Muss ein Pentest nur einmal gemacht werden?
Häufig denken Unternehmen, dass ein einziger Pentest vor dem Roll-out eines Systems ausreichend ist. Warum diese Annahme ein Fehler ist.
Penetrationstests sind unverzichtbar, um Schwachstellen in IT-Systemen aufzudecken und gezielt zu beheben. Viele Unternehmen gehen davon aus, dass ein einziger Pentest vor dem Roll-out eines Systems genügt. In diesem Artikel erklären wir, warum diese Annahme ein Fehler ist und wie oft Sie Penetrationstests tatsächlich durchführen sollten, um Ihre Systeme bestmöglich zu schützen.
Schwachstellen frühzeitig identifizieren mit Pentests
Überall dort, wo Informationen ausgetauscht werden, besteht die Gefahr eines unbefugten Zugriffs durch Dritte. Dieses Risiko lässt sich nie vollständig ausschließen. Systematische Tests sind daher ein entscheidendes Werkzeug, um Sicherheitslücken frühzeitig zu erkennen. Sie verschaffen Ihrem Unternehmen einen ganzheitlichen Überblick über potenzielle Angriffsflächen und liefern die nötigen Informationen, um Schwachstellen gezielt zu schließen. Das BSI definiert Penetrationstests als “den kontrollierten Versuch, von „außen” in ein bestimmtes Computersystem bzw. -netzwerk einzudringen, um Schwachstellen zu identifizieren”.
Wie sicher ist sicher genug?
Hohe Kosten für IT-Sicherheit zählen für 61 % der Unternehmen in Deutschland zu den größten Hemmnissen für die Verbesserung der IT-Sicherheit. Entsprechend häufig stellt sich die Frage, wie viele Penetrationstests tatsächlich nötig sind, um ein System abzusichern. Bei einem Penetrationstest versetzen wir uns in die Rolle des Angreifers. Wir spielen systematisch verschiedene Angriffsszenarien durch und prüfen so in der Praxis, ob das System den Angriffen standhält. Wenn ein System einen Penetrationstest durchlaufen hat, wurden alle Sicherheitslücken gefunden und geschlossen. Doch reicht ein einzelner Penetrationstest zu Beginn wirklich aus?
Warum ein Pentest nicht ausreicht
IT-Systeme sind nicht statisch. Webanwendungen werden laufend aktualisiert, ebenso wie mobile Apps oder andere Systeme. Jede Änderung am Code oder an der Konfiguration kann Angreifern neue Einfallstore öffnen. Gleichzeitig entwickeln sich auch die Angriffsmethoden weiter: Eine API, die heute als sicher gilt, kann morgen bereits verwundbar sein.
Pentests decken jedoch nicht nur Sicherheitslücken auf, sondern schärfen auch das Sicherheitsbewusstsein im Team. Schließlich ist der Mensch oft eines der schwächsten Glieder im Sicherheitssystem. Ein ausgeprägtes Bewusstsein für Gefahren ist daher entscheidend für die IT-Sicherheit im Unternehmen. Der größte Feind dabei ist die Routine: Je länger Ihre Mitarbeitenden ohne Zwischenfall oder Pentest arbeiten, desto eher lassen Aufmerksamkeit und Sorgfalt bei Sicherheitsstandards nach.
Wie oft Sie Penetrationstests durchführen sollten
Wie oft sollten Sie also Penetrationstests durchführen? Die Antwort lautet: so häufig, dass entstandene Schwachstellen erkannt werden, bevor sie ausgenutzt werden können. Der ideale Rhythmus hängt von mehreren Faktoren ab. Eine junge Webanwendung, die laufend weiterentwickelt wird, erfordert häufigere Penetrationstests als Systeme mit wenigen Änderungen. Doch selbst bei stabilen Systemen sind regelmäßige Tests im Abstand von maximal einem Jahr unerlässlich, um dauerhaft Angriffen standhalten zu können.
Systematisch und bedarfsbezogen testen
Systematische und effiziente Penetrationstests setzen ein genaues Inventar Ihrer verschiedenen Assets (Datenbanken, Server, Anwendungen) voraus. Damit stellen Sie einerseits sicher, dass keine Assets und somit keine potenziellen Angriffsvektoren übersehen werden. Andererseits können Sie die Assets gezielt kategorisieren und für jede Klasse einen eigenen Testplan erstellen. Durch regelmäßige, engmaschige Wiederholungen stellen Sie sicher, dass neue Schwachstellen erkannt werden, bevor ein Angreifer sie ausnutzen kann.
Regelmäßige Pentests schützen Ihre Assets
Um IT-Systeme im Unternehmen bestmöglich zu schützen, sind regelmäßige Penetrationstests unabdingbar -- das bestätigt auch der Leitfaden des BSI. Denn diese Tests decken Sicherheitslücken auf, deren Ausnutzung erheblichen Schaden verursachen könnte. Grundsätzlich sollten Penetrationstests mindestens einmal jährlich durchgeführt werden. Je nach Art der Assets im Unternehmen sind jedoch engmaschigere Tests sinnvoll. Auch wenn sie eine zusätzliche Investition bedeuten, zahlen sich regelmäßige Penetrationstests langfristig aus: Sie sichern die Zugänge zu den wichtigsten Informationen Ihres Unternehmens.