08 Dez Schwachstellen aufdecken: Penetrationstests im Fokus

Viele Unternehmen haben sich bereits umfassend mit den Gefahren auseinandergesetzt, die mit der Nutzung von Informationstechnologie einhergehen. Um diesen Gefahren angemessen zu begegnen, werden technische Sicherheitsmaßnahmen ergriffen, Sicherheitsstrategien formuliert und Mitarbeiter weitergebildet. Doch egal wie umfassend Sicherheitsmaßnahmen umgesetzt werden, einen vollständigen Schutz gibt es nicht. So wie sich auch Sicherheitsstrategien weiterentwickeln, entwickeln sich bekanntlich auch die Verfahren und Vorgehensweisen von Kriminellen weiter.

Auch wenn 100%-ige Sicherheit ein unerreichbares Ziel darstellt, können Unternehmen mit diversen Mitteln dazu beitragen, das Sicherheitsniveau stetig zu verbessern. Eine immer beliebter werdende Methode ist die Durchführung von Penetrationstests, oft auch nur Pentests genannt.

Bei diesen Pentests werden die Systeme und Sicherheitsstrategien auf Herz und Nieren geprüft und potenzielle Sicherheitslücken identifiziert.

Die Grundidee von Penetrationstests: Schwachstellen gibt es immer, nur sind diese oft schlicht nicht bekannt

In den letzten Jahren konnten zahlreiche Sicherheitslücken erfolgreich geschlossen werden. Dies erfolgte jedoch häufig erst im Nachgang von Angriffenoder nachdem derartige Lücken mediale Aufmerksamkeit erfuhren. Trotz des Schadens, der dabei entstanden ist, führten derartige Angriffe jedoch dazu, dass sich Unternehmen und Entwickler immer intensiver mit der Sicherheit ihrer Systeme auseinandersetzten.

Die Durchführung von Penetrationstests erfolgt auf dem Grundgedanken, dass man sich nicht auf die theoretisch unterstellte Sicherheit verlassen sollte, sondern diese gezielt einer Prüfung unterzieht. IT-Fachkräfte und auch IT-Forensiker wie das Team von DigiFors agieren im Rahmen solcher Penetrationstests wie Hacker:

• Im Rahmen solcher Pentests wird versucht, mit allen Mitteln die Sicherheitssysteme zu durchbrechen und zumindest theoretisch einen Schaden anzurichten.

• Durch die kontrollierte Testumgebung wäre das erfolgreiche Eindringen im Rahmen eines Pentests nicht mit finanziellen Schäden oder auch Reputationsschäden verbunden. Stattdessen können mitunter unbekannte Sicherheitslücken identifiziert und geschlossen werden.

• Jene Personen, die im Rahmen eines Pentests als Test-Hacker in Erscheinung treten, können entweder auf ganz konkrete Vorgehensweisen und Ziele gebrieft werden oder auch sich selbst überlassen zu werden.

In welchem Umfang Penetrationstests stattfinden, variiert stark. Genutzt werden derartige Tests aber mittlerweile sowohl von Unternehmen als auch von Entwicklern. Mitunter finden Penetrationstests auch öffentlich statt. Warum die Beteiligung einer breiten Öffentlichkeit vorteilhaft sein kann, erklären wir im nächsten Abschnitt.

Öffentliche Penetrationstests: Wer erfolgreich ist, wird belohnt

Den Grundgedanken hinter Pentests haben wir im vorherigen Artikel dargelegt. Auch wenn diese Vorgehensweise wertvolle Erkenntnisse mit sich bringt und eine Prüfung der eigenen Sicherheitssysteme erläutert, ist die Aufdeckung aller potenziellen Risiken nicht gewährleistet. Aufgrund der Komplexität und der schieren Anzahl von Systemen, Programmiersprachen und Techniken, ist es bei kleinen Pentests gar nicht möglich, von einer vollständigen Aufdeckung möglicher Risiken auszugehen.

Um den Erkenntnisgewinn aus einem Penetrationstest zu steigern, ist es nützlich, so viele Penetrationen wie möglich kontrolliert zu erlauben. Aus diesem Grund gab es in der Vergangenheit bereits Pentests von weltbekannten Softwareherstellern, an denen theoretisch jeder teilnehmen konnte. Um IT-Fachleute aus der ganzen Welt zur Teilnahme zu motivieren, wurden erfolgreiche und großzügige Belohnungen in Aussicht gestellt.

• Da IT-Experten und Expertinnen häufig auf bestimmte Programmiersprachen und Anwendungen spezialisiert sind, können durch die Einbindung möglichst vieler Individuen auch möglichst viele Strategien und Herangehensweisen bei einem Pentest getestet werden. Es überrascht also nicht, dass Pentests immer öfter auch bereits in den Anfangsstadien der Entwicklung gezielt eingesetzt werden.

Die IT-Experten von DigiFors unterstützen Unternehmen gezielt bei der Planung, Ausführung und Analyse solcher Tests und begleiten dabei auch die Umsetzung von Veränderungen, die sich aus diesen Tests als nötig herausstellen.

Pentests als fester und wiederkehrender Bestandteil der IT-Sicherheitsstrategie

Eine Besonderheit der Informationstechnologie ist deren Dynamik. So werden nicht nur immer mehr Unternehmensbereiche vom digitalen Wandel erfasst, sondern auch bereits verwendete Softwarelösungen. Zwar lässt sich feststellen, dass die meisten Veränderungen auch mit einer Erhöhung des generellen Sicherheitsniveaus einhergehen, allerdings können Veränderungen auch neue Türen für Hacker öffnen.

Je nach Größe eines Unternehmens und den konkreten IT-Risiken können regelmäßig durchgeführte Pentests ein wichtiger Bestandteil der eigenen IT-Sicherheitsstrategie sein. Da, wie zuvor bereits betont, 100%-ige Sicherheit nicht möglich ist, wird so zumindest konsequent dazu beigetragen, so sicher wie möglich zu agieren.

DigiFors unterstützt seine Kunden nicht nur bei der Durchführung und Analyse von Penetrationstests, sondern auch dabei, die eigenen Mitarbeiter für die Durchführung solcher Tests zu schulen und generell für Sicherheitsrisiken zu sensibilisieren. Da IT-Sicherheit zu unseren Kernkompetenzen gehört, sind unsere Kolleginnen und Kollegen natürlich immer bestens informiert was neue Entwicklungen, Updates und natürlich auch Risiken angeht.

Durch die enge Kommunikation mit unseren Kunden ermöglichen wir es Ihnen, sich auf Ihre Kernkompetenzen zu konzentrieren und immer dann, wenn Bedarf besteht, auf die Hilfe eines kompetenten Dienstleisters zurückgreifen zu können. Sprechen Sie uns jederzeit an. Gern erörtern wir mit Ihnen persönlich, wie Penetrationstests in Zukunft Ihrem Unternehmen dabei helfen, so sicher wie möglich zu agieren und sensible Daten vor unbefugten Zugriffen zu schützen.