Pentest-Readiness-Check

Zwölf Punkte, die darüber entscheiden, ob ein Penetrationstest Erkenntnisse liefert oder Budget verbrennt. Grundlage sind die Vorbereitungsschritte aus dem BSI-Durchführungskonzept für Penetrationstests sowie die Punkte, an denen in der Praxis am häufigsten Zeit verloren geht. Vier Punkte sind kritisch: schriftliche Testgenehmigung, Rules of Engagement, konkret benannte Prüfobjekte, Testzugänge für alle Rollen und ein benannter Notfall-Ansprechpartner.

Rechtliche Absicherung

Schriftliche Testgenehmigung liegt vor (kritisch)

Ohne ausdrückliche Autorisierung ist ein Penetrationstest nach §§ 202a bis 202c StGB strafbar – für den Tester wie für den Auftraggeber, der sie nicht erteilt hat. Die Genehmigung nennt Prüfumfang, Zeitraum und die berechtigten Personen.

Rules of Engagement sind vereinbart (kritisch)

Was darf geprüft werden, was ausdrücklich nicht? Wie weit darf ein Angriff getrieben werden? Welche Systeme sind tabu? Ohne diese Vereinbarung entscheidet der Tester im Zweifel selbst.

Datenschutz und Mitbestimmung sind geklärt

Werden beim Test personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Bei Social Engineering und allem, was Leistungs- oder Verhaltenskontrolle berühren könnte, ist der Betriebsrat einzubeziehen.

Prüfumfang

Prüfobjekte sind konkret benannt (kritisch)

Welche URLs, IP-Bereiche, Anwendungen oder Netzsegmente? „Alles testen“ führt verlässlich zu einem oberflächlichen Ergebnis, weil der Aufwand sich auf zu viel Fläche verteilt.

Vorgehensweise ist festgelegt

Black Box, Grey Box oder White Box – die Wahl bestimmt Dauer, Kosten und Erkenntnistiefe. In den meisten Fällen ist Grey Box die wirtschaftlichste Variante.

Testzeitraum und erlaubte Zeitfenster stehen fest

Start, Ende und die Frage, ob auf Produktivsystemen auch außerhalb der Geschäftszeiten geprüft werden darf. Bei Produktionsumgebungen ist das die wichtigste Absprache überhaupt.

Technische Vorbereitung

Testzugänge für alle Rollen sind eingerichtet (kritisch)

Für jede Benutzerrolle ein eigener Testaccount – Administrator, Standardbenutzer, eingeschränkter Zugang. Keine produktiven Konten verwenden, sonst ist am Ende nicht nachvollziehbar, wer was getan hat.

Test- oder Ersatzumgebung ist verfügbar

Sie sollte der Produktivumgebung möglichst nahe kommen. Wird auf Produktivsystemen geprüft, gehört ein aktueller, zurückspielbarer Sicherungsstand vor Testbeginn dazu.

Netzzugang und Freischaltungen sind vorbereitet

Interne Tests brauchen einen Anschluss vor Ort oder einen Fernzugang. Bei externen Tests prüfen, ob Schutzsysteme den Prüfverkehr blockieren – sonst wird nicht die Anwendung getestet, sondern die Firewall.

Organisation

Technischer Notfall-Ansprechpartner ist benannt (kritisch)

Eine Person, die während des gesamten Tests unter einer Mobilnummer erreichbar ist. Bei einem kritischen Fund oder einer Störung muss sofort jemand entscheiden können.

Beteiligte sind vorab informiert

IT-Betrieb, Überwachung, Hosting-Anbieter und Cloud-Provider. Sonst besteht die Gefahr, dass der Test als echter Angriff behandelt und mitten in der Durchführung abgeschaltet wird.

Erwartung an den Bericht ist geklärt

Management-Zusammenfassung für die Geschäftsführung, CVSS-Bewertung, priorisierte Empfehlungen – und die Frage, ob der Retest enthalten ist. Das entscheidet, ob der Bericht später als Nachweis taugt.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.