Infrastructure Pentest

Im Normalfall nicht. Wir stimmen vorab ab, welche Systeme empfindlich sind, und behandeln sie mit besonderer Vorsicht – produktive Steuerungssysteme testen wir zum Beispiel bevorzugt im Wartungsfenster oder gegen ein Testsystem. Aktionen mit spürbarem Risiko führen wir grundsätzlich nur nach ausdrücklicher Freigabe durch. Sie bekommen vorab eine Telefonnummer, unter der Sie den Test jederzeit sofort stoppen lassen können.

Weniger, als die meisten denken. Wir brauchen einen benannten Ansprechpartner auf Ihrer Seite, eine schriftliche Testfreigabe der Systemverantwortlichen und je nach Szenario einen Netzzugang oder ein Testkonto. Den Rest klären wir in einem Vorgespräch von etwa einer Stunde – dort legen wir auch den Umfang fest.

Beides ist möglich und beantwortet unterschiedliche Fragen. Der externe Test zeigt, was ein Angreifer ohne Vorwissen aus dem Internet erreicht. Der interne Test beantwortet die für Ihr Risiko meist wichtigere Frage: Wie weit käme jemand, der bereits im Netz ist – etwa nach einer erfolgreichen Phishing-Mail oder durch einen kompromittierten Dienstleisterzugang? Wir empfehlen in der Regel den internen Blick, weil dort die größeren Überraschungen liegen.

Ja, das ist einer unserer Schwerpunkte. Steuerungssysteme reagieren empfindlich auf Testverfahren, die in der klassischen IT unproblematisch sind – ein normaler Portscan kann eine ältere SPS zum Absturz bringen. Wir setzen deshalb in OT-Umgebungen passive und protokollspezifische Verfahren ein und trennen sauber zwischen dem, was wir aktiv testen, und dem, was wir nur beobachten.

Nein. Zum Report gehört eine Ergebnisbesprechung, in der wir die Befunde mit Ihrem Team durchgehen und die Reihenfolge der Behebung festlegen. Auf Wunsch prüfen wir die behobenen Punkte in einem Nachtest gezielt noch einmal nach – das ist der übliche Weg, wenn Sie den Nachweis für Kunden oder Auditoren brauchen.