Interview mit Dr. Jürgen Dürrwang, Head of Pentesting bei ITK Engineering Pentesting ist geduldiges Handwerk und ein bisschen Kunst

Anbieter zum Thema

ITK Engineering GmbH

Fsas Technologies GmbH

Ob Cyber Resilience Act, NIS2-Richtlinie oder Digital Operation Resilience Act – die Regularien für Cybersicherheit stellen europaweit immer höhere Anforderungen an Systembetreiber sämtlicher Branchen. Dr. Jürgen Dürrwang, Head of Pentesting beim Bosch-Tochterunternehmen ITK Engineering, spricht über die Folgen und erklärt, wie Produkt- und Systemwelt miteinander verknüpft werden müssen.

Security-Insider: Pentesting ist ein Kernelement einer wirksamen Cybersecurity-Strategie. Warum ist das proaktive Testen der eigenen Produkte und der IT-Sicherheit auf Schwachstellen so wichtig wie nie zuvor?

Dr. Jürgen Dürrwang: Schon längst sind Cyberattacken für Kriminelle zu einem lukrativen Wirtschaftszweig geworden. Laut Bitkom entstand deutschen Unternehmen 2023/24 innerhalb von zwölf Monaten durch Cyberangriffe ein Schaden von 267 Mrd. EUR. Digitalisierung und Vernetzung erhöhen die Angriffsvektoren täglich. Daher gilt: Ob Unternehmen, Behörde oder Staaten – sie alle müssen sich aktiv vor diesen Bedrohungen schützen. Genau hierbei helfen Penetration Tests, um Sicherheitslücken frühzeitig zu identifizieren. Diese können dann entweder sofort in der eigenen Infrastruktur behoben oder – im Falle eines Produktes – noch während der Produktentwicklung geschlossen werden.

Pentesting mit Legion, sqlmap, ZAP, OpenSCAP, Karkinos und Scapy

6 Open Source-Tools für Penetrationstests

Security-Insider: Derzeit wird die festgelegt, wie NIS2-Richtlinie und Cyber Resilience Act umgesetzt werden. Wie wirken sich solche Regularien auf Pentesting-Aktivitäten aus?

Dr. Jürgen Dürrwang: Die neuen Richtlinien schreiben für immer mehr Produkte Penetration Tests vor. Entscheidend ist aber, nicht nur einzelne Produkte, sondern Systeme ganzheitlich Pentests zu unterziehen. Die Herausforderung ist es, dass klassische Pentesting-Anbieter häufig auf die IT fokussiert sind und wenig Erfahrung mit dem Testen eingebetteter Systeme haben, also mit Steuergeräten, Airbagsystemen oder medizinischen Robotern. Genau darum aber geht es: Wir müssen die Produkt- mit der Systemwelt verknüpfen. Das ist unser Vorteil bei ITK Engineering: Unser Kerngeschäft ist die Entwicklung von Embedded-Geräten, sodass unsere Pentester neben der IT-Expertise auch über Embedded-Knowhow verfügen. Neben dieser Verknüpfung ist es für Unternehmen entscheidend zu wissen, welche ihrer Assets schützenswert sind, um den Umfang eines Pentests möglichst genau zu bestimmen. Hierbei sollten auch andere Security-Artefakte wie beispielsweise die Bedrohungsanalyse berücksichtigt werden.

Im Gespräch mit: Dr. Jürgen Dürrwang

Dr. Jürgen Dürrwang ist Head of Pentesting bei ITK Engineering. Er arbeitet seit 2021 bei dem Bosch-Tochter­unternehmen in Rülzheim nahe Karlsruhe. Zuvor war er wissenschaftlicher Mitarbeiter am Fraunhofer IOSB sowie an der Hochschule Karlsruhe. In seiner Promotion untersuchte er an der TU München, wie Bedrohungsanalysen die Betriebs­sicherheit von PKWs erhöhen können und konnte dabei eine Schwachstelle in Airbag-Systemen aufdecken.

Security-Insider: Die neuen Richtlinien haben also spürbaren Einfluss auf die Praxis und sind mehr als nur ein theoretisches Konstrukt?

Dr. Jürgen Dürrwang: Natürlich! Die regulatorischen Verschärfungen setzen die Messlatte neu. Wir kommen weg von der Angst, dass Investitionen in Cybersecurity ein kompetitiver Nachteil gegenüber der Konkurrenz sind, die das nicht tut. Jeder muss an das Thema ran. Es geht nicht mehr um das „ob“ oder das „wann“, sondern darum, Cybersecurity effektiv und so effizient wie möglich umsetzen.

Security-Insider: Cybersecurity ist also für alle Industrien notwendig. Arbeiten Pentester branchenspezifisch oder immer nach Schema F?

Dr. Jürgen Dürrwang: Es gibt Bestandteile, die immer zu einem Pentest gehören wie Aufklärungsphase, Schwachstellenbewertung und abschließend die Berichterstattung. Schema F ist aber der falsche Ratgeber, sind doch die Produkte oder Systeme, die es zu testen gilt, derart unterschiedlich. Gutes Pentesting ist eine Mischung aus geduldigem Handwerk und ein bisschen Kunst, denn jeder Fall ist anders und kreative Lösungen und Out-of-the-box-Denken sind das, was einen guten von einem sehr guten Pentester unterscheidet. Hilfreich sind Erfahrungen im Pentesting mit unterschiedlichen IoT-Devices. Wer beispielsweise die IT-Infrastruktur einer Stadtverwaltung kennt und weiß, wie Autos IT-seitig konzipiert sind, der wird Vorteile haben, wenn es um das Testen bei Ladeinfrastrukturbetreibern geht. Genau das ist unser Ansatz bei ITK Engineering: Produkte und Systeme unter die Lupe zu nehmen, und dabei branchenübergreifend zu denken.

KI-Tools als Helfer für Sicherheitsspezialisten

Pentests mit KI erfolgreich automatisieren

Security-Insider: Welche Rolle spielt Künstliche Intelligenz für Pentesting?

Dr. Jürgen Dürrwang: Künstliche Intelligenz (KI) hat das Potenzial, Pentesting grundlegend zu beeinflussen. Was es bereits heute gibt: erste Demonstratoren für KI-basierte Pentests, allerdings in einer abgesteckten „Laborumgebung“. Das Ziel ist es, fundierte Erfahrungen mit der KI zu sammeln, da beim Einsatz von KI eine Herausforderung besonders zum Tragen kommt: Bereits kleinere Unterschiede in den Konfigurationen führen zu false negativen Ergebnissen. Die physikalische Interaktion mit dem Zielsystem ist in vielen Pentests notwendig, was mit einer KI nicht möglich ist. Und bezogen auf „destruktive Tests“ ist eine KI nach wie vor unberechenbar. Als Assistenzsystem aber kann die KI schon heute die Effizienz im Penetration Testing erhöhen, beispielsweise zum schnellen Erstellen von Testskripten, die dann vom Menschen ausgeführt werden. Gerade wenn es darum geht, große Datenmengen schnell zu interpretieren, werden wir künftig verstärkt den Einsatz von Künstlicher Intelligenz sehen.

Vom Security Assessment zum Penetrationstest

Wann ein Pentest sinnvoll ist

Security-Insider: Wie beeinflusst die zunehmende Nutzung von Cloud-Diensten das Pentesting?

Dr. Jürgen Dürrwang: Die Cloud-Anbindung ist ein weiteres Einfallstor für Hackerangriffe, was am Beispiel Auto deutlich wird: es muss nicht vor Ort gehackt werden, sondern kann über die Cloud attackiert werden. An und für sich sind Cloud-Plattformen aber in gutem, relativ sicherem Zustand. Klassische Schwachstellen in der Software sind hier selten zu finden. Anfällig dagegen sind Schnittstellen von scheinbar sicherer Software, wo wir Fehlerkonfigurationen entdecken, so wie bei der Vergabe von Zugriffsrechten. Wirft man als Nutzer den Blick auf die Sicherheit der Cloud, gilt es immer, seine eigenen Applikationen zu testen, ohne dabei die Infrastruktur des Cloud-Anbieters anzugreifen.

Security-Insider: Warum tun sich gerade mittelständische Unternehmen oftmals schwer, auf umfangreiche Cybersecurity zu setzen?

Dr. Jürgen Dürrwang: Immer wieder machen wir die Erfahrung, dass Cybersecurity für KMUs eine große Herausforderung ist. Weniger, weil es dort an Bewusstsein für die Dringlichkeit fehlt, sondern vielmehr, weil KMUs Schwierigkeiten haben, Prozesse in der Breite aufzusetzen, wie es große Konzerne tun können. Cybersicherheit wird dann schnell nicht mit höchster Priorität angegangen. Deshalb suchen wir für Mittelständler nach Wegen, Cybersecurity pragmatisch anzugehen. Die beste Lösung für den Konzern ist selten die beste Lösung für das KMU. Entscheidend ist, dass man etwas tut und sich dem Thema nicht verschließt.

Video-Tipp #67: Metasploit im Pentest-Einsatz

Pentesting mit Metasploit und Nmap

Security-Insider: Gibt es Beispiele aus Ihrer täglichen Arbeit als Pentester?

Dr. Jürgen Dürrwang: Natürlich. Besonders spannend ist es, wenn wir hybride Systeme testen, die beispielsweise aus einem Backend Webservice, einer Smartphone App und einem im Fahrzeug verbauten ECU-Steuergerät bestehen. Solche Kombinationen bieten für Kriminelle enorme Angriffspotenziale. Dies gilt auch für medizinische Geräte, die beispielsweise Patienten- und Therapiedaten sammeln, um sie später mit einem Cloud-Dienst auszuwerten. Unser Ansatz ist es, zuerst einzelne Komponenten auf Sicherheit zu prüfen, ehe wir systemverbundene Schwachstellen zu Killchains verbinden. Was aus meiner Sicht wichtig ist: der Blick aufs Gesamtsystem und die Möglichkeit, Penetrationtests für Embedded-, Web- und Mobile-Anwendungen aus einer Hand anbieten zu können.

Security-Insider: Gibt es typische, besonders kritische oder überraschende Schwachstellen, die sie mit Ihren bisherigen Pentests aufgedeckt haben?

Dr. Jürgen Dürrwang: Bisher gab es in fast jedem unserer Pentests einen „Aha-Effekt“. Kein Bericht war leer. Typische Schwachstellen sind schwache Passwörter, die oft von Produkt- oder Kundennamen abgeleitet sind, sodass Wörterbuch-Angriffe möglich sind. Generell gilt, dass es darauf ankommt, Security-Maßnahmen richtig zu kombinieren. So ist es sehr sinnvoll, die Integrität von Update-Paketen vor der Installation und dann bei jedem Systemstart erneut zu prüfen. Passiert das nicht, kann ein Angreifer nach der Installation des Updates seinen Schadcode einbringen. Ebenso ist wichtig, Update-Pakete zu verschlüsseln. Häufig können wir aus Update-Paketen die Funktionalität des Systems herausfinden (Reverse Engineering) und dabei sensitive Informationen wie Passwörter oder Benutzerkonten extrahieren. Als Beispiel kann ich einen Fall nennen, wo das Betriebssystem verschlüsselte Partitionen nutzte, um sensible Daten zu schützen. Leider wurde der Schlüssel hierfür in einem unverschlüsselten Software-Paket abgelegt, anstatt ihn bei der Produktion in einem Hardware Security Modul (HSM) zu speichern.

Security-Insider: Vielen Dank für das Gespräch, Herr Dr. Dürrwang!

Sicherheitslücken identifizieren und schließen

14 Tools für Penetrationstests von Webanwendungen

(ID:50432493)