Penetrationstest planen: Umfang, Ablauf und Kosten
Ein Penetrationstest untersucht freigegebene Systeme aus einer Angriffsperspektive. Entscheidend sind nachvollziehbare Ergebnisse für Ihren Betrieb, nicht die grösste Zahl von Meldungen. Beschreiben Sie Ziel und Grenzen so, dass Anbieter denselben Auftrag kalkulieren können. Ein Test ist eine zeitlich und sachlich begrenzte Prüfung; neue Änderungen und nicht geprüfte Bereiche bleiben gesondert zu beurteilen.
Den Test auf eine konkrete Entscheidung ausrichten
Vor einer Veröffentlichung, nach einer wesentlichen Änderung oder für die Nachprüfung behobener Schwachstellen sind unterschiedliche Arbeiten sinnvoll. Benennen Sie, welche Entscheidung das Ergebnis ermöglichen soll und welche Geschäftsabläufe besonders wichtig sind. Ein automatisierter Schwachstellenscan und ein manueller Penetrationstest haben unterschiedliche Prüftiefen.
Eine Schwachstellenliste allein erklärt noch nicht den tatsächlichen Schaden. Verlangen Sie die nachvollziehbare Prüfung relevanter Zusammenhänge, etwa Rollen und Zugriffsrechte. Ein umfassendes organisatorisches Audit oder eine Zertifizierung ist dadurch nicht automatisch enthalten.
Zielsysteme und Grenzen übersichtlich festlegen
Zählen Sie Anwendungen und Netzwerkziele getrennt. Bei einer Anwendung können zusätzliche Rollen, Schnittstellen und komplexe Abläufe mehr Aufwand verursachen als ein weiterer einfacher Host. Vereinbaren Sie, was ein Ziel umfasst, statt nur eine Zahl ohne Definition zu vergleichen.
| Testbereich | Für die Offerte klären |
|---|---|
| Webanwendung / API | Anwendungen, Rollen, Schnittstellen und kritische Abläufe |
| Internes / externes Netzwerk | Freigegebene Hosts, Netze und erreichbare Dienste |
| Cloud-Konfiguration | Konten, Verantwortlichkeiten und ausdrückliche Freigabe |
| Mobile Anwendung | Plattformen, Versionen und verbundene Dienste |
Berechtigung und Regeln vor dem Start vereinbaren
Der Auftrag muss die Prüfung der betreffenden Systeme ausdrücklich erlauben. Klären Sie Zuständigkeiten für fremde Plattformen oder ausgelagerte Dienste; die eigene Nutzung bedeutet nicht automatisch eine Erlaubnis für deren gesamten Betrieb. Die genaue Zielliste und erforderliche Zugangsdaten gehören erst in einen vereinbarten sicheren Austausch.
Vereinbaren Sie Testzeitfenster, ausgeschlossene Verfahren, Belastungsgrenzen, Notfallkontakte und Abbruchregeln. Ob Verfügbarkeitsprüfungen, Social Engineering oder weitere besondere Methoden dazugehören, muss ausdrücklich feststehen. Eine Offertanfrage erteilt noch keinen technischen Testauftrag.
Informationsstand und Testumgebung bewusst wählen
Bei einem Test von aussen erhält das Team wenig Vorwissen. Ein Test mit definierten Zugängen oder Architekturinformationen erlaubt andere Schwerpunkte. Lassen Sie erklären, warum der gewählte Ansatz zu Ihrem Ziel passt; mehr Geheimhaltung ist nicht automatisch eine gründlichere Prüfung.
Ein Testsystem kann Risiken für den laufenden Betrieb verringern, muss aber die relevanten Einstellungen ausreichend abbilden. Bei Produktion sind Schutzmassnahmen, Beobachtung und ein abgestimmtes Vorgehen besonders wichtig. Stellen Sie neutrale Testdaten und geeignete Testkonten bereit, ohne echte Kundendossiers in das Anfrageformular zu laden.
Ein nutzbares Ergebnis statt nur einen Scannerexport verlangen
Der Bericht soll Umfang, Zeitpunkt, Methodik und Einschränkungen nennen. Für bestätigte Befunde sind betroffene Komponenten, nachvollziehbare Nachweise, Auswirkungen und geeignete Gegenmassnahmen wichtig. Technische Einzelheiten und eine verständliche Zusammenfassung können unterschiedliche Adressaten bedienen.
Priorisieren Sie nach dem tatsächlichen Risiko für Ihre Umgebung. Die Zahl der Befunde oder ein einzelner technischer Schweregrad ersetzt diese Einordnung nicht. Regeln Sie den vertraulichen Austausch, Aufbewahrung und Löschung der Testunterlagen sowie die Zuständigkeit für dringende Meldungen.
Gleiche Prüftiefe und Lieferleistungen vergleichen
Kosten hängen von Zielumfang, Komplexität, Vorwissen, manueller Prüftiefe und Dokumentation ab. Trennen Sie Vorbereitung, Test, Bericht, Besprechung und Nachtest. Ein günstiges Scanangebot kann einen anderen Arbeitsumfang abdecken als eine vertiefte Untersuchung der Geschäftslogik.
Vergleichen Sie dieselben Systeme und Ausschlüsse. Klären Sie, wie zusätzliche Ziele, unerwartete Hindernisse und Terminverschiebungen behandelt werden. Behebung und laufende Überwachung sind eigene Leistungen, sofern sie nicht ausdrücklich im Angebot stehen.
| Kostenbestandteil | Vergleichbare Abgrenzung |
|---|---|
| Vorbereitung | Zieldefinition, Freigaben und Testzugänge |
| Prüfung | Manuelle Tiefe, Rollen, Systeme und Zeitfenster |
| Ergebnis | Bericht, Priorisierung und Besprechung |
| Nachtest | Welche korrigierten Befunde und welche Frist |
| Zusatzarbeiten | Erweiterung, Behebung und Folgetests getrennt |
Befunde bearbeiten und Änderungen nachprüfen
Ordnen Sie jedem relevanten Befund eine verantwortliche Person und einen nachvollziehbaren Bearbeitungsstand zu. Ein Nachtest prüft die vereinbarten Korrekturen; er ist nicht automatisch eine vollständige erneute Untersuchung aller Systeme. Vereinbaren Sie Umfang und Nachweis bereits in der Offerte.
Für erste Anfragen genügen Testziel, Arten und Anzahl der Ziele, gewünschte Umgebung und Termin. Nach dem Test sollten wesentliche Änderungen, neue Schnittstellen und Betriebsrisiken Anlass für eine erneute Bewertung geben. Ein früherer Bericht bleibt eine Beschreibung des damaligen abgegrenzten Zustands.
Häufige Fragen
Ist ein Scan ein Penetrationstest?
Ein Scan erkennt bestimmte bekannte Muster. Ein Penetrationstest kann zusätzlich manuell Zusammenhänge und Auswirkungen prüfen. Entscheidend ist der ausdrücklich vereinbarte Umfang.
Kann die Produktion getestet werden?
Das ist je nach Ziel möglich, braucht aber abgestimmte Zeitfenster, Schutz- und Abbruchregeln. Eine störungsfreie Prüfung lässt sich nicht pauschal garantieren.
Beweist ein bestandener Test vollständige Sicherheit?
Nein. Das Ergebnis bezieht sich auf den vereinbarten Umfang und Zeitpunkt. Ungeprüfte Bereiche, neue Schwachstellen und spätere Änderungen bleiben möglich.
Ist eine Zertifizierung enthalten?
Ein Testbericht ist keine automatische Zertifizierung. Wenn ein bestimmter Nachweis benötigt wird, müssen Kriterien, Prüfumfang und Anerkennung vorab geklärt werden.
Muss ich Passwörter im Anfrageformular angeben?
Nein. Für die Anfrage reicht eine nicht vertrauliche Beschreibung. Erforderliche Testzugänge werden später nach Freigabe sicher und getrennt vereinbart.
Wann ist ein Nachtest sinnvoll?
Nach der Behebung relevanter Befunde. Klären Sie, welche Korrekturen geprüft werden und ob weitergehende Tests gesondert nötig sind.
