Grenzen des Penetration Testings: Was Unternehmen beachten müssen

Ein Penetration Test kann niemals das gesamte IT-Ökosystem eines Unternehmens abdecken. Tester müssen spezifische Ziele und Bereiche festlegen, wie z. B. bestimmte Anwendungen, Netzwerke oder Systeme. Bereiche, die ausserhalb des Scopes liegen, bleiben ungetestet, was potenziell unerkannte Schwachstellen hinterlassen kann.

Was zu beachten ist:

• Definieren Sie den Scope klar und umfassend, um die wichtigsten Systeme zu berücksichtigen.
• Ergänzen Sie Pen-Tests durch andere Sicherheitsmassnahmen wie Vulnerability Scanning und Red Teaming.

Ein Penetration Test bietet nur eine Momentaufnahme der Sicherheitslage zu einem bestimmten Zeitpunkt. Da IT-Systeme sich ständig ändern – durch Software-Updates, neue Implementierungen oder Konfigurationsänderungen – können Schwachstellen entstehen, die nach dem Test nicht berücksichtigt wurden.

Was zu beachten ist:

• Führen Sie regelmässige Penetration Tests durch, idealerweise mehrmals im Jahr oder nach wesentlichen Änderungen in der IT-Infrastruktur.
• Kombinieren Sie Tests mit kontinuierlichem Monitoring und Sicherheitsbewertungen.

Die Qualität und Effektivität eines Penetration Tests hängt stark von den Kenntnissen und Erfahrungen der Tester ab. Unterschiedliche Tester können unterschiedliche Schwachstellen identifizieren, abhängig von ihrer Expertise und den eingesetzten Tools.

Was zu beachten ist:

• Arbeiten Sie mit erfahrenen und zertifizierten Testern (z. B. OSCP, CEH).
• Prüfen Sie die Methodik und die eingesetzten Tools der Tester im Voraus.

Ein Penetration Test kann Sicherheitslücken aufzeigen, aber er kann nicht garantieren, dass das System nach Abschluss des Tests vollständig sicher ist. Neue Schwachstellen, Zero-Day-Exploits oder Angriffsvektoren, die nicht getestet wurden, bleiben weiterhin ein Risiko.

Was zu beachten ist:

• Implementieren Sie nach jedem Test eine gründliche Nachbereitung und schliessen Sie erkannte Schwachstellen.
• Ergänzen Sie Pen-Testing mit einem ganzheitlichen Ansatz, wie einer Risikobewertung und einem Incident-Response-Plan und IT-Notfallmanagement.
• Cyber-Krisenmanagement ist in jedem Fall notwendig, auch nach Pen-Testing.

Penetration Tester verwenden spezialisierte Tools, um Schwachstellen aufzuspüren. Diese Tools haben jedoch Einschränkungen, da sie oft auf bekannte Schwachstellen oder Standards basieren. Komplexe, spezifische oder Zero-Day-Schwachstellen bleiben möglicherweise unentdeckt.

Was zu beachten ist:

• Verlassen Sie sich nicht ausschliesslich auf automatisierte Tools – manuelle Tests und kreative Ansätze sind ebenfalls entscheidend.
• Nutzen Sie eine Kombination aus Tools und menschlichem Fachwissen für gründlichere Ergebnisse.

Ein Penetration Test kann die normale Funktionalität von Systemen beeinträchtigen, insbesondere wenn echte Angriffsvektoren wie DDoS-Simulationen oder Exploits getestet werden. Unternehmen müssen diese Risiken während der Planung des Tests berücksichtigen.

Was zu beachten ist:

• Führen Sie Tests in kontrollierten Umgebungen oder ausserhalb der Geschäftszeiten durch, um Beeinträchtigungen zu minimieren.
• Erstellen Sie Notfallpläne, falls kritische Systeme während des Tests beeinträchtigt werden.

Penetration Testing bewegt sich oft in einem rechtlich und ethisch sensiblen Bereich, da es aktiv Schwachstellen ausnutzt. Tests ohne klare Zustimmung oder Dokumentation können rechtliche Konsequenzen nach sich ziehen.

Was zu beachten ist:

• Stellen Sie sicher, dass alle Tests durch schriftliche Vereinbarungen (z. B. einen „Rules of Engagement“-Vertrag) abgedeckt sind.
• Halten Sie sich an Compliance-Standards und regulatorische Anforderungen, z. B. DSGVO oder ISO 27001.

• Verteidigung überall erforderlich: Angreifer kann sich schwächste Stelle aussuchen
• Verteidigung nur gegen bekannte Angriffe und Schwachstellen möglich: Angreifer kann nach unbekannten Schwachstellen suchen
• Verteidigung erfordert ununterbrochene Wachsamkeit: Angreifer kann sich Zeitpunkt aussuchen
• Verteidigung muss sich an die Regeln halten: Angreifer kann schmutzige Tricks einsetzen

Penetration Testing ist ein mächtiges Werkzeug, das Unternehmen hilft, ihre Sicherheitslage zu verbessern. Doch seine Grenzen machen deutlich, dass es nur ein Baustein in einer umfassenden Cybersicherheitsstrategie mit Cyber-Krisenmanagement und IT-Notfallmanagement sein kann. Unternehmen sollten Penetration Tests mit anderen Massnahmen kombinieren