Penetrationstest beauftragen: Scope, Vertrag und was danach kommt

Was ist ein Penetrationstest?

Ein Penetrationstest, kurz Pentest, ist eine Sicherheitsprüfung, bei der Fachleute mit den Methoden echter Angreifer versuchen, in ein System einzudringen, aber mit Erlaubnis, nach festen Regeln und mit einem Bericht am Ende. Geprüft werden können Websites und Webanwendungen, Netzwerke und Server, mobile Apps oder auch Menschen, etwa mit Phishing-Tests.

Das BSI unterscheidet in seinem Praxis-Leitfaden zwei Grundformen. Beim Blackbox-Test kennen die Prüfenden nur die Adressen des Ziels und spielen einen Außentäter. Beim Whitebox-Test bekommen sie umfangreiche Informationen. Das BSI empfiehlt grundsätzlich Whitebox-Tests, weil Blackbox-Tests aufwendiger sind, ein höheres Risiko unbeabsichtigter Schäden haben und Szenarien wie Innentäter nicht abdecken.

Wann ein Pentest sinnvoll ist

• Vor dem Start einer Anwendung, die Kundendaten verarbeitet: Kundenportal, Shop, App, Schnittstelle.
• Nach großen Änderungen an Netzwerk, Anmeldung oder Rechten.
• Wenn Kundschaft oder Versicherer es verlangen, etwa in Fragebögen zur Informationssicherheit.
• Als Teil der Wirksamkeitsprüfung: Das BSI-Gesetz verlangt von NIS2-Einrichtungen unter anderem Konzepte, mit denen die Wirksamkeit der Maßnahmen bewertet wird (§ 30 BSIG). Ein Pentest kann ein Baustein davon sein, ist dort aber nicht ausdrücklich vorgeschrieben.

Mehr zur Umsetzung von NIS2 steht unter NIS2 umsetzen. Orientierung, keine Rechtsberatung.

SCOPE PENETRATIONSTEST [UNTERNEHMEN]                  Stand: [DATUM]

1. ANLASS UND ZIEL
   Warum testen wir? [Start Kundenportal / Fragebogen Kunde / Wirksamkeit]
   Was soll am Ende feststehen? [z. B. kritische Lücken vor Go-live geschlossen]

2. PRÜFOBJEKTE
   Webanwendung:  [URL], Rollen: [Gast, Kunde, Admin], Testkonten: [ja]
   Schnittstellen:[API-Endpunkte / Dokumentation vorhanden: ja/nein]
   Netzwerk:      [extern: IP-Bereiche] [intern: ja/nein]
   Ausgeschlossen:[Systeme, die NICHT getestet werden dürfen]

3. ART DES TESTS
   [ ] Whitebox (Informationen werden bereitgestellt, Empfehlung BSI)
   [ ] Greybox (Testkonten, eingeschränkte Informationen)
   [ ] Blackbox (nur Adressen)
   Destruktive Tests: [nein / nur nach Absprache]

4. ZEITRAUM UND BETRIEB
   Testfenster: [Datum, Uhrzeit]   Produktivsystem: [ja / Testsystem]
   Hoster / Dienstleister einbezogen: [Name, Zustimmung liegt vor]

5. ANSPRECHPARTNER
   Fachlich: [NAME]   Technisch: [NAME]   Notfall während des Tests: [NAME]
   Informiert: IT-Sicherheit [NAME], Datenschutz [NAME]

6. ERGEBNIS
   Bericht mit Bewertung je Befund, Nachweis, Empfehlung zur Behebung
   Präsentation für die Geschäftsleitung: [ja/nein]
   Nachtest nach Behebung: [ja, innerhalb von ... Wochen]

7. VERTRAULICHKEIT UND DATEN
   Verschwiegenheit, Speicherdauer der Testdaten, Löschnachweis

So nutzt du die Vorlage

1. Erst intern klären, was du wirklich wissen willst. „Alles testen“ ist kein Ziel, sondern ein Budgetproblem.
2. Ausschlüsse ernst nehmen: Systeme Dritter, empfindliche Produktionsanlagen, geteilte Server.
3. Dieselbe Beschreibung an mehrere Anbieter schicken und Angebote nach Methode, Tagen, Bericht und Nachtest vergleichen, nicht nur nach Preis.
4. Nach Referenzen für ähnliche Prüfobjekte fragen und nach einem Musterbericht.

Der Bericht ist nur so viel wert wie das, was danach passiert. Plane deshalb Zeit und Budget für die Behebung gleich mit ein.

Was wir übernehmen

Wir machen keine Penetrationstests, weil Prüfen und Bauen in getrennte Hände gehören. Was wir machen: den Scope mit dir schreiben, bei der Auswahl der Prüfenden helfen, Zugänge und Testsysteme vorbereiten, während des Tests erreichbar sein und danach die Befunde beheben, bei Websites, Servern und Anwendungen, die wir betreuen oder übernehmen. Danach der Nachtest, damit das Häkchen im Bericht auch stimmt.

Abgerechnet wird nach Aufwand: 150 € pro Stunde, für Unternehmen, zzgl. USt. Was Websites und Server von Anfang an sicherer macht, steht unter Hosting und Statische Website.