18. März 2026 15:02
Worauf Sie bei der Beauftragung eines Penetrationstests achten sollten
Cyberbedrohungen wie Datenschutzverletzungen und Ransomware-Angriffe können Unternehmen zu erheblichen finanziellen Verlusten führen. Der sicherste Weg, IT-Infrastrukturen vor solchen Angriffen und damit verbundenen finanziellen Schäden zu schützen, besteht in der Durchführung regelmäßiger Penetrationstests. Doch worauf sollte man bei der Beauftragung eines Penetrationstests achten? Die idealen Antworten auf diese Frage erwarten Sie im weiteren Verlauf dieses Inhalts.
Was ist ein Penetrationstest?
Ein Penetrationstest (Penetration Test) ist eine kontrollierte Angriffssimulation, die von Cybersecurity-Experten durchgeführt wird. Ziel dieser Simulation ist es, Schwachstellen zu identifizieren, die böswillige Akteure ausnutzen könnten, um Informationen zu stehlen oder das gesamte System zu kompromittieren. Penetrationstests dienen nicht nur der Entdeckung von Schwachstellen in der IT-Infrastruktur, sondern zeigen auch auf, wie widerstandsfähig das System gegen reale Angriffe ist.
Penetrationstests können auf die gesamte IT-Infrastruktur einer Organisation oder auf bestimmte Bereiche fokussiert durchgeführt werden. In diesem Rahmen können Simulationen eingerichtet werden, die sich auf externe Netzwerke, Server, Web- und mobile Anwendungen sowie IoT-Geräte konzentrieren. Die nach der Simulation gewonnenen Ergebnisse werden analysiert und in einen umfassenden Bericht zusammengefasst. Der Bericht enthält Empfehlungen, welche Änderungen an den Sicherheitsrichtlinien vorgenommen werden können, um die vorhandenen Schwachstellen zu beheben.
Worauf sollte bei Penetrationstest-Dienstleistungen geachtet werden?
Bei der Auswahl zwischen Penetrationstest-Anbietern ist es wichtig, die nachfolgend aufgeführten Kriterien zu berücksichtigen.
Zertifizierung
Die Zertifizierung ist das wichtigste Kriterium, auf das bei der Auswahl eines Cybersecurity-Unternehmens für Penetrationstests geachtet werden sollte. Es ist vorteilhaft, wenn das Unternehmen, das die Testdienstleistung erbringt, über international anerkannte Zertifikate verfügt.
Um die Konformität des Dienstleisters mit gesetzlichen Vorschriften und Qualitätsstandards zu überprüfen, können Sie zunächst prüfen, ob eine TSE-Zulassung vorliegt. Denn Unternehmen mit einer TSE-Penetrationstest-Lizenz führen den Prüfungsprozess der IT-Infrastruktur in vollständiger Übereinstimmung mit ethischen und rechtlichen Verpflichtungen durch.
Referenzen und Erfahrungsniveau
Bei der Auswahl eines Penetrationstest-Anbieters sind Referenzen und Erfahrungsniveau ebenso wichtig wie die Zertifizierung. Der einfachste Weg, um Informationen über das Unternehmen in Bezug auf diese beiden Kriterien zu erhalten, besteht darin, frühere Arbeiten zu prüfen. Das Vorhandensein von Dienstleistungserfahrungen in Ihrer Branche erleichtert das gegenseitige Verständnis beider Parteien im Prozessmanagement und die Entwicklung idealer Lösungen. Bei der Fokussierung auf das Erfahrungsniveau können die Personen, die den Penetrationstest durchführen, insbesondere der Teamleiter, auch individuell bewertet werden.
Testumfang
Zu den Kriterien, die bei der Auswahl eines Penetrationstest-Anbieters beachtet werden sollten, gehört auch der Testumfang. Bei der Festlegung des Umfangs eines Penetrationstests werden zunächst die Ziele definiert. Die wichtigsten Assets, bei denen im Testprozess die Simulation durchgeführt wird, sind interne und externe Netzwerke. Neben Netzwerken können auch Assets wie Zahlungssysteme und Benutzerdatenbanken im Rahmen der Simulation mit Penetrationsprotokollen getestet werden. APIs und Microservices sowie IoT-Geräte sind weitere Assets, die getestet werden können.
Nach der Definition der Ziele folgt die Festlegung, welche Testart angewendet werden soll. In diesem Rahmen ermöglicht der Black-Box-Test die Durchführung einer Angriffssimulation von außen, ohne dem System Informationen zu geben. Der Grey-Box-Test ermöglicht die Erlangung teilweiser Informationen über bestimmte Bereiche des Systems. Beim White-Box-Test wird das System detailliert überprüft, indem vollständiger Zugriff einschließlich Quellcode gewährt wird.
Es ist wichtig, dass die Durchführung des Penetrationstests so geplant wird, dass sie die Arbeitsabläufe nicht beeinträchtigt.
Ähnliche Beiträge