Schwachstellen im Unternehmen gezielt aufdecken

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Gute Planung ist die halbe Miete

Penetrationstests müssen im Vorfeld gut geplant sein, denn sie können neben den Testresultaten eine Reihe von zusätzlichen Konsequenzen nach sich ziehen. Unbedingt sollte dabei die Gesetzeslage beachtet werden. Grundsätzlich sind in Deutschland Penetrationstests zur Sicherheitsüberprüfung erlaubt.

Vom Auftraggeber ist jedoch sicherzustellen, dass sich die zu testenden Systeme und Daten in seinem Eigentum befinden. Dritte, deren Systeme und Informationen betroffen sein könnten, müssen dem Test vorab zustimmen.

Das Unternehmen muss sich auch darüber im Klaren sein, dass der Tester möglicherweise Zugang zu vertraulichen Daten erlangt. Hierzu gehören Administrator-Passworte, die während des Tests ermittelt werden. Daher ist zwingend eine verbindliche Absprache über den Umgang mit sensiblen Daten und Informationen zwischen den IT-Verantwortlichen und IT-Dienstleistern notwendig.

Darüber hinaus ist es besonders wichtig, dass die Testresultate entweder verschlüsselt oder nicht per Internet an das Unternehmen kommuniziert werden. Die Ergebnisse enthalten in den meisten Fällen hochsensible Informationen, die keinesfalls in fremde Hände gelangen dürfen.

Bei der Auswahl des Dienstleisters, der den Penetrationstest ausführen soll, ist selbstverständlich Vorsicht geboten. Da ein Unternehmen unter Umständen seine Sicherheitsstrategie und seine Schwachstellen offenlegt, sind an dieser Stelle großes Vertrauen, viel Erfahrung und klare vertragliche Absprachen gefordert.

Zudem existieren keine verbindlichen, weltweit standardisierten Verfahren für Penetrationstests. Jedoch gibt es anerkannte Abläufe, Handlungsempfehlungen und Best Practices, wie sie zum Beispiel durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder durch das Open Source Security Testing Methodology Manual (OSSTMM) festgelegt sind.

Fazit

Penetrationstests bieten sehr gute Möglichkeiten, das Sicherheitsniveau eines IT-Systems zu beurteilen. Regelmäßig ausgeführt lassen sich Schwachstellen frühzeitig erkennen und deren Ausnutzung durch Angreifer verhindern. Eine beständige Durchführung ermöglicht darüber hinaus auch die stetige Weiterentwicklung der Sicherheit der IT-Systeme. Die Ergebnisse zeigen genau auf, ob und wo die derzeitige Sicherheitsstrategie Lücken hat und führen somit zu einer gezielten und berechenbaren Investition in die Sicherheit des Unternehmens vor Angriffen von außen als auch von innen.

* Matthias Schütte ist Account Manager Security bei MTI Technology.

(ID:43201830)