Infrastructure Pentest

Im Normalfall nicht. Wir stimmen vorab ab, welche Systeme empfindlich sind, und behandeln sie mit besonderer Vorsicht – produktive Steuerungssysteme testen wir zum Beispiel bevorzugt im Wartungsfenster oder gegen ein Testsystem. Aktionen mit spürbarem Risiko führen wir grundsätzlich nur nach ausdrücklicher Freigabe durch. Sie bekommen vorab eine Telefonnummer, unter der Sie den Test jederzeit sofort stoppen lassen können.

Weniger, als die meisten denken. Wir brauchen einen benannten Ansprechpartner auf Ihrer Seite, eine schriftliche Testfreigabe der Systemverantwortlichen und je nach Szenario einen Netzzugang oder ein Testkonto. Den Rest klären wir in einem Vorgespräch von etwa einer Stunde – dort legen wir auch den Umfang fest.

Beides – und der externe Test ist bei uns der häufigste Einstieg. Er beantwortet die Frage, die sich Geschäftsführung, Kunden und Auditoren zuerst stellen: Was erreicht jemand ohne jedes Vorwissen aus dem Internet? Der interne Test knüpft daran an und klärt, wie weit jemand käme, der bereits im Netz ist – etwa nach einer erfolgreichen Phishing-Mail oder über einen kompromittierten Dienstleisterzugang. In der Praxis kombinieren viele Kunden beides: der externe Test bestimmt die Angriffsfläche, der interne die mögliche Schadenshöhe.

Alles, was von außen erreichbar ist und Ihrem Unternehmen zugeordnet werden kann: Webserver und Portale, VPN- und Remote-Access-Gateways, Mailserver, Cloud-Dienste, Verwaltungsoberflächen von Geräten – dazu vergessene Subdomains und Testsysteme aus abgeschlossenen Projekten. Diese Liste stellen wir zuerst selbst zusammen und gleichen sie danach mit Ihnen ab. Sie fällt erfahrungsgemäß länger aus als die, die intern geführt wird, und genau die Einträge, die niemand mehr auf dem Schirm hatte, sind die interessanten.

Ja, das ist einer unserer Schwerpunkte. Steuerungssysteme reagieren empfindlich auf Testverfahren, die in der klassischen IT unproblematisch sind – ein normaler Portscan kann eine ältere SPS zum Absturz bringen. Wir setzen deshalb in OT-Umgebungen passive und protokollspezifische Verfahren ein und trennen sauber zwischen dem, was wir aktiv testen, und dem, was wir nur beobachten.

Nein. Zum Report gehört eine Ergebnisbesprechung, in der wir die Befunde mit Ihrem Team durchgehen und die Reihenfolge der Behebung festlegen. Auf Wunsch prüfen wir die behobenen Punkte in einem Nachtest gezielt noch einmal nach – das ist der übliche Weg, wenn Sie den Nachweis für Kunden oder Auditoren brauchen.