweder Geld oder Informationen zu erbeuten. Mit Trainings und eLearnings können Sie Ihre Mitarbeitenden über die verschiedenen Methoden bei Cyberangriffen informieren und für dieses Thema im Arbeitsalltag sensibilisieren. Denn hier stellt sich nicht die Frage, ob Ihre Organisation ins Visier der Angreifer gerät, sondern wann und wie gut Sie dann vorbereitet sind.
Unsere Qualifikation als Pentester:
- Vorgehen nach anerkannten Standards (BSI IS-Pentest, BSI IS-Webcheck, OWASP uvm.)
- Qualifizierte Penetrationstester mit langjähriger Erfahrung
- Individualisierung aller Tests anhand der entsprechenden Prüfsituation
- Umfassende Projekterfahrung im Smart Meter Gateway-Bereich nach BSI TR-03109-1
- Unkomplizierte Prozesse und Transparenz zu jeder Zeit
- Fokus auf Verbesserung der IT-Sicherheit des Auftraggebers
Des Weiteren sind wir ausgezeichnet als
- Offensive Security Certified Professional (OSCP)
- Certified Ethical Hacker (CEH)
- Offensive Security Wireless Professional (OSWP)
Ihr Ansprechpartner
Sie möchten einen Pentest durchführen lassen und suchen einen qualifizierten Dienstleister? Wir stehen Ihnen mit unserer Erfahrung und Fachexpertise zur Verfügung. Kontaktieren Sie uns gerne telefonisch oder per E-Mail – wir freuen uns auf Ihre Anfrage!
Michael Cyl, M.Sc.
Leiter Informationssicherheit | Penetrationstests
E-Mail: mcyl@re-move-this.datenschutz-nord.de
Telefon: +49 421 69 66 32-319
Alle Dienstleistungen
Hier erfahren Sie mehr über unsere Dienstleistungen.
FAQ zum Thema Pentest und Cybersicherheit
Black-Box-, Grey-Box- oder White-Box-Pentest: Wo liegen die Unterschiede?
Pentests unterscheiden sich nicht nur durch den Untersuchungsgegenstand (z. B. Netzwerk, App, API etc.), sondern auch durch das Ausgangsszenario. Wir erläutern den Unterschied zwischen Black-Box-, Grey-Box- und White-Box-Pentests.
Ein Black-Box-Pentest startet mit möglichst wenig Informationen und kommt daher einem realen Angriffsszenario am nächsten. Für diese Art von Pentest reicht oft eine IP-Adresse, eine URL oder auch nur ein Domain-Name.
Demgegenüber steht der White-Box-Pentest, welcher umfangreiche Informationen über den Prüfgegenstand offenlegt. Dabei kann es sich um Netzwerkdiagramme, Sicherheitskonzepte, Konfigurationen und auch Code-Ausschnitte handeln. Der White-Box-Test ermöglicht eine konkretere Planung der Prüfungen und Fokussierung auf sensible Systeme und Funktionen. Es besteht aber auch die Gefahr, dass die Objektivität des Testers eingeschränkt wird.
Um die Vorteile von Black-Box und White-Box zu vereinen, kann im Rahmen eines Grey-Box-Pentests zunächst mit einer Black-Box gestartet werden, um danach ggf. benötigte Informationen für einen effektiven Testverlauf auszutauschen. Auch wenn im Vorfeld Anmeldedaten für einen Dienst o. Ä. zur Verfügung gestellt werden, spricht man von einem Grey-Box-Szenario.
Kennen Sie schon unseren Blog?
Mit unserem Blog „datenschutz notizen“ informieren wir Kunden und Interessierte über aktuelle Themen in den Bereichen Datenschutz, Informationssicherheit und Compliance. Hier finden Sie unsere neuesten Beiträge über Informationssicherheit, Cybersicherheit und Pentests:
