Penetrationstests von Profis

IT-DIRECTOR: Herr Reimers, insbesondere Großunternehmen und Konzerne engagieren professionelle Hacker, um mittels Sicherheits- und Penetrationstests potentielle Schwachstellen in der Unternehmens-IT aufzuspüren. Wie praktikabel ist diese Vorgehensweise in Ihren Augen?
D. Reimers: Das Vorgehen ist nicht nur sehr praktikabel, sondern auch hocheffizient, da als Ergebnis eine Liste von nachweisbaren Schwachstellen erarbeitet wird. Der Kunde erhält sie in einer ausführlichen Dokumentation aufgearbeitet zur Verfügung gestellt und kann sofort die Behebung der Schwachstellen einleiten.

IT-DIRECTOR: Welche Schwachstellen können hiermit in der Regel aufgespürt werden?
D. Reimers: Die identifizierbaren Schwachstellen hängen von dem Szenario des Tests, der zur Verfügung stehenden Zeit und der Kompetenz der durchführenden Mitarbeiter ab. Mindestens werden Schwachstellen in Diensten und Anwendungen gefunden, die auf veralteten Versionen und Fehlkonfigurationen beruhen. In der Königsklasse werden Wege aufgezeigt, wie ein unberechtigter Angreifer auf persönliche Daten der Geschäftsführung zugreifen könnte. Ist das möglich, steigt sofort die Aufmerksamkeit für das Thema IT-Sicherheit im Management.

IT-DIRECTOR: Welche Vorteile kann man sich vom sogenannten „ethischen Hacking“ versprechen? Welche Gefahren bzw. Risiken sind mit solchen Verfahren verbunden?
D. Reimers: Die Vorteile des ethischen Hackings beruhen auf der Tatsache, dass die Ergebnisse der Hacks dem Kunden zusammen mit Maßnahmenvorschlägen zur Behebung der Schwachstellen präsentiert werden. Damit kann die eigene IT die Schwachstellen schnell bewerten und beheben.

Während der Durchführung von Hackings können einzelne Maschinen oder Dienste in ihrer Funktion beeinträchtigt werden. Das ist jedoch eher die Ausnahme. Wird ein Hacking von nicht-ausreichend qualifiziertem Personal durchgeführt, könnten schlimmstenfalls durch die Maßnahme neue Schwachstellen in ein Unternehmensnetz eingebracht werden.

IT-DIRECTOR: Wo finden Sicherheitsverantwortliche die für ihre Zwecke geeigneten Hacker? Und wie können sie sicherstellen, dass sie nicht an den Falschen geraten?
D. Reimers: Der einfachste Weg ist, sich an ein namhaftes Anbieterunternehmen zu wenden. Alternativ kann eine Recherche in veröffentlichten Schwachstellenmeldungen einen Hinweis darauf geben, welche Dienstleister am Puls der Zeit arbeiten.

IT-DIRECTOR: Auf welche „Qualitäten“ sollte man bei der Auswahl der Hacker besonders achten? Inwiefern gibt es in diesem Zusammenhang bereits Zertifizierungen, auf die man achten sollte? Wie sehen „Hacker-Referenzen“ für gewöhnlich aus?
D. Reimers: Aktuell gibt es in Deutschland keine über alle Unternehmensrichtungen anerkannte Hacker-Zertifizierung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifiziert Pentester, die eine Prüfung bei der Institution abgelegt haben. Dies ist in jedem Fall ein guter Indikator. Aus unserer Sicht ist es wichtig, dass die Hacker über eine fundierte Berufserfahrung und eine hohe soziale Kompetenz verfügen. Schließlich müssen die identifizierten Schwachstellen in einem Bericht so vermittelt werden, dass es nicht darum geht eine Abteilung oder sogar einzelne Mitarbeiter für eine Schwachstelle verantwortlich zu machen.

Hacker-Referenzen sind in Deutschland sehr schwierig zu erhalten. Wir selbst haben die Erfahrung gemacht, dass viele Kunden nicht als Referenz genannt werden wollen.

Unternehmen, die einen Penetrationstest durchführen lassen wollen, empfehle ich, ein persönliches Gespräch mit dem Dienstleister zu führen und möglichst viele Fragen zu den geplanten Tests zu stellen. In dem Gespräch wird sehr schnell deutlich, ob ein Unternehmen über eigene Kompetenz verfügt oder der Job womöglich an Freelancer ausgelagert wird.

IT-DIRECTOR: Mit welchen Kosten sind solche Hacking-Aktionen in der Regel verbunden?
D. Reimers: Die Kosten für eine Hacking-Aktion bewegen sich zwischen wenigen tausend Euro für einen externen Test eines kleinen IP-Adressbereichs bis hin zu einem unteren sechsstelligen Eurobetrag für die Analyse eines weltweit agierenden Unternehmens. Wir bieten Initial-Scans für kleine und mittelständische Unternehmen für deutlich unter 10.000 Euro an.

IT-DIRECTOR: Welche gesetzlichen bzw. firmeninternen (Compliance-)Vorgaben müssen bei der Zusammenarbeit mit Hackern beachtet werden?
D. Reimers: Hinsichtlich gesetzlicher Vorgaben ist es wichtig, mit den Hackern die zu untersuchenden Ziele genau abzusprechen und eine geeignete Kommunikationsmatrix aufzubauen. Dies ist notwendig, damit im Falle eines Fehlers die IT-Abteilung schnell reagieren kann. Aus unserer Sicht sollten nicht nur die IT-Manager sondern auch Kernteile der IT-Belegschaft über einen entsprechenden Test informiert werden. Dies verhindert Situationen, in denen sich die Mitarbeiter überprüft fühlen und dann womöglich versuchen, Informationen zu verschleiern. Durch offene Kommunikation können die Ziele einer entsprechenden Maßnahme (effizient Schwachstellen zu finden und passende Maßnahmen abzuleiten) am besten umgesetzt werden.