So finden Unternehmen den richtigen Pentest-Anbieter

Das Thema Penetrationstest ist jedem Verantwortlichen und IT-Leiter ein Begriff, der mindestens alle zwei Jahre auf den Tisch kommt. Einerseits dienen diese Überprüfungen dazu, fundierte Entscheidungsgrundlagen zu liefern, andererseits sollen sie sicherstellen, dass die Sicherheitsmaßnahmen gefunden werden, die am besten zu den spezifischen Bedürfnissen und Zielen des Unternehmens passen.

Bevor Sie jedoch den richtigen Pentest-Anbieter auswählen, sollten Sie im Vorfeld Ihre Ziele und Zwecke des Pentests klären. Erstens ist es wichtig, sich über die genauen Erwartungen und gewünschten Ergebnisse klar zu werden. Das ist jedoch oft einfacher gesagt als getan. Genau hier kommt unsere Checkliste und unser Fragebogen ins Spiel. Diese Checkliste hilft nicht nur dabei, die Qualifikationen und Erfahrungen potenzieller Anbieter zu bewerten, sondern stellt auch sicher, dass sie den spezifischen Sicherheitsanforderungen des Unternehmens gerecht werden. Zu den wichtigen Aspekten, die bei der Auswahl eines Penetrationstest-Anbieters berücksichtigt werden sollten, gehören:

Checkliste zur Identifizierung eines passenden Pentest-Anbieters

Empfehlung	Beschreibung	Link
Zweck und Typen des Pentests verstehen	Es ist wichtig, dass Unternehmen verstehen, was ein Penetrationstest ist und welche Arten es gibt. Dazu zählen Netzwerk-, Web- und Anwendungspentests. Unternehmen müssen verstehen, welche Art von Pentest ihre Bedürfnisse erfüllt.	Link
Wurden Alternativen zum Penetrationstest abgewägt?	Im Gespräch mit dem Anbieter sollte geklärt werden, ob der Penetrationstest für den gewünschten Zweck, das richtige Mittel ist. Wurden auch Themen wie ein Cyber-Sicherheits-Checks oder CyberRisikoCheck angesprochen?	Link
Erfahrung und Referenzen des Anbieters überprüfen	Unternehmen müssen sicherstellen, dass der Anbieter über eine Erfolgsbilanz verfügt, relevante Zertifizierungen und angemessene Erfahrung hat. Vor der Beauftragung sollten Unternehmen Referenzen einholen und Kundenfeedback einholen.	Link
Technische Fähigkeiten des Anbieters erfragen	Ein erfahrener Pentest-Anbieter muss über umfassende Kenntnisse in den Bereichen Netzwerkarchitekturen, Firewall-Konfigurationen und anderen Sicherheitsmechanismen verfügen. Erfahrung mit Exploit-Entwicklung, Anwendung der OWASP-Top-10 Sicherheitsbedrohungskategorien und anderen speziellen Techniken sind wichtig.	Link
Arbeit nach internationalen Standards überprüfen	Seriöse Anbieter sind nach international anerkannten Standards zertifiziert und erfüllen die Anforderungen im Bereich Cybersecurity.	–
Klarheit und Aussagekraft der Ergebnisberichte	Der Anbieter sollte klar und präzise die gefundenen Schwachstellen und deren Bedrohungs- und Risikostufe im Report darstellen, um Unternehmen zu unterstützen, geeignete Maßnahmen zur Vermeidung zu ergreifen.	Link
Empfehlungen zur Verbesserung der Cybersecurity und Informationssicherheit	Ein verantwortungsbewusster Anbieter berät auch bei den empfohlenen Maßnahmen zur Verbesserung Ihrer IT-Sicherheit, indem sicherheitsrelevante Schwachstellen beseitigt und das Risiko für Cyberangriffe vermindert werden.	Link
Angebote vergleichen und Kostenvorschläge analysieren	Unternehmen sollten mehrere Angebote einholen und sie sorgfältig analysieren, um sicherzustellen, dass sie einen Pentest-Anbieter finden, der sowohl qualitativ als auch preislich der beste ist.	Link
Strukturiertes und umfassendes Analyseverfahren	Ein professioneller Pentest-Anbieter bietet seinen Kunden ein strukturiertes, sorgfältiges und umfassendes Analyseverfahren und begleitet Unternehmen auf allen Ebenen, Cyber-Risiken zu minimieren.	–

So arbeiten wir bei NESEC

Wir überprüfen die Sicherheit Ihrer IT-Systeme, Webanwendungen und Infrastruktur.

Die Ergebnisse des Penetrationstests stellen wir Ihnen in einem ausführlichen Bericht und einer detaillierten Präsentation zur Verfügung. Diese enthalten eine Übersicht der angewandten Angriffsmethoden, alle identifizierten Sicherheitslücken (falls vorhanden) sowie eine Einschätzung des Gefährdungspotenzials und Empfehlungen zur Verbesserung der Sicherheit Ihrer Systeme. Alle gewonnenen Informationen und Testergebnisse behandeln wir selbstverständlich vertraulich und vernichten sie nach der Übergabe. Um mögliche Funktionsstörungen zu minimieren, bieten wir die Durchführung von Penetrationstests auch außerhalb Ihrer Geschäftszeiten oder am Wochenende an.

Darüber hinaus laden wir Sie ein, an unseren Hacking-Seminaren teilzunehmen, um Risiken besser zu verstehen und selbst Angriffe zu planen und durchzuführen.

Fragebogen zur Vorbereitung Ihres Unternehmens auf einen Penetrationstest

Parallel zur Auswahl des richtigen Pentest-Anbieters können bereits im Vorfeld wichtige Fragen geklärt werden. Diese Fragen helfen dabei, die Ziele und Rahmenbedingungen des Penetrationstests besser zu definieren und sicherzustellen, dass alle relevanten Aspekte berücksichtigt werden. Im Folgenden finden Sie typische Fragen, die in der Vorbereitung zu einem Penetrationstest gestellt werden sollten.

Vorbereitungs-Fragebogen zu einem Penetrationstest

Kategorie	Fragen
Allgemeine Informationen	Wie groß ist Ihr Unternehmen (Anzahl der Mitarbeiter)? Haben Sie bereits Penetrationstests in der Vergangenheit durchgeführt? Wenn ja, wann war der letzte Test?
Ziele des Penetrationstests	Was sind Ihre Hauptziele für den Penetrationstest (z.B. Schwachstellenidentifikation, Compliance, Sicherheitsbewusstsein)? Gibt es spezifische Sicherheitsbedenken oder Bedrohungen, die Sie ansprechen möchten?
Umfang und Umfangsbegrenzung	Welche Systeme, Anwendungen oder Netzwerke sollen getestet werden? Gibt es bestimmte Bereiche oder Systeme, die vom Test ausgeschlossen werden sollen? Welche Testmethoden sollen angewendet werden (z.B. Social Engineering, physische Sicherheit)?
Sicherheitsanforderungen und Compliance	Müssen bestimmte branchenspezifische Compliance-Anforderungen erfüllt werden? Haben Sie spezielle interne Sicherheitsrichtlinien, die beachtet werden müssen?
Technische Details	Welche Betriebssysteme und Technologien werden in Ihrem Unternehmen verwendet? Haben Sie detaillierte Netzwerktopologien und Architekturdiagramme zur Verfügung? Welche Arten von Authentifizierungs- und Autorisierungsmechanismen sind implementiert?
Zeitrahmen und Durchführung	Gibt es einen bevorzugten Zeitrahmen für die Durchführung des Penetrationstests? Können Tests außerhalb der Geschäftszeiten oder am Wochenende durchgeführt werden, um Betriebsstörungen zu minimieren?
Berichterstattung und Nachbereitung	Welche Art von Berichterstattung erwarten / benötigen Sie (z.B. ausführlicher Bericht, Management-Zusammenfassung)? Welche Informationen und Empfehlungen sind für Sie am wichtigsten? Haben Sie ein internes Team, das bei der Behebung der identifizierten Schwachstellen helfen kann?
Vertraulichkeit und Datenschutz	Gibt es spezielle Anforderungen an die Vertraulichkeit der Testergebnisse?
Budget und Kosten	Haben Sie ein festgelegtes Budget für den Penetrationstest? Gibt es zusätzliche Dienstleistungen, die Sie in Betracht ziehen (z.B. Schulungen, regelmäßige Sicherheitsüberprüfungen)?
Erwartungen und Kommunikation	Wie möchten Sie während des Tests über Fortschritte und Zwischenfälle informiert werden? Wer sind die Hauptansprechpartner für den Penetrationstest in Ihrem Unternehmen?