Website-Pentest

Ein Bericht mit dreihundert Funden ist kein Ergebnis, sondern eine neue Aufgabe. Ein Website-Pentest prüft deshalb nicht nur, was theoretisch angreifbar wäre, sondern welche Lücken sich tatsächlich ausnutzen lassen.

Erstgespräch vereinbaren

Der Unterschied zum Schwachstellenscan

Der Unterschied zum Schwachstellenscan
	Schwachstellenanalyse	Website-Pentest
Vorgehen	passives Prüfen auf bekannte Muster	zusätzlich gezielte Angriffsversuche
Ergebnis	lange Liste möglicher Schwachstellen	kurze Liste bestätigter Schwachstellen
Fehlalarme	häufig	ausgesiebt, weil die Ausnutzbarkeit geprüft wird
Aussagekraft	„hier könnte etwas sein”	„hier ist etwas, und so kommt man hinein”
Preis	ab 89 € im Monat	ab 197 € im Monat

Der Unterschied ist keine Frage der Gründlichkeit, sondern der Verwertbarkeit. Ein Scanner meldet, dass eine Software-Version bekannt anfällig ist. Ob die betroffene Funktion in Ihrer Anwendung überhaupt erreichbar ist, sagt er nicht – und genau daran scheitert die Priorisierung. Wer dreihundert Meldungen bekommt, arbeitet keine davon ab.

Wie der Website-Pentest abläuft

Der Einstieg ist Ihre Domain. Von dort werden Subdomains automatisch ermittelt. Das ist regelmäßig der erste Erkenntnisgewinn: Fast jedes Haus betreibt mehr Auftritte, als in der Liste der IT stehen – Kampagnenseiten, alte Testumgebungen, ein Kundenportal aus einem beendeten Projekt.

Alle gefundenen Adressen werden systematisch geprüft, nicht nur die Startseite.

Die gefundenen Schwachstellen werden verifiziert. Es wird gezielt versucht, sie auszunutzen – nur was dabei bestätigt wird, landet im Bericht.

Auf Wunsch folgt die Übersetzung in einen Umsetzungsplan. Der Bericht sagt, was offen ist; der Plan sagt, in welcher Reihenfolge es geschlossen wird und wer es macht.

Ein Hinweis zur Beauftragung: Ein Penetrationstest ist ein Eingriff in ein System. Zulässig ist er nur mit ausdrücklicher Einwilligung des Berechtigten – bei gehosteten Anwendungen gehört der Hoster dazu. Das klären wir vor dem ersten Test, nicht danach.

Was im Bericht steht

Für jede bestätigte Schwachstelle: worum es geht, wo sie sitzt, wie sie sich ausnutzen lässt, was daraus folgen kann und was zu tun ist. Der Nachweis der Ausnutzbarkeit gehört dazu – ohne ihn lässt sich eine Meldung intern nicht durchsetzen.

Der Bericht ist als Unterlage brauchbar: gegenüber der Geschäftsführung, gegenüber einem Kunden, der Nachweise verlangt, und als Beleg der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Warum wiederkehrend statt einmalig

Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit Ihrer Maßnahmen. Ein einmaliger Test erfüllt das nicht – er beschreibt einen Zustand, den es nach dem nächsten Update nicht mehr gibt.

Dazu kommt die Praxis: Webanwendungen ändern sich laufend. Ein neues Plugin, eine geänderte Schnittstelle, eine Bibliothek mit einer frisch bekannt gewordenen Lücke – all das entsteht zwischen zwei Prüfungen. Deshalb ist die Leistung als laufende Prüfung angelegt und nicht als Projekt.

Was auf Ihren Seiten datenschutzrechtlich läuft – Cookies, Tracker, eingebundene Dienste –, ist eine andere Frage und steht unter Web-Compliance.

Preis

Ab 197 € im Monat für den Website-Pentest, ab 89 € im Monat für die Schwachstellenanalyse. Welche der beiden passt, hängt davon ab, ob Sie einen Überblick brauchen oder eine belastbare Aussage.

Wer beides zusammen mit einem Managementsystem betreibt, findet die Konditionen unter externer ISB und Kosten der Informationssicherheit.

Kontakt

Sie wissen nicht, wie viele Auftritte Ihr Unternehmen überhaupt betreibt? Das ist eine gute Frage – und der erste Fund fast jeder Prüfung.