Automated Security Validation Automatisiertes Pentesting: Pflicht und Chance für alle Unternehmen

Anbieter zum Thema

indevis IT Consulting and Solutions GmbH

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Pentesting, der kontrollierte Cyberangriff auf die Unternehmens-IT, prüft die Wirksamkeit der Security-Maßnahmen. Manuelles Pentesting können sich nur große Organisationen leisten. Automatisierte Tools könnten bald zum erschwinglichen Standard für kleinere Unternehmen werden. Komfortabel und skalierbar ist Automated Security Validation als Managed Service.

Nur ein reales Szenario, etwa der Crashtest in der Autoindustrie, kann wirklich bestätigen, ob die Planung der Realität standhält. Dies gilt auch für die Cybersicherheit einer Organisation. Pentesting nennt sich der dort eingesetzte "Crashtest". Ein Cybersecurity-Spezialist übernimmt hierbei die Rolle des Angreifers. Aus dieser Perspektive heraus sucht er nach Schwachstellen und wie diese sich ausnutzen lassen. Derartige manuelle Tests werden aus Kostengründen eher punktuell als flächendeckend durchgeführt. Die Automatisierung dieser kontrollierten Cyberattacken dürfte sich jedoch in naher Zukunft als weiteres Standardsicherheitsmodul etablieren, zumal große Wirtschaftsorganisationen wie die EU Pentesting indirekt oder direkt bereits jetzt vorschreiben.

Pentesting wird für viele Unternehmen Pflicht

Viele Unternehmen im Finanzsektor sind vom Digital Operational Resilience Act (DORA) betroffen. Das EU-Gesetz, das Anfang 2023 in Kraft trat, schreibt Pentesting explizit als Sicherheitsmaßnahme vor. Es gilt ab Anfang 2025 verbindlich für alle europäischen Unternehmen dieser Branche. Auch für europäische Organisationen, die zu den sogenannten kritischen Infrastrukturen zählen und unter die NIS2-Verordnung fallen, werden regelmäßige Sicherheitsüberprüfungen demnächst zur Pflicht. NIS2 fordert Cyberrisikomanagement, Business Continuity Management sowie Security-Audits, wofür Pentesting als wichtiges Instrument gilt. Und auch wer eine Cyberrisikoversicherung abschließen möchte, kann mit Pentesting nachweisen, dass er die Voraussetzungen erfüllt.

„Freundliche Hacker“ kosten

Bislang konnten sich manuelles Pentesting durch Security-Spezialisten nur große Organisationen leisten. Die hohen Kosten resultieren aus der Tatsache, dass das "freundliche Hackerteam" über enorme Kompetenzen auf dem Niveau professioneller Angreifer verfügen muss. Letztere sind in der Regel gut ausgebildete und ausgerüstete Spezialisten, die für kriminelle Vereinigungen oder staatsnahe Organisationen tätig sind. Sie loten kontinuierlich und über Monate Angriffsmöglichkeiten aus und schlagen dann zu, wenn sich durch unentdeckte Schwachstellen, Nachlässigkeit oder Konfigurationsfehler eine Pforte öffnet. Im Vergleich dazu findet manuelles Pentesting nur selten unter wirklich realistischen Bedingungen statt: Ein Penetration Test wird in der Regel maximal einmal pro Jahr mit vorgegebenem Zeitrahmen und definierten Zielen durchgeführt. Das Ergebnis: eine zwar hochprofessionelle Momentaufnahme einer aktuellen Situation, die kurz darauf jedoch schon wieder überholt sein kann.

Automatisierte Lösungen punkten durch Kontinuität

Mittlerweile sind jedoch Software-Lösungen wie Pentera auf dem Markt, die auch automatisierte Penetration Tests durchführen. Das Vorgehen wird auch Automated Security Validation genannt, denn es beinhaltet darüber hinaus auch eine Bewertung der gefundenen Schwachstellen und konkrete Handlungsempfehlungen. Automatisierte Pentests können on demand sowie jederzeit und regelmäßig in frei wählbaren Zeitabständen erfolgen und liefern ein einheitliches, vergleichbares Reporting – was bei manuellen Tests aufgrund des variierenden Vorgehens der menschlichen Tester nicht möglich ist. Eine Software scannt die IT-Umgebung auf ausnutzbare Schwachstellen und führt KI-gestützt reale Angriffe durch. Dabei greift sie auf eine umfangreiche Datenbank mit aktuellen Bedrohungsinformationen zu. Indem dieselben Penetration Tests über einen längeren Zeitraum im Hintergrund wiederholt werden, wird auch ersichtlich, wie sich Angriffsfläche und Risikoexposition verändern.

Schwachstellen priorisieren und so Cyberattacken abwehren

Eine automatisierte Lösung hilft vor allem dabei, Schwachstellen richtig zu bewerten und zu priorisieren, so dass die größten Sicherheitslücken zuerst geschlossen werden können. Hierfür sind reine Vulnerability-Management-Systeme nicht ausreichend. Zwar identifizieren sie Schwachstellen, um diese nach einem CVSS-Wert (Common Vulnerability Scoring System) zu kategorisieren. Dies macht jedoch nicht transparent, wie exponiert eine Schwachstelle innerhalb des Unternehmensnetzwerks ist, wie beliebt sie bei Cyberkriminellen gerade ist oder ob sie aus der Architektur heraus überhaupt angegriffen werden kann. Eine Plattform, die automatisierte Security-Validierung ermöglicht, sieht sich Schwachstellen aus Hackersicht an und versucht, sie auszunutzen. Auf diese Weise können Organisationen erkennen, welche Sicherheitslücken ihnen potenziell wirklich gefährlich werden.

Vor der Kür die Pflicht – auch gecoacht durch einen MSSP

Laut einer Gartner-Prognose werden Organisationen, die ihre Sicherheits-Investitionen anhand eines Continuous Exposure Management priorisieren, bis zum Jahr 2026 dreimal seltener von Cybervorfällen betroffen sein. Im aktuellen Gartner Hype Cycle 2024 für Security Operations wurde „Adversarial Exposure Validation“, unter welches auch das automatisierte Pentesting fällt, als neue Technologie hinzugefügt und als Innovation Trigger definiert.

Voraussetzung für automatisiertes Pentesting ist jedoch, dass eine Organisation bereits die wichtigsten Security Best Practices etabliert hat und über ausreichende Sicherheitsaffinität verfügt. Wer dagegen noch große Defizite aufweist, wird vermutlich nur eine entmutigend große und unübersichtliche Anzahl an Findings verzeichnen. Denn technisch ist eine Automated Security Validation Platform meist schnell implementiert; Unternehmen müssen jedoch auch in der Lage sein, die von der Plattform ausgegebenen Berichte einzuordnen und die empfohlenen Gegenmaßnahmen umzusetzen.

Wer dafür inhouse nicht genügend Know-how oder Ressourcen hat, kann sich von einem externen Experten wie einem Managed Security Service Provider unterstützen lassen. Dieser bietet auf die Unternehmensgröße optimierte flexible Lizenzierungs­optionen, unterstützt bei der Administration und Durchführung der automatisierten Pentests, geht die Reports mit einem internen Ansprechpartner durch, gibt Handlungsempfehlungen und hilft bei Bedarf bei der Umsetzung.

Luxus wird zum Standard

Bei allen skizzierten Vorteilen der Automated Security Validation hat manuelles Pentesting dennoch noch lange nicht ausgedient. Vielmehr geht es darum, für mögliche Szenarien die richtige Methode auszuwählen: Um sich etwa das Vertrauen von Mitarbeitern durch Social Engineering zu erschleichen, ist weiterhin ein Mensch im Hintergrund notwendig – auch wenn er dafür durchaus KI-Tools nutzt, um etwa E-Mails wirklich überzeugend zu formulieren. Automatisierte Tools sind hingegen besonders geeignet, um wiederkehrende Standardszenarien zu überprüfen. Beide Methoden haben ihre Berechtigung und arbeiten – wenn es sich Unternehmen leisten können – am effektivsten Hand in Hand. Für kleine und mittelständische Firmen, die aus Kostengründen bisher gar kein Pentesting nutzen konnten, wird in Zukunft die Automated Security Validation sowohl Standard als auch Pflicht werden. Daher lohnt es sich für Verantwortliche, sich schon jetzt mit dem Thema auseinanderzusetzen, sich um den notwendigen Security-Reifegrad für Pentesting zu kümmern und bei Bedarf Rat bei Experten einzuholen.

Über die Autoren: Mareen Dose und Daniel Hoyer sind Presales Consultants bei indevis und verfügen über langjährige Berufserfahrung im IT-Security-Umfeld. Sie beraten Kunden in allen Belangen rund um die Abwehr und Bekämpfung von Cyberbedrohungen.

(ID:50247502)