Penetrationstests – Hacking-Angriffe für mehr IT-Sicherheit

Die Vorstellung, dass Hacker ihre IT-Systeme ins Visier nehmen, versetzt Unternehmen und IT-Verantwortliche in Alarmbereitschaft. Die Wahrscheinlichkeit, Opfer einer Cyberattacke zu werden, nimmt immer weiter zu, da sich mit der voranschreitenden Digitalisierung auch immer mehr Angriffspunkte bieten.

Umso wichtiger ist es, kontinuierlich an der Optimierung der eigenen Cyber Security zu arbeiten. Penetrationstests bieten die einzigartige Möglichkeit, IT-Systeme durch die Augen der Angreifer zu betrachten und liefern damit besonders wertvolle Erkenntnisse zur Immunisierung und Verbesserung von Schutzfunktionen. Cyberkriminelle greifen unabhängig von Branche und Größe an, nehmen, was sie kriegen können und richten mit den erbeuteten Daten meist große Schäden an. Dabei geht die Gefahr nicht nur vom Datenverkauf aus. Auch das Lahmlegen von IT- oder Produktionssystemen ist für betroffene Unternehmen nicht selten existenzbedrohend.

Wer sich auf Bestellung hacken lässt, kommt den Cyberkriminellen zuvor. Er kennt die Schwachstellen seines Unternehmens genau und kann sie schließen.

Hacking-Attacke auf Bestellung

Im Gegensatz zum kriminellen Hacker hat sich der Penetrationstester dem Ziel verschrieben, seine Fähigkeiten ausschließlich legal einzusetzen und das im Sinne der Cyber Security. Bei einem Penetrationstest macht der erfahrene Profi-Hacker genau das, was sein kriminelles Pendant auch tun würde: Er hackt sich in IT-Systeme. Dabei bedient er sich der Angriffspraktiken und Methoden Cyberkrimineller und liefert damit eine realistische Einschätzung zum Ist-Zustand der IT-Sicherheit.

Der Penetrationstest aus der Hacker-Perspektive bietet eine vom rein automatisierten Scan unerreichbare Prüftiefe. Dazu ein Beispiel: Bei einem Scan wird ein über das Internet zugänglicher Ordner auf einem vergessenen, veralteten Server entdeckt. In diesem Ordner befinden sich Dateien, die Log-in-Daten enthalten. Der automatisierte Scan meldet nur, dass Zugriff auf einen Ordner bzw. die Dateien darin möglich war. Der Mensch hingegen erkennt die Log-in-Daten als solche und erlangt durch die enthaltenen Informationen einen tiefen Einblick in das Innere des Systems, was ihm das Eindringen immens erleichtert.

Während die automatisierten Scans also einen unkritischen Befund melden, kann sich die Lage für den menschlichen Experten ganz anders darstellen. Er kann auch Befunde, die einzeln betrachtet harmlos und unkritisch sind, kombinieren und durch Verwendung unterschiedlicher Methoden für sich nutzen.

Gerade weil der Penetrationstester sich hierbei auch unkritischer Befunde bedient, kann er sich ungestört austoben und sich sogar über längere Zeit hinweg unbemerkt im Netzwerk ausbreiten – ein Szenario mit dem Unternehmen immer häufiger bedroht werden. Die Studie „Cost of a Data Breach“ des Ponemon Institute hat gezeigt, dass Unternehmen 2019 durchschnittlich rund sieben Monate brauchten, um einen Data Breach zu entdecken.

Professionelles Penetration Testing von 8com

Auf die folgenden Punkte legen wir bei Penetrationstests besonders großen Wert.

• Transparenz: Wir beraten Sie vorab, besprechen das Vorgehen genau und halten Sie auch während der Prüfung auf dem Laufenden.

• Gründlichkeit: Unsere Experten setzen ihre jahrelange Erfahrung effektiv für Ihr Plus an Sicherheit ein – unsere Penetrationstests umfassen also deutlich mehr als nur automatisierte Scans.

• Vertraulichkeit: Wir achten auf die Vertraulichkeit Ihrer Daten und schließen eine Vertraulichkeitserklärung mit Ihnen ab.

• Datenschutz: Eine sichere Datenübermittlung ist bei uns Standard.

• Erreichbarkeit: Wir sind für Sie erreichbar – Sie haben den direkten Draht zu den Prüfern. Und auch nach der Prüfung sind wir für Sie da. Gerne beraten wir Sie bezüglich der Umsetzung der Empfehlungen aus dem Abschlussbericht des Penetrationstests.

Wissenswertes:

• Wie läuft der Penetrationstest ab?

Den Ablauf der Prüfung besprechen wir mit Ihnen im Vorfeld genauestens und Sie erhalten auch eine entsprechende Leistungsbeschreibung.

• Welche Kontaktmöglichkeiten gibt es während des Tests?

Unsere Prüfer sind während des Tests telefonisch und per E-Mail erreichbar.

• Wo sitzen die Prüfer?

An beiden Standorten der 8com – in Neustadt an der Weinstraße und in München.

• An welche offiziellen Vorgaben hält sich der Penetrationstest?

8com testet grundsätzlich nach dem Durchführungskonzept für Penetrationstests des Bundesamts für Sicherheit in der Informationstechnik (BSI) und unser Web Application Penetration Test richtet sich zusätzlich nach den OWASP Testing Guide v4 (OTGv4).

Unterm Strich

Penetrationstests bieten eine einzigartige Möglichkeit für die realistische Einschätzung der Cyber Security von Unternehmen. Sie kombinieren technische Möglichkeiten mit dem Geschick und dem Verständnis von IT-Experten. Dadurch wird eine Prüftiefe erreicht, die andere Maßnahmen nicht erreichen. Die Effektivität vorhandener Erkennungstechnologien wie die eines SIEM können mit Penetrationstests auf den Prüfstand gestellt und optimiert werden.

‍

Bild (c) 8com