IT-Sicherheit / Cybersecurity: Pentest

Eine zweite Prüfung, die zeigt, ob gefundene Schwachstellen wirklich beseitigt wurden.

„Der Nachtest hat ergeben, dass sechs von acht Befunden vollständig behoben sind.“

Der Bericht am Ende eines Projekts oder Tests, der alle Ergebnisse zusammenfasst.

„Der Abschlussbericht des Pentests soll spätestens zwei Wochen nach Testende vorliegen.“

Die Person oder Firma, die einen Auftrag erteilt und dafür bezahlt.

„Der Auftraggeber muss vor Testbeginn alle IP-Adressen nennen, die geprüft werden dürfen.“

Die vereinbarte Zeit, in der ein Test stattfinden darf.

„Als Testzeitraum sind die Kalenderwochen 14 und 15 vereinbart.“

Die vereinbarten Uhrzeiten, in denen aktive Tests stattfinden dürfen, zum Beispiel nur nachts.

„Weil der Onlineshop tagsüber die meisten Bestellungen hat, liegt das Testfenster zwischen ein und fünf Uhr nachts.“

Ein einzelnes Ergebnis eines Sicherheitstests, zum Beispiel eine gefundene Schwachstelle.

„Im Abschlussbericht stehen zwölf Befunde, davon zwei mit kritischer Einstufung.“

Die genaue Festlegung, welche Systeme bei einem Sicherheitstest geprüft werden dürfen und welche nicht.

„Ob auch die Mitarbeiter-App zum Testumfang gehört, klären wir beim Kick-off mit dem Dienstleister.“

Der offizielle, meist schriftliche Auftrag an eine Firma, eine bestimmte Arbeit zu erledigen.

„Erst nach der schriftlichen Beauftragung dürfen die Tester mit dem Angriff beginnen.“

Der Weg oder die Methode, über die ein Angreifer in ein System gelangt.

„Als wahrscheinlichsten Angriffsvektor sehen die Tester präparierte Bewerbungsunterlagen per E-Mail.“

Mit klaren Beweisen zeigen, dass etwas wirklich so ist.

„Die Testerin konnte mit zwei Datensätzen nachweisen, dass Kunden fremde Bestellungen abrufen können.“

Eine Person, die Software und Systeme auf Schwachstellen untersucht und diese meldet.

„Ein Sicherheitsforscher aus den Niederlanden hat uns auf die Lücke im Bürgerportal aufmerksam gemacht.“

Ein Angebot eines Unternehmens, externen Forschern für gemeldete Schwachstellen eine Belohnung zu zahlen.

„Über unser Bug-Bounty-Programm sind im ersten Jahr vierzig Meldungen eingegangen.“

Das öffentliche Bekanntmachen von Informationen, zum Beispiel von Details zu einer Schwachstelle.

„Wir haben mit dem Forscher vereinbart, dass die Offenlegung erst nach der Behebung erfolgt.“

Ein realistischer, verdeckter Angriff durch beauftragte Fachleute, der prüfen soll, ob ein Unternehmen Angriffe erkennt und abwehrt.

„Von der Red-Team-Übung wussten nur die Geschäftsführung und die Leiterin der IT-Sicherheit.“

Heimlich durchgeführt, sodass die meisten Beteiligten vorher nichts davon wissen.

„Der verdeckte Test soll zeigen, ob das SOC einen echten Angriff rechtzeitig bemerkt.“

Einen Fehler oder Angriff noch einmal genauso ablaufen lassen, um zu prüfen, ob er wirklich auftritt.

„Mit der Schritt-für-Schritt-Anleitung aus dem Bericht konnten die Entwickler die Lücke sofort nachstellen.“

Ein konkreter Nachweis, zum Beispiel eine Anfrage oder ein kurzes Skript, der zeigt, dass eine Schwachstelle wirklich ausnutzbar ist.

„Bitte legen Sie jedem kritischen Befund einen Proof of Concept bei, damit wir ihn intern prüfen können.“

Eine vertragliche Regelung, nach der jemand für bestimmte Schäden nicht verantwortlich gemacht werden kann.

„Ohne Haftungsfreistellung übernimmt der Dienstleister keine Tests auf Produktivsystemen.“