Interner Netzwerk-Pentest

In der komplexen und sich ständig verändernden Landschaft der Cybersicherheit ist der Schutz interner Netzwerke und Systeme vor internen Bedrohungen ebenso wichtig wie der Schutz vor externen Angriffen. Unsere internen Penetrationstests (Pentests) bieten eine umfassende Analyse und Identifizierung potenzieller Sicherheitslücken in Ihrem Netzwerk. Diese könnten von böswilligen Akteuren ausgenutzt werden, um den Datenverkehr abzufangen oder die Integrität Ihres Netzwerks zu gefährden.

Warum sind interne Netzwerk-Pentests wichtig?

Die Sicherheit des internen Netzwerks wird oft vernachlässigt, da meist nur die Bedrohungen von außen betrachtet werden. Dabei benötigen gerade interne Dienste einen besonderen Schutz, da sie unter Umständen hochsensible Daten verarbeiten. Die Gefahr geht dabei sowohl von Innentätern als auch von externen Angreifern aus, die den externen Perimeter überwinden und in das interne Netzwerk eindringen konnten. Diese können Schwachstellen ausnutzen, um kritische Informationen zu stehlen, Schadsoftware zu verbreiten oder den Geschäftsbetrieb zu sabotieren, was zu erheblichen finanziellen und reputativen Schäden führen kann.

So gehen wir bei einem Pentest vor

Unsere Pentests gliedern sich in der Regel in fünf Phasen, die wir jedoch gerne an Ihre individuellen Bedürfnisse anpassen können. Auf Wunsch erstellen wir eine Abschlusspräsentation und führen optional Nachtests durch. In jedem Fall erhalten Sie einen detaillierten und allgemein verständlichen Bericht mit einer Management-Summary sowie Empfehlungen zur Behebung der identifizierten Schwachstellen.

Kick-off

Durchführung

Dokumentation

Abschluss-
präsentation

Nachtests

Mehr über die einzelnen Schritte erfahren Sie hier. Haben Sie bereits Fragen zum Thema Pentest, die Sie mit uns besprechen möchten? Unser Pentest-Team ist für Sie da, nehmen Sie Kontakt mit uns auf.

Infografik zum Ablauf eines internen Netzwerk-Pentests.

Durchführung eines internen Netzwerk-Pentests

Durch die Simulation möglicher interner Angriffe decken wir kritische Schwachstellen auf, bevor sie zum Problem werden. Dies ist entscheidend, da Bedrohungen, die aus dem Inneren eines Unternehmens kommen, oft übersehen werden, aber genauso verheerend sein können wie externe Angriffe.

Unsere internen Penetrationstests beginnen mit einem gründlichen Port- und Schwachstellenscan mittels führender Tools wie Nmap und Nessus, um Netzwerkdienste und -komponenten auf Sicherheitslücken zu überprüfen. Anschließend führen unsere Experten, gestützt auf aktuelle Standards und langjährige Erfahrung, manuelle Tests und Auswertungen durch, um Schwachstellen zu identifizieren, die von automatisierte Scans möglicherweise übersehen werden. Zudem validieren sie die sichere Konfiguration Ihres Netzwerks, insbesondere in Bezug auf die Netzwerksegmentierung in VLANs und Subnetze.

Für die Durchführung des internen Penetrationstests bieten wir flexible Optionen: Wir können uns an die spezifischen Anforderungen Ihres Unternehmens anpassen und remote über VPN arbeiten, ein dediziertes Remote-Testsystem einsetzen oder die Prüfung direkt vor Ort in Ihren Räumlichkeiten durchführen. Die Wahl des Testorts hängt von Ihren individuellen Sicherheitsbedürfnissen und Präferenzen ab, wobei jede Methode nur minimale Unterbrechungen Ihrer Geschäftsabläufe verursacht. Unabhängig von der gewählten Methode garantieren wir eine enge Zusammenarbeit mit Ihrem IT-Team und eine sofortige Rückmeldung zu identifizierten Sicherheitsrisiken.

Alle Tests werden individuell auf den jeweiligen Prüfgegenstand zugeschnitten und bei Bedarf um zusätzlich notwendige Prüfungen erweitert.

Prüfpunkte

Insgesamt umfassen die internen Netzwerk-Pentests die folgenden Prüfpunkte:

Network Access Control (NAC)*

Prüfung der eingesetzten Sicherheitsmaßnahmen zum Schutz vor einer unberechtigten Netzanmeldung *(nur vor Ort)

Veraltete Software

Analyse der identifizierten Dienste und Betriebssysteme hinsichtlich veralteter Software mit bekannten Sicherheitslücken

Administrative Zugänge

Kontrolle der Erreichbarkeit der administrativen Zugänge bzw. Fernwartungszugänge von unautorisierten Systemen aus

Kennwörter

Brute-Force-Angriffe auf Authentisierungsdienste zur Überprüfung auf Standardzugangsdaten oder triviale Kennwörter

Sensible Informationen

Gezielte Suche nach der Ausgabe von sensiblen Informationen

Verschlüsselung

Überprüfung der Verschlüsselung und der Angemessenheit der eingesetzten Verschlüsselungsverfahren

Zugriffskontrolle

Überprüfung, ob die identifizierten Dienste und Anwendungen eine angemessene Zugriffsbeschränkung aufweisen und eine geeignete Netzwerksegmentierung implementiert ist

Systemhärtung

Generelle Analyse der Systeme hinsichtlich potenzieller Verbesserungspotenziale und Sicherheitskonfigurationen

Das Ergebnis jedes Pentests ist ein detaillierter und verständlicher Bericht, der eine Management-Summary, Testdetails und maßgeschneiderte Empfehlungen zur Behebung der identifizierten Schwachstellen enthält. Auch nach Abschluss des Projekts stehen wir für Rückfragen zu den Schwachstellen und unseren Empfehlungen zur Verfügung und führen auf Wunsch Nachtests durch, um die erfolgreiche Behebung von Schwachstellen zu bestätigen.

Ihre Ansprechpartner

Sie möchten einen internen Netzwerk-Pentest durchführen lassen und suchen einen qualifizierten Dienstleister? Wir stehen Ihnen mit unserer Erfahrung und Fachexpertise zur Verfügung. Kontaktieren Sie uns gerne telefonisch oder per E-Mail – wir freuen uns auf Ihre Anfrage!

Michael Cyl, M.Sc.

Leiter Cybersicherheit | Penetrationstests

E-Mail: mcyl@re-move-this.datenschutz-nord.de

Telefon: +49 421 69 66 32-319

datenschutz nord GmbH, Bremen

Falls sich Ihre Anfrage auf eine Organisation außerhalb Deutschlands bezieht, helfen Ihnen diese Kontakte weiter.

Peter Suhren, Volljurist

Geschäftsführer

E-Mail: psuhren@re-move-this.first-privacy.com

Telefon: +49 421 69 66 32-822

FIRST PRIVACY GmbH, Bremen

Cihan Parlar, LL.M. (Tilburg)

Geschäftsführer

E-Mail: cparlar@re-move-this.first-privacy.com

Telefon: +31 20 211 7116

FIRST PRIVACY B.V., Amsterdam

Unsere Qualifikation als Pentester:

Vorgehen nach anerkannten Standards (BSI IS-Pentest, BSI IS-Webcheck, OWASP uvm.)
Qualifizierte Penetrationstester mit langjähriger Erfahrung
Individualisierung aller Tests anhand der entsprechenden Prüfsituation
Umfassende Projekterfahrung im Smart Meter Gateway-Bereich nach BSI TR-03109-1
Unkomplizierte Prozesse und Transparenz zu jeder Zeit
Fokus auf Verbesserung der IT-Sicherheit des Auftraggebers

Des Weiteren sind wir ausgezeichnet als

Offensive Security Certified Professional (OSCP)
Certified Ethical Hacker (CEH)
Offensive Security Wireless Professional (OSWP)

FAQ zum Thema Pentest

Unsere Pentests: Schritt für Schritt erklärt

Wir bieten Pentests für verschiedene Untersuchungsgegenstände an: Externe Netzwerke, interne Netzwerke, Webapplikationen/-APIs und Smartphone-Apps. Jedes Untersuchungsobjekt erfordert eine spezifische Maßnahmen während des Pentests, die Vorgehensweise folgt jedoch diesen fünf Schritten:

Vorgespräch/Kick-off: Vor Beginn der Tests wird das Vorgehen kurz gemeinsam abgestimmt. Je nach Komplexität des Untersuchungsgegenstandes kann es sich dabei um eine einfache Abstimmung per Mail bis hin zu einem mehrstündigen Kick-off-Meeting handeln, bei dem alle offenen Fragen geklärt werden.
Durchführung: Basierend auf den besprochenen Rahmenbedingungen und Prüfszenarien werden die Tests durch unsere Experten durchgeführt. Wir stehen Ihnen während der gesamten Durchführungsphase für Rückfragen zur Seite.
Dokumentation: Nach Abschluss der Tests erfolgt die Aufbereitung und Strukturierung der Prüfergebnisse, um einen für alle involvierten Personen hilfreichen und verständlichen Abschlussbericht zu erstellen. Dies beinhaltetet sowohl die Zusammenfassung der Ergebnisse in einer übergreifenden Management Summary als auch die detaillierte Darstellung der einzelnen Feststellungen mit dazugehörigen Empfehlungen zur Beseitigung der Schwachstellen.
Abschlusspräsentation (optional): Auf Wunsch können die Ergebnisse der Prüfungen zusätzlich in einer (Online-)Präsentation vorgestellt, erläutert und diskutiert werden.
Überprüfung der Gegenmaßnahmen / Nachtests (optional): Sofern Sie im Anschluss des Pentests die von uns empfohlenen Maßnahmen zur Beseitigung der identifizierten Sicherheitslücken getroffen haben, kann deren Effektivität durch einen erneuten Test validiert werden – je nach Umfang der Maßnahmen in einer kurzen Nachkontrolle oder einem umfassenden Nachtest.

Black-Box-, Grey-Box- oder White-Box-Pentest: Wo liegen die Unterschiede?

Pentests unterscheiden sich nicht nur durch den Untersuchungsgegenstand (z. B. Netzwerk, App, API etc.), sondern auch durch das Ausgangsszenario. Wir erläutern den Unterschied zwischen Black-Box-, Grey-Box- und White-Box-Pentests.

Ein Black-Box-Pentest startet mit möglichst wenig Informationen und kommt daher einem realen Angriffsszenario am nächsten. Für diese Art von Pentest reicht oft eine IP-Adresse, eine URL oder auch nur ein Domain-Name.

Demgegenüber steht der White-Box-Pentest, welcher umfangreiche Informationen über den Prüfgegenstand offenlegt. Dabei kann es sich um Netzwerkdiagramme, Sicherheitskonzepte, Konfigurationen und auch Code-Ausschnitte handeln. Der White-Box-Test ermöglicht eine konkretere Planung der Prüfungen und Fokussierung auf sensible Systeme und Funktionen. Es besteht aber auch die Gefahr, dass die Objektivität des Testers eingeschränkt wird.

Um die Vorteile von Black-Box und White-Box zu vereinen, kann im Rahmen eines Grey-Box-Pentests zunächst mit einer Black-Box gestartet werden, um danach ggf. benötigte Informationen für einen effektiven Testverlauf auszutauschen. Auch wenn im Vorfeld Anmeldedaten für einen Dienst o. Ä. zur Verfügung gestellt werden, spricht man von einem Grey-Box-Szenario.

Illustration der drei möglichen Pentests; der Black-Box-Test, der Grey-Box-Test und der White-Box-Test.

Werden die Pentests ausschließlich remote durchgeführt?

Alle aus dem Internet erreichbaren Prüfgegenstände, z. B. extern erreichbare Systeme und Web-Anwendungen, werden von unserem Unternehmensstandort aus getestet. Für interne Tests wird meist eine VPN-Verbindung genutzt, da so Nebenkosten eingespart werden und eine längere Testdauer möglich ist. Sollte Ihrerseits kein VPN o. Ä. zur Verfügung stehen, besteht die Möglichkeit eines unserer Testgeräte zu installieren. Auch die Installation der benötigten Software Ihrerseits auf einem eigenen Gerät ist denkbar. Sofern diese Szenarien keine Option darstellen, findet der Pentest durch einen Tester vor Ort statt.

Finden die Pentests in der Produktivumgebung statt?

Die zu testende Instanz des Untersuchungsgegenstandes wird von Ihnen festgelegt. Sofern eine Test- oder Staging-Instanz existiert, empfiehlt es sich, den Pentest in einer dieser Umgebungen durchzuführen. Dabei sollte allerdings darauf geachtet werden, dass sich insbesondere die Sicherheitseinstellungen möglichst nah an der Produktivumgebung orientieren, da die Testergebnisse davon beeinflusst werden könnten.

Unabhängig von der gewählten Umgebung hat die Vermeidung von ungewollten Betriebsstörungen und des Ausfalls von Systemen bei jedem Pentest höchste Priorität. Denial-of-Service-Angriffe (kurz DoS-Angriffe) werden daher grundsätzlich nicht durchgeführt.

Welchen Aufwand haben Sie als Kunde mit einem Pentest?

Der Aufwand für Sie als Auftraggeber ist relativ gering. Im Vorfeld muss lediglich das entsprechende Vorgehen kurz abgestimmt werden, ggf. ist noch eine Einführung in den Prüfgegenstand notwendig. Während des Tests sollte eine versierte Person für Rückfragen als Ansprechpartner innerhalb eines Arbeitstages erreichbar sein.

Auch interessant:

Externer Netzwerk-Pentest Pentests für Web-Apps/-APIs Pentests für Smartphone-Apps Pentests für Large Language Models (LLMs)

Kennen Sie schon unseren Blog?

Mit unserem Blog „datenschutz notizen“ informieren wir Kunden und Interessierte über aktuelle Themen in den Bereichen Datenschutz, Informationssicherheit und Compliance. Hier finden Sie unsere neuesten Beiträge über Informationssicherheit, Cybersicherheit und Pentests: