// HEISE ONLINE — MOBILE & WEB
heise+ | Prüfleistungen für die IT-Sicherheit: Was zu einem Penetrationstest gehört
Eine neue Handreichung des Bundesverbands IT-Sicherheit TeleTrusT will klären, was Auftraggeber bekommen, wenn sie einen Penetrationstest bestellen.
„Wir möchten unsere Anwendung einem Penetrationstest unterziehen. Bitte senden Sie uns ein Angebot.“ Diejenigen, die solche Anfragen stellen, gehen davon aus, dass sie dem zu beauftragenden Unternehmen alle erforderlichen Informationen übergeben haben. Es wirkt ja auch so: Es ist klar, um was für ein Ziel es geht, es ist vermeintlich klar, welche Dienstleistung gemeint ist, nun fehlt nur noch ein Preis. In der Praxis ist die Anfrage aber ungefähr so exakt wie die Bestellung: „Wir hätten gerne ein Fahrzeug, was kostet das?“ Hier ist völlig ungeklärt, ob es sich um ein ferngesteuertes Auto oder einen 40-Tonner handelt.
Für eine ordentliche Kalkulation eines sinnvollen Aufwands für eine Anwendungsprüfung müssen viele Fragen beantwortet werden, zum Beispiel: Wie komplex ist die Anwendung? Wie umfangreich ist die Anwendung? Welche Anwendungsteile sollen geprüft werden? Aus welcher Perspektive? Erhalten die Tester Zugangsdaten? Welche Benutzerrollen existieren? Soll das Rollen- und Rechtemodell überprüft werden? Darf eine gefundene Schwachstelle ausgenutzt werden? Sind automatisierte Prüfungen erlaubt? Gibt es Schutzsysteme, die den Test beeinflussen? Wie viel Zeit steht zur Verfügung? Erst die Antworten auf solche Fragen bestimmen, wie, was und in welchem Umfang tatsächlich geprüft wird.
Das Problem ist, dass die bislang verfügbaren Dokumente von BSI, NIST und anderen Organisationen entweder relativ kurz gehalten, nur auf Technik fokussiert oder deutlich veraltet sind. Im deutschsprachigen Raum ist die BSI-Studie „Penetrationstest“ aus dem Jahr 2003 – mit dem Hinweis von 2020, dass das Dokument noch aktuell sei – sicherlich eine der Referenzen überhaupt. Insbesondere die Klassifikationsmatrix in Kapitel 3.4 wird in vielen Ausschreibungen als vermeintliche Definition von Penetrationstests herangezogen.
Im Martial-Arts-Spektakel von Kenji Tanigaki hauen sich Darsteller aus The Raid mit Hämmern auf die Zwölf. Wie weh tut das auf Blu-ray, UHD und im Stream?
AnythingLLM liest Dokumente ein und gibt mit einem KI-Chat Antworten dazu. Dabei bleiben Daten und LLM lokal und so vollständig unter Ihrer Kontrolle.
Mobilfunk und Satellit gelten manchen als Glasfaserersatz. Wir rechnen nach, was 5G, LTE und Starlink wirklich liefern – und für wen sie taugen.
Uhren auf Basis von Atomkernen könnten die Zeit um Größenordnungen präziser messen als Atomuhren. Nun tickt die erste Atomkernuhr einen ganzen Tag ohne Hilfe.
Die Fairphone Fairbuds 2 sollen besser klingen und einiges besser machen als der Vorgänger – trotz niedrigeren Preises. Der Test zeigt, wie gut das gelingt.
Tipps von der Ergonomie-Expertin: Wie Sie entspannt am Schreibtisch arbeiten, Belastungen reduzieren und Ihre Gesundheit erhalten – ein Interview.