Wir bereiten uns proaktiv auf unseren Urlaub vor, indem wir Kleidung für alle möglichen Wetterumschwünge einpacken. Wir planen proaktiv unseren Wocheneinkauf, damit alle hungrigen Mäuler und vielleicht noch ein paar Überraschungsgäste versorgt werden können. Wir bereiten uns auch im beruflichen Umfeld proaktiv auf Besprechungen vor, indem wir uns mit dem Thema auseinandersetzen, um auf bohrende Fragen eine Antwort zu haben – aber managen wir auch die Informationssicherheit in unserem Unternehmen proaktiv?
Proaktive oder reaktive Sicherheit?
Die klassischen Maßnahmen, um die Assets eines Unternehmens zu schützen, wirken reaktiv:
- Monitoringsysteme lauschen auf Netzwerkverkehrsebene auf Auffälligkeiten, die durch böse Applikationen oder Eindringlinge ausgelöst werden,
- Firewalls blockieren nach einer Infektion unerwünschten Traffic,
- und Schutzmechanismen wie Endpoint Protection verhindern beispielsweise, dass per E-Mail erhaltene, präparierte Dateien tatsächlichen Schaden am Gerät oder im Netz anrichten können.
Aber wäre es nicht besser, wenn brenzlige Situationen wie diese gar nicht erst entstehen würden? Wenn die Mitarbeiter sich auf ihre Arbeit konzentrieren könnten, anstatt ihre Zeit darauf zu verschwenden, Lücken zu stopfen, im Panikmodus forensische Nachforschungen zu betreiben und unangenehm berührt Geschäftspartner über Vorfälle zu informieren?
Penetration Tests
Ein Penetrationstest, auch genannt "Pentest", simuliert einen Cyberangriff auf ein Computersystem, Netzwerk oder eine Webanwendung, um die Sicherheit dessen zu evaluieren. Ziel ist es, Schwachstellen im Voraus zu identifizieren, die von Angreifern ausgenutzt werden könnten, sowie umsetzbare Empfehlungen zur Verringerung dieser Schwachstellen zu geben.
In 77% aller Fälle sind Mängel an Webapplikationen am erfolgreichen Einbruch beteiligt. (Quelle: Positive Technologies, 2020)
39% aller Cyberattacken zielen auf Webapplikationen ab. (Quelle: Forrester, 2021)
In 93% der Fälle schaffen es die Tester, die Schutzmechanismen am Perimeter zu umgehen und so in das interne Netz vorzudringen. (Quelle: Positive Technologies, 2020)
Cyberattacken werden erst nach durchschnittlich 280 Tagen entdeckt und behoben. (Quelle: IBM Data security report, 2020)
Es gibt verschiedene Arten von Penetrationstests, darunter:
- Externe Tests: Diese Art von Test simuliert einen Angriff aus dem Internet, um Schwachstellen zu identifizieren, die von außen ausnutzbar sind.
- Interne Tests: Diese Art von Test simuliert einen Angriff aus dem Netzwerk der Organisation und soll Schwachstellen aufzeigen, die internen Bedrohungen ausgesetzt sind.
- Testen von Webanwendungen: Diese Art von Test konzentriert sich auf die Identifizierung von Schwachstellen in Webanwendungen, wie z. B. SQL-Injection oder Cross-Site-Scripting (XSS)-Angriffe.
Die Durchführung hilft Organisationen dabei, ihre allgemeine Sicherheitslage zu verstehen, und unterstützt diese bei der Einhaltung gesetzlicher Anforderungen wie HIPAA oder PCI-DSS sowie beim Erhalt von Zertifizierungen wie zum Beispiel ISO 27001. Der ultimative Vorteil für ein Unternehmen, das regelmäßig Penetrationstests durchführen lässt, besteht darin, dass dadurch kostspielige Datenschutzverletzungen verhindert und der Ruf des Unternehmens geschützt werden kann.
