Penetrationstest für KMU

Was ist ein Penetrationstest?

Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf ein festgelegtes Ziel, zum Beispiel eine Webanwendung, eine API oder ein Netzwerk. Anders als ein automatischer Scan wird er von Menschen durchgeführt: Sie prüfen Anmeldung, Rechte und Geschäftslogik und verketten einzelne Schwächen so, wie es ein echter Angreifer tun würde.

Das Ergebnis ist ein Tiefenbefund zu genau diesem System. Er enthält auch die Fehler, die kein Scanner findet, etwa wenn ein normaler Nutzer durch Ändern einer Nummer in der Adresszeile die Rechnungen eines anderen Kunden sieht. Jedes Finding wird nach CVSS bewertet, nachvollziehbar beschrieben und mit einer konkreten Empfehlung zur Behebung versehen.

Wann braucht ein KMU einen Pentest?

Nicht jedes kleine Unternehmen braucht sofort einen Pentest. Wer seine externe Angriffsfläche noch nie geprüft hat, fängt besser in der Breite an, etwa mit unserer Checkliste zur IT-Sicherheit für KMU. Ein Pentest lohnt sich, wenn eine dieser Situationen zutrifft:

• Ein Kunde verlangt den Nachweis. Größere Auftraggeber, gerade im Umfeld von NIS2, fragen ihre Zulieferer zunehmend nach einem aktuellen Pentest-Bericht für die Systeme, über die Daten ausgetauscht werden.
• Sie betreiben eine eigene Webanwendung oder ein Kundenportal. Wo Kunden sich einloggen, Bestellungen aufgeben oder Dokumente hochladen, entstehen Lücken in der Geschäftslogik, die nur ein manueller Test aufdeckt.
• Ein Security-Check hat etwas gefunden. Zeigt die regelmäßige Breitenprüfung, dass ein einzelnes System auffällig ist, klärt der Pentest, wie tief das Problem wirklich reicht.
• Vor dem Go-live oder nach einem großen Umbau. Eine neue Anwendung, eine Migration in die Cloud oder eine neue Schnittstelle sind der günstigste Zeitpunkt, Fehler zu finden.
• Die Cyberversicherung fragt nach. Versicherer wollen zunehmend belegt sehen, dass Schwachstellen geprüft und behoben werden. Ein datierter Bericht mit Re-Test ist dafür ein belastbarer Nachweis.

Security-Check, Pentest oder Red Teaming?

Die drei Begriffe werden oft durcheinandergeworfen. Sie beantworten aber unterschiedliche Fragen und bauen aufeinander auf:

Deshalb verkaufen wir den Pentest nicht als Einstiegsprodukt. Der Security-Check zeigt, wo sich die Tiefe lohnt, und der Pentest geht dann gezielt dorthin. So bezahlen Sie keine Testtage für Systeme, an denen es nichts zu finden gibt.

Black Box, Grey Box, White Box

Wie viel wir vorab über das Ziel wissen, bestimmt, wie realistisch und wie gründlich der Test wird. Für KMU ist meistens Grey Box die wirtschaftlichste Wahl.

Mögliche Ziele sind eine Webanwendung oder ein Kundenportal, eine API, die externe Infrastruktur mit allem, was aus dem Internet erreichbar ist, oder ein internes Netz mit der Frage, wie weit ein kompromittierter Arbeitsplatz-PC kommt.

So läuft ein Pentest bei uns ab

1. Scoping: Wir legen gemeinsam Ziel, Testart, Rollen, Testzeitraum und Ausschlüsse fest. Daraus ergibt sich ein verbindliches Angebot mit festem Umfang.
2. Schriftliche Freigabe: Ohne unterschriebene Beauftragung und NDA testen wir nichts. Das schützt Sie und uns, denn ein unautorisierter Angriff auf fremde Systeme ist strafbar.
3. Test: Wir prüfen das Ziel manuell und systematisch: Authentifizierung, Rechteeskalation, Geschäftslogik, Eingabevalidierung und die Verkettung einzelner Findings. Kritische Funde melden wir sofort, nicht erst im Bericht.
4. Report und Besprechung: Sie erhalten einen Bericht mit Management-Zusammenfassung, CVSS-Bewertung und nachvollziehbaren Empfehlungen, die wir mit Ihrem Team oder Dienstleister durchgehen.
5. Re-Test: Nach der Behebung prüfen wir die Findings erneut. Erst dann ist der Bericht ein Nachweis dafür, dass die Lücken geschlossen sind.

Was kostet ein Penetrationstest?

Der Preis eines Pentests hängt fast vollständig von der Zahl der Testtage ab, und die ergeben sich aus dem Ziel. Einen seriösen Pauschalpreis ohne Scoping gibt es deshalb nicht. Diese Faktoren bestimmen den Aufwand:

• Größe des Ziels: Eine Anwendung mit zehn Masken ist schneller geprüft als ein Portal mit Rechteverwaltung, Zahlungsfunktion und Dateiupload.
• Zahl der Rollen: Jede Nutzerrolle, zum Beispiel Kunde, Mitarbeiter und Admin, muss auch gegeneinander getestet werden.
• Testart und Testtiefe: White Box findet mehr pro Tag, Black Box braucht mehr Zeit für die Erkundung.
• Re-Tests und Nachweise: Ob ein Re-Test und ein Bericht für Kunden oder Auditoren gebraucht werden.

Den Einstieg machen wir bewusst günstig: Der Quick-Scan ist kostenlos, der regelmäßige Security-Check kostet mit Startup Shield 149 € im Monat. Den Pentest kalkulieren wir danach für genau das System, bei dem es sich lohnt.

Förderung in NRW: Penetrationstests zählen im Landesprogramm MID-Digitale Sicherheit zur förderfähigen Analyse der IT-Sicherheit. KMU mit Sitz in Nordrhein-Westfalen können sich bis zu 50 % bezuschussen lassen, ab 8.000 € Projektvolumen und vergeben per Losverfahren. Details stehen auf der Seite zur NRW-Förderung.

Häufige Fragen zum Pentest

• Stört der Test den laufenden Betrieb?
  In der Regel nicht. Wir stimmen Testzeitraum und Ausschlüsse vorher ab, testen Produktivsysteme schonend und prüfen besonders riskante Funktionen auf Wunsch in einer Testumgebung.
• Wie lange dauert ein Pentest?
  Das hängt vom Ziel ab: Eine überschaubare Webanwendung ist in wenigen Testtagen geprüft, ein Portal mit vielen Rollen braucht länger. Einen verbindlichen Zeitplan mit Testzeitraum und Berichtstermin nennen wir Ihnen zusammen mit dem Angebot.
• Reicht nicht ein automatischer Schwachstellenscan?
  Ein Scan findet bekannte Lücken und veraltete Software. Er erkennt aber nicht, ob ein Nutzer fremde Daten sehen kann oder ob sich zwei harmlose Fehler zu einem Einbruch verketten lassen. Genau dafür gibt es den manuellen Test.
• Wer führt den Test durch?
  Das Team hinter M2 Cybersec stellen wir auf der Seite Das Team vor. Wir sind Teilnehmer der Allianz für Cyber-Sicherheit des BSI.