Penetration Testing
Autorisierte Angriffe auf Ihre Systeme — Black, White oder Grey Box, extern wie intern. Mit Bericht nach Schweregrad un…
AnsehenOffensive Services
Vulnerability Scanning
Jeden Tag werden weltweit neue Schwachstellen veröffentlicht. Die meisten betreffen Sie nicht. Einige schon — und die Frage ist nur, ob Sie es vor dem Angreifer erfahren. Ein Schwachstellenscan gleicht Ihre Systeme fortlaufend gegen diese Veröffentlichungen ab und sagt Ihnen, welche davon in Ihrem Haus tatsächlich offen stehen.
01
Die Abgrenzung
Was ein Scan leistet — und wo er aufhört
Ein Scanner arbeitet gegen einen Katalog: bekannte Schwachstellen, veröffentlicht als CVE, bewertet nach CVSS. Er prüft Ihre Systeme gegen diesen Katalog und meldet die Treffer. Das ist gründlich, schnell und lässt sich beliebig oft wiederholen — deshalb ist es das Verfahren der Wahl für die laufende Überwachung.
Was er nicht kann: Ketten bilden. Ein Scanner sieht das ungepatchte Testsystem und das zu großzügige Dienstkonto — aber nicht, dass beides zusammen einen Weg in die Kundendatenbank ergibt. Dafür braucht es einen Menschen, der Ihr Haus versteht. Das ist die Aufgabe des Penetrationstests.
Die beiden Verfahren stehen deshalb nicht zur Wahl, sondern nebeneinander: der Scan hält die Grundhygiene das ganze Jahr über aufrecht, der Test prüft ein- bis zweimal jährlich, was der Scan grundsätzlich nicht sehen kann. Wer nur testet, ist elf Monate blind. Wer nur scannt, findet nie die interessanten Fälle.
02
Der Umfang
Was wir prüfen
01
Ein Scan ist nur so gut wie sein Sichtfeld. Wir setzen deshalb an vier Stellen an — und beginnen mit der Bestandsaufnahme, denn was niemand kennt, prüft auch niemand.
02
Die Außenhaut
Alles, was von außen erreichbar ist: Webserver, Mailserver, VPN-Zugänge, offene Verwaltungsschnittstellen. Regelmäßig finden wir hier Systeme, von denen im Haus niemand mehr wusste — die Testinstanz von vorletztem Jahr, die Subdomain einer eingestellten Kampagne.
03
Das Innennetz
Von innen sieht die Lage anders aus. Wir scannen mit Anmeldedaten, nicht nur von außen dagegen: erst der angemeldete Scan sieht den tatsächlichen Patch-Stand, installierte Software und Fehlkonfigurationen. Ein Scan ohne Zugangsdaten rät.
04
Webanwendungen
Eigene und zugekaufte Anwendungen werden gesondert geprüft — gegen die üblichen Fehlerklassen und gegen bekannte Lücken in eingesetzten Bibliotheken. Gerade die Abhängigkeiten sind der blinde Fleck: Ihre Anwendung ist aktuell, das Rahmenwerk darunter nicht.
05
Cloud-Konfiguration
In der Cloud entstehen die meisten Vorfälle nicht durch Lücken, sondern durch Einstellungen: ein offener Speicher, eine zu weit gefasste Berechtigung, eine Sicherheitsgruppe für alle Adressen. Diese Prüfung läuft gegen die Vorgaben der Anbieter und gegen Ihre eigenen.
03
Das eigentliche Problem
Warum die meisten Scanberichte ungelesen bleiben
Ein Scanner findet in einem mittelgroßen Netz ohne Weiteres mehrere tausend Befunde. Legt man diese Liste unbearbeitet auf den Tisch, passiert zuverlässig nichts: Sie ist zu lang, zu technisch, und sie sagt nicht, womit anzufangen wäre. Der Bericht wandert in den Ordner, und beim nächsten Scan steht dasselbe darin.
Wir liefern deshalb keine Rohliste. Jeder Befund wird gegen Ihre Lage bewertet: Ist das System von außen erreichbar? Verarbeitet es schützenswerte Daten? Gibt es einen bekannten Ausnutzungscode? Eine kritisch eingestufte Lücke auf einem abgeschotteten Testsystem ist weniger dringend als eine mittlere auf dem Zahlungsserver — der Katalogwert allein sagt das nicht.
Was übrig bleibt, ist eine Liste, die sich abarbeiten lässt. Fehlalarme prüfen wir vorher heraus, statt sie Ihnen zu überlassen.
Nur wer misst, sieht die Richtung
Der Ablauf
Vom Befund zur behobenen Schwachstelle
Was passiert, wenn ein Scan etwas Ernstes findet — sagen wir eine kritische Lücke in Ihrem Shop? Kein Anruf um Mitternacht, sondern ein Ablauf, den beide Seiten kennen.
- täglich
- automatischer Abgleich der Außenhaut
- wöchentlich
- vollständiger Scan des Innennetzes
- 24 Stunden
- Meldefrist bei kritischen Funden
- 1–2×
- Penetrationstest im Jahr ergänzend
- 01
Meldung — bei kritischen Funden noch am selben Tag, mit dem betroffenen System, der Lücke und einer Einschätzung, wie dringend es ist.
- 02
Einordnung — was der Fund für Ihr Geschäft bedeutet: welche Daten betroffen wären, welche Prozesse stillstünden, ob es bereits ausgenutzt wird.
- 03
Anleitung — der konkrete Weg zur Behebung, für Ihre Umgebung beschrieben. Nicht der Verweis auf einen Herstellerhinweis, sondern die Schritte.
- 04
Nachscan — nach der Behebung wird gezielt nachgeprüft. Erst dann gilt der Befund als geschlossen.
- 05
Vorbeugung — wo dieselbe Klasse von Fehlern wiederkehrt, sprechen wir über die Ursache statt über den Einzelfall.
04
Compliance
Was der Nachweis wert ist
NIS2 und ISO 27001 verlangen beide ein geregeltes Schwachstellenmanagement — nicht nur das Scannen, sondern den nachweisbaren Umgang mit dem Ergebnis. Genau das entsteht hier nebenbei: eine lückenlose Historie, wann was gefunden, bewertet, behoben und nachgeprüft wurde.
Wer diese Historie in eine Gesamtlage einordnen möchte, findet sie in Sightadel unter den Domänen Netzwerk und Endpoint wieder. Der Security Score bildet die Entwicklung über die Zeit ab — für Auditoren, Versicherer und die eigene Geschäftsführung dieselbe Zahl.
05
Zum Schluss
Bekannte Lücken sind die günstigsten Lücken
Die überwiegende Mehrheit erfolgreicher Angriffe nutzt keine unbekannte Schwachstelle, sondern eine, für die es seit Monaten eine Behebung gibt. Das ist die schlechte Nachricht — und zugleich die gute: Dieser Teil des Risikos lässt sich mit vertretbarem Aufwand abtragen, lange bevor es um die schwierigen Fälle geht.
Sprechen Sie mit uns über Umfang und Takt. Für den ersten Scan der Außenhaut brauchen wir nichts weiter als Ihre Domains.
FAQ
Häufige Fragen
Was ist der Unterschied zum Penetrationstest?
Der Scan prüft automatisiert gegen einen Katalog bekannter Schwachstellen und läuft laufend. Der Penetrationstest ist Handarbeit, findet Ketten und Fehler in der Geschäftslogik, die in keinem Katalog stehen — und ist entsprechend aufwendiger. Sinnvoll ist beides: der Scan als Dauerbetrieb, der Test ein- bis zweimal jährlich.
Stört der Scan den laufenden Betrieb?
Im Normalfall nicht. Scans der Außenhaut laufen mit gedrosselter Geschwindigkeit, interne Scans nach Absprache außerhalb der Hauptzeiten. Für empfindliche Systeme — ältere Steuerungen, medizintechnische Geräte — vereinbaren wir schonende Verfahren oder nehmen sie aus dem automatischen Lauf heraus.
Warum brauchen Sie Zugangsdaten für den internen Scan?
Ohne Anmeldung sieht der Scanner nur, was ein System nach außen zeigt, und schließt daraus auf die Fassung. Das erzeugt Fehlalarme in beide Richtungen. Angemeldet liest er den tatsächlichen Stand aus. Die Konten brauchen nur Lesezugriff und werden nach dem Scan wieder gesperrt.
Wie gehen Sie mit Fehlalarmen um?
Wir prüfen sie vor der Übergabe heraus. Was Sie bekommen, ist bestätigt. Ein Bericht, in dem jeder dritte Eintrag falsch ist, kostet Ihr Team mehr Zeit als er spart — und sorgt dafür, dass beim nächsten Mal keiner mehr hinsieht.
Können wir nur die von außen erreichbaren Systeme scannen lassen?
Ja, und das ist der übliche Einstieg. Dafür genügen Ihre Domains, es ist nichts zu installieren. Die interne Prüfung lässt sich später ergänzen, wenn der Nutzen sichtbar geworden ist.
Offensive Services
Weitere Leistungen in diesem Bereich
Kontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.