NIS2
NIS2-Checkliste nach § 30 BSIG
Schwachstellenmanagement und Wirksamkeitsprüfung im Kontext aller Maßnahmen.
Ein Penetrationstest ist ein autorisierter, simulierter Angriff: Fachleute setzen dieselben Techniken ein wie echte Angreifer, um Schwachstellen zu finden, bevor sie ausgenutzt werden. Die Süddeutsche Datenschutzgesellschaft mbH (SDG) führt Penetrationstests Ihrer Webanwendungen, APIs und Cloud-Umgebungen durch. Sie erhalten einen Bericht mit allen Funden, ihrer Bewertung und konkreten Empfehlungen, dazu ein Abschlussgespräch und auf Wunsch einen Nachtest.
Ein Pentest zeigt, ob Ihre Schutzmaßnahmen in der Praxis halten. Das hilft Ihnen gegenüber Kunden und Ihrer Cyberversicherung ebenso wie beim Nachweis der Wirksamkeit Ihrer Maßnahmen nach NIS2, ISO 27001 oder KRITIS.
Was wir testen
Webanwendungen und Portale
Anmeldung und Sitzungsverwaltung, Berechtigungen, Eingabeprüfung, Injection-Schwachstellen und Konfiguration, zum Beispiel anhand des OWASP Web Security Testing Guide.
Webseiten und Onlineshops
Content-Management-System und Plug-ins, Kundenkonten und Zahlungsfunktionen, Formulare, Server- und TLS-Konfiguration.
APIs und Schnittstellen
Authentifizierung und Autorisierung, Zugriff auf fremde Datensätze, Ratenbegrenzung, Fehlerbehandlung und Datenlecks.
Cloud-Umgebungen
Konfiguration von Diensten und Speichern, Identitäten und Berechtigungen, öffentlich erreichbare Ressourcen und Protokollierung.
Netzwerk und Infrastruktur prüfen wir in erster Linie mit automatisierten Schwachstellenscans, manuelle Infrastrukturtests führen wir mit Kooperationspartnern durch. Nicht zu unserem Angebot gehören Tests von Active Directory, WLAN, OT-, ICS- und IoT-Systemen, Hardware und Firmware, mobilen Apps (deren APIs testen wir), Social Engineering, physische Tests sowie Red Teaming, Purple Teaming und TLPT.
So läuft ein Penetrationstest ab
- Ziel, Umfang und Freigabe Wir legen mit Ihnen und Ihrer IT Systeme, Zeitfenster, Methoden, Ausschlüsse und Notfallkontakte schriftlich fest. Ohne Ihre schriftliche Freigabe testen wir nicht.
- Automatisierter Pentest Spezialisierte Werkzeuge decken bekannte Schwachstellen, Fehlkonfigurationen und veraltete Komponenten schnell ab.
- Manueller Pentest Erfahrene Tester prüfen Geschäftslogik und Berechtigungen und verknüpfen Funde zu realistischen Angriffswegen. Weil der automatisierte Teil vorausgeht, bleibt der manuelle Aufwand gering.
- Sofortmeldung Kritische Funde melden wir Ihnen sofort und nicht erst im Bericht.
- Bericht und Abschlussgespräch Management-Zusammenfassung, alle Schwachstellen mit Nachweis und Bewertung sowie konkrete Empfehlungen. Im Gespräch helfen wir bei der Priorisierung.
- Nachtest Nach der Behebung prüfen wir, ob die Lücken tatsächlich geschlossen sind.
Alle Testschritte werden protokolliert. Die Behebung selbst ist nicht Teil des Tests, auf Wunsch unterstützen wir Sie dabei separat.
Warum die SDG
Prüftiefe mit Augenmaß
- Manuelle Tests aus der EUManuelle Pentests führen wir mit unserem eigenen Unternehmen SDG Tech SRL in Bukarest durch. Ihre Tests bleiben damit innerhalb der EU.
- UnabhängigSind wir Ihr externer Informationssicherheitsbeauftragter, testen in der Regel Kooperationspartner. Wer die Sicherheit steuert, prüft nicht die eigenen Maßnahmen.
- Eingeordnet statt abgelegtWir ordnen die Ergebnisse in Ihr ISMS und Ihre Nachweise für NIS2, ISO 27001 oder KRITIS ein. Technik und Recht kommen aus einer Hand.
Für die laufende Überwachung zwischen zwei Tests bietet unser Sicherheitsportal Schwachstellenanalyse und Echtzeit-Monitoring. Die Steuerung der Informationssicherheit übernimmt auf Wunsch unser externer Informationssicherheitsbeauftragter.
Wissen
Mehr erfahren
Welche Rolle Sicherheitstests in den Regelwerken spielen, lesen Sie in unseren Fachbeiträgen.
ISO 27001
ISO 27001 Anhang A
Die Controls im Überblick, darunter technische Schwachstellen und Sicherheitsprüfungen.
KRITIS
RUN im KRITIS-Nachweis
Wie das BSI Umsetzungsgrade bewertet und wo Penetrationstests einfließen.
Häufige Fragen zum Penetrationstest
Stört ein Penetrationstest den laufenden Betrieb?
Das Risiko wird durch die vorherige Abstimmung gering gehalten: Umfang, Zeitfenster, ausgeschlossene Systeme und Notfallkontakte werden schriftlich festgelegt, kritische Funde melden wir sofort. Ganz ausschließen lassen sich Beeinträchtigungen bei aktiven Tests nie, deshalb ist die Abstimmung so wichtig.
Werden die gefundenen Schwachstellen behoben?
Nicht im Rahmen des Tests. Der Bericht enthält konkrete Empfehlungen zur Behebung. Auf Wunsch unterstützen wir Sie bei der Umsetzung als separate Leistung und prüfen in einem Nachtest, ob die Schwachstellen geschlossen sind.
Hilft ein Penetrationstest bei der Cyberversicherung?
Ja. Cyberversicherer fragen Sicherheitsmaßnahmen im Risikofragebogen ab. Der Bericht ist ein dokumentierter Nachweis, dass Ihre aus dem Internet erreichbaren Systeme regelmäßig geprüft werden. Welche Nachweise Ihr Versicherer verlangt, ergibt sich aus Fragebogen und Bedingungen. Prüfen Sie dort auch die Ausschlüsse, denn viele Cyberversicherungen schließen Schäden durch Krieg und staatliche Cyberangriffe aus.
Wie oft sollte ein Penetrationstest durchgeführt werden?
Das hängt von Risiko und Veränderungsgeschwindigkeit ab. Bewährt haben sich regelmäßige Tests, etwa jährlich, sowie Tests vor dem Livegang neuer Anwendungen, nach größeren Änderungen und nach Sicherheitsvorfällen.
Was kostet ein Penetrationstest?
Das hängt vom Umfang ab, also von Zahl und Art der Systeme und der Testtiefe. Wir nennen keine Pauschalpreise. Nach dem kostenfreien Erstgespräch und der Abstimmung des Prüfumfangs erhalten Sie eine seriöse Aufwandsschätzung.