Ein Schwach­stel­len­scan ist ein auto­ma­ti­sier­ter Pro­zess, der wie eine Check­lis­te funk­tio­niert. Ein Scan­ner prüft Ihre Sys­te­me auf Tau­sen­de von *bekann­ten* Sicher­heits­lü­cken und lie­fert eine lan­ge Lis­te poten­zi­el­ler Pro­ble­me. Ein Pene­tra­ti­ons­test ist ein manu­el­ler, intel­li­genz­ge­steu­er­ter Pro­zess. Ein mensch­li­cher Exper­te (Ethi­cal Hacker) ver­sucht, die gefun­de­nen Schwach­stel­len *aktiv aus­zu­nut­zen*, sie zu kom­bi­nie­ren und so tief wie mög­lich in Ihre Sys­te­me ein­zu­drin­gen. Der Scan fin­det die “offe­nen Fens­ter”, der Pen­tes­ter ver­sucht, tat­säch­lich hin­durch­zu­klet­tern.

Nein, wenn er von pro­fes­sio­nel­len und erfah­re­nen Exper­ten wie uns durch­ge­führt wird. Vor jedem Pene­tra­ti­ons­test defi­nie­ren wir in enger Abstim­mung mit Ihnen die genau­en Zie­le, den erlaub­ten Rah­men (Rules of Enga­ge­ment) und die Not­fall­kon­tak­te. Unse­re Angrif­fe sind dar­auf aus­ge­legt, Schwach­stel­len nach­zu­wei­sen, ohne Ihre pro­duk­ti­ven Sys­te­me zu beschä­di­gen oder den Geschäfts­be­trieb zu stö­ren. Es ist ein kon­trol­lier­ter und siche­rer Pro­zess.

Wir emp­feh­len, einen umfas­sen­den exter­nen und inter­nen Pene­tra­ti­ons­test min­des­tens ein­mal pro Jahr durch­füh­ren zu las­sen. Zusätz­lich soll­te ein Test immer nach grö­ße­ren Ände­run­gen an Ihrer IT-Infra­struk­tur oder Ihren Anwen­dun­gen erfol­gen (z.B. nach dem Launch einer neu­en Web­an­wen­dung oder einer grö­ße­ren Cloud-Migra­ti­on). Für beson­ders kri­ti­sche Sys­te­me kön­nen auch häu­fi­ge­re, geziel­te Tests sinn­voll sein.