Penetrationstests für Unternehmen

Der Preis hängt vom Umfang ab, also von der Anzahl der IP-Adressen, Anwendungen und Standorte, von der Art des Tests (extern, intern, Webanwendung) und von der gewählten Methode. Ein kleinerer externer Test kostet einen Bruchteil dessen, was das umfassende Testen einer gesamten Umgebung kostet. Melden Sie sich, und nach einem kurzen Gespräch über den Umfang erstellen wir ein unverbindliches Angebot nach Maß.

Ein Audit prüft, ob Sie die Dinge richtig eingerichtet haben, also Konfigurationen, Lizenzen, Prozesse und Dokumentation. Ein Penetrationstest überprüft praktisch, ob sich diese wirklich durchbrechen lassen. Das Audit beantwortet „ist bei uns alles in Ordnung?“, der Test beantwortet „kommt jemand zu uns herein?“. Am besten wirken sie zusammen, und wir empfehlen, mit einem umfassenden IT-Audit zu beginnen.

Nein. Ein Scan ist ein automatisches Werkzeug, das Ihre Systeme mit einer Datenbank bekannter Fehler abgleicht und eine Liste ausgibt, in der meist viele Fehlalarme stehen. Einen Penetrationstest führt ein Mensch durch, der jeden Fund durch einen Ausnutzungsversuch verifiziert. So wissen Sie, was ein echtes Risiko ist und was nur eine theoretische Anmerkung.

Das hängt vom Umfang ab. Ein kleinerer externer Test ist eine Sache weniger Tage, das umfassende Testen einer größeren Umgebung dauert länger und wird in der Regel in Etappen aufgeteilt. Den genauen Termin und die Dauer stimmen wir vorab bei der Festlegung des Umfangs ab, damit Sie wissen, womit Sie rechnen können.

Wir planen die Tests so, dass sie den Betrieb nicht gefährden. Riskantere Schritte führen wir nach Absprache außerhalb der Arbeitszeit durch und sind während des Tests erreichbar, um alles sofort stoppen zu können. Den Umfang und die Systeme, die wir nicht berühren dürfen, stimmen wir vorab schriftlich ab.

In den meisten Unternehmen einmal jährlich. Ein zusätzlicher Test ist nach einer größeren Änderung sinnvoll, etwa nach der Einführung einer neuen Anwendung, dem Umzug in die Cloud, einem Netzwerkumbau oder nach einem Sicherheitsvorfall. Zwischen den Tests empfehlen wir laufendes Schwachstellenscanning und Monitoring.

Die NIS2-Richtlinie (EU) 2022/2555 führt einen Penetrationstest nicht ausdrücklich als Pflicht auf. Sie verlangt jedoch, Sicherheitsmaßnahmen zu ergreifen und deren Wirksamkeit zu überprüfen. Ein Penetrationstest ist einer der direktesten Wege, diese Überprüfung zu belegen. Die Details finden Sie auf der Seite NIS2.

Die Norm ISO/IEC 27001 verlangt das Management technischer Schwachstellen und die Überprüfung der Wirksamkeit von Maßnahmen. Eine konkrete Form schreibt sie nicht vor, doch der Bericht aus einem Penetrationstest ist ein Nachweis, den Auditoren bei einem unabhängigen Audit üblicherweise akzeptieren. IT HILFE ist selbst Inhaber von ISO 27001 und ISO 9001.

Ein Management Summary ohne Fachjargon für die Geschäftsführung, einen technischen Teil mit der Beschreibung jeder Schwachstelle, dem Nachweis und der Bewertung des Schweregrads, sowie einen nach Priorität sortierten Maßnahmenplan. Den Bericht gehen wir gemeinsam durch und erklären, was zuerst anzugehen ist.

Ja, den Umfang des Tests passen wir der Größe Ihres Unternehmens an. Kleinere Unternehmen sind häufig Ziel automatisierter Angriffe, die nicht auswählen, und oft genügt ihnen ein externer Test dessen, was sie im Internet exponiert haben. Wenn Sie unsicher sind, melden Sie sich, und wir sagen Ihnen offen, ob ein Test für Sie sinnvoll ist.

Vor allem eine schriftliche Testfreigabe und eine Verschwiegenheitsvereinbarung. Außerdem eine Ansprechperson, eine Liste der Systeme im Umfang und jener, die wir nicht berühren dürfen. Bei internen und Grey-Box-Tests benötigen wir zusätzlich einen Netzwerkzugang oder ein normales Benutzerkonto.

Ja. Wir arbeiten mit Kunden unabhängig von deren Standort. Externe Tests und Webtests führen wir aus der Ferne von überall durch, zu internen und physischen Tests kommen wir persönlich zu Ihnen.