Manuelle vs. automatisierte Penetrationstests Warum automatisiertes Pentesting wichtig ist

Anbieter zum Thema

Axians IT Security GmbH

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Cybersecurity ist für Unternehmen heute überlebenswichtig. Aber wie gut greifen die bestehenden Maßnahmen? IT-Infrastrukturen und Angriffsmethoden ändern sich schnell. Was gestern sicher war, kann heute schon gefährdet sein. Automatisiertes Pentesting ermöglicht es, die eigene Sicherheitsaufstellung regelmäßig auf Herz und Nieren zu prüfen und Schwachstellen zu schließen.

Die IT-Sicherheitslage in Deutschland ist angespannt bis kritisch. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert Unternehmen, Organisationen und Behörden auf, ihre Cyber Security zu erhöhen, Systeme zu härten und laterale Bewegungen in internen Netzen zu erschweren. Solche Maßnahmen sind ganz unabhängig von der aktuellen politischen Situation wichtig. Denn das Geschäft mit Cyberkriminalität boomt. Laut einer Bitkom-Studie entsteht der deutschen Wirtschaft durch Cyberangriffe jährlich ein Gesamtschaden von 223 Milliarden Euro. Hacker:innen produzieren immer schneller neue Malware-Varianten und setzen auf skalierbare Angriffsstrategien, mit denen sie möglichst viele Opfer erreichen. Insbesondere Ransomware ist nach wie vor ein großes Risiko. Neben der klassischen Verschlüsselung drohen die Angreifenden auch damit, die erbeuteten Daten zu veröffentlichen oder den Cybervorfall publik zu machen. Mithilfe von Ransomware as a Service – Malware im Baukasten-System – können selbst weniger versierte Cyberkriminelle schnell und einfach Attacken durchführen.

Cybersecurity aus der Perspektive der Angreifer:innen

Nicht umsonst sind Cyberangriffe heute das größte Geschäftsrisiko, so das aktuelle Allianz Risk Barometer. Um sich zu schützen, müssen Unternehmen ihre Sicherheitsaufstellung kontinuierlich auf den Prüfstand stellen und optimieren. Das Mittel der Wahl dafür ist Penetration Testing, kurz Pentesting: Dabei betrachtet man die Cybersecurity aus der Perspektive der Angreifenden und versucht, die Sicherheitsvorkehrungen mit aktuellen Hackermethoden auszutricksen. Pentesting ermöglicht es Unternehmen, risikofrei zu prüfen, wie wirksam ihre Cybersecurity-Maßnahmen sind. So können sie Schwachstellen identifizieren und schließen, bevor Cyberkriminelle diese ausnutzen. Security Assessments sind für Organisationen aller Größen und Branchen wichtig, insbesondere aber für solche, die sensible Daten verarbeiten oder zu den kritischen Infrastrukturen zählen. Letztere sind laut IT-Sicherheitsgesetz dazu verpflichtet, angemessene Cybersecurity-Maßnahmen nach Stand der Technik umzusetzen. Pentests unterstützen Unternehmen generell dabei, Regularien einzuhalten und sich auf Security-Audits vorzubereiten. Wer eine Cyberversicherung abschließen möchte, kann so auch den Nachweis erbringen, dass er die Voraussetzungen erfüllt.

Manuelles vs. automatisiertes Pentesting

Die meisten Unternehmen, die Pentests durchführen, tun dies bisher nur einmal im Jahr, so eine Studie des Cybersecurity-Anbieters Pentera. Das liegt vor allem daran, dass manuelles Testing sehr aufwändig und kostenintensiv ist. Man braucht dafür Security-Expert:innen, die die aktuellen Hacking-Methoden kennen, und muss viel Zeit investieren. Jährliches Pentesting reicht aber nicht aus, um gut geschützt zu sein. Denn das Ergebnis ist lediglich eine Momentaufnahme. Sowohl IT-Umgebungen als auch Angriffstechniken entwickeln sich hochdynamisch, sodass Cybersecurity-Maßnahmen angepasst werden müssen. Moderne Software-Lösungen ermöglichen es heute, Pentests weitgehend automatisiert durchzuführen. Das spart Aufwand und reduziert die Kosten erheblich. Dadurch können Unternehmen Sicherheitsüberprüfungen regelmäßig vornehmen. Selbst große, komplexe IT-Umgebungen lassen sich auf diese Weise schnell und effizient auf Schwachstellen scannen. Ergebnisse liegen meist schon nach 48 Stunden vor. Außerdem sind automatisierte Tests reproduzierbar und garantieren eine gleichbleibende, standardisierte Qualität. So lassen sich Ergebnisse gut vergleichen und einheitlichen Prüfverfahren an verschiedenen Standorten etablieren. Manuelles Pentesting ist dann nur noch in ausgewählten Szenarien nötig, etwa um Sonderfälle abzuprüfen oder Whitebox-Testing durchzuführen.

Welcher Pentesting-Ansatz ist der richtige?

Beim Pentesting gibt es drei verschiedene Vorgehensweisen: Blackbox, Greybox und Whitebox. Letzteres ist im Grunde ein Audit, bei dem die komplette Systemdokumentation offen liegt. Dieser Ansatz eignet sich zum Beispiel, um die Einhaltung von Regularien zu überprüfen. Beim Blackbox-Ansatz weiß der Angreifende dagegen noch gar nichts über die Zielumgebung. Wie ein echter Hacker oder eine echte Hackerin muss er zunächst alle Informationen selbst sammeln – zum Beispiel Zugangsdaten, um welche Infrastruktur und um welches Betriebssystem es sich handelt. Beim Greybox-Testing wiederum sind bereits einige Dinge bekannt, sodass sich gezielt Szenarien simulieren lassen. Man spricht daher auch von Was-Wäre-Wenn-Tests. Wie weit kommen Angreifer – zum Beispiel, wenn sie die Anmeldedaten von Mitarbeitenden ausspioniert haben? Meist empfiehlt sich eine Kombination aus Blackbox- und Greybox-Ansatz: Zunächst versucht man, möglichst viel ohne Hilfestellung zu knacken, und geht bei sehr gut abgeschirmten Systemen dann zur Greybox-Methode über. Beide Vorgehensweisen sind automatisiert durchführbar.

Außerdem unterscheidet man grundsätzlich zwischen externen und internen Pentests. Externe Tests prüfen, wie gut Unternehmensnetzwerke, Systeme oder Webpräsenzen von außen angreifbar sind. Interne untersuchen dagegen, welchen Bewegungs- und Handlungsspielraum Hacker haben, wenn sie sich bereits im Netzwerk befinden. Gerade interne Pentests sind besonders wichtig, denn auch mit den besten technischen Schutzmaßnahmen kann es passieren, dass Menschen Fehler machen oder sich von Cyberkriminellen austricksen lassen – sei es, weil sie auf Social Engineering oder Phishing-Mails hereinfallen oder arglos einen infizierten USB-Stick anstecken. Die entscheidende Frage lautet dann: Welchen Schaden können Angreifer:innen anrichten, nachdem sie eingedrungen sind? Können sensible Daten erbeutet werden oder gar die komplette Kontrolle über Systeme übernommen werden?

In Eigenregie oder als Service?

Es empfiehlt sich, beim automatisierten Pentesting mit einem erfahrenen Cybersecurity-Dienstleister zusammenzuarbeiten, der über entsprechende Referenzen und Expertise verfügt. Er stellt die Software zur Verfügung, betreibt sie und führt die Assessments in den vereinbarten Intervallen nach der besprochenen Vorgehensweise durch. Unternehmen erhalten anschließend einen ausführlichen Ergebnisbericht, der mögliche Schwachstellen aufzeigt und Handlungsempfehlungen gibt. Alternativ können IT-Teams automatisiertes Pentesting auch selbst ohne großen Personalaufwand etablieren. Die Software ist meist schnell installiert und eingerichtet. Für viele Unternehmen dürfte jedoch die Auswertung der Ergebnisse eine Herausforderung sein. Denn es reicht nicht aus, Sicherheitslücken zu identifizieren. Man muss sie auch priorisieren und die richtigen Maßnahmen ergreifen, um die Schwachstellen zu schließen. Hier ist es meist hilfreich, sich im Rahmen einer Security Validation von Spezialist:innen unterstützen zu lassen.

Fazit: Pentesting in die Sicherheitsstrategie integrieren

Um sich angemessen vor den wachsenden Cyberrisiken zu schützen, sollten Unternehmen ihre Cybersecurity-Maßnahmen kontinuierlich an die veränderte Bedrohungslage anpassen. Automatisiertes Pentesting ermöglicht es, Sicherheitsüberprüfungen kostengünstig als regelmäßigen Prozess in die Cybersecurity-Strategie zu integrieren. Wer die Leistung als Managed Security Service bezieht, reduziert den Eigenaufwand auf ein Minimum und erhält zudem Unterstützung bei der Umsetzung von Maßnahmen. So gelingt es, Schwachstellen aufzudecken und die eigene Sicherheitsaufstellung effizient zu optimieren.

Über den Autor: Dennis Fröhlich ist IT Security Consultant bei Axians IT Security.

(ID:48503145)