als Penetrationtester

Penetrationstest, kurz: Pentest, lat. penetrare, durchdringen, fachbezogen: in Computersysteme eindringen.

Sind Ihre Informationen im Unternehmen sicher? Werden elektronische Werbegeschenke unbedacht angenommen? Kennen Sie alle WLAN-Zugänge in Ihrem Unternehmen? Verwenden Sie sichere Kennwörter? Wie verhalten sich Ihre Mitarbeiter bei Anrufen potenzieller Angreifer? Werden Email-Anhänge belanglos geöffnet?

Wir unterziehen in Absprache mit der Geschäftsleitung und ggf. anderen Organen Ihres Unternehmens Ihre Systeme bestimmten Testroutinen. Dabei orientieren wir uns an dem Klassifikationsschema des Bundesamtes für Sicherheit in der Informationstechnik (BSI): Zunächst werden gemeinsam Ziele definiert. Im Anschluss daran erfolgt der Pentest selbst. Die Ergebnisse daraus werden einer Bewertung unterzogen und damit Eindringversuche durchgeführt. Als Abschluss erfolgt ein Bericht mit der Dokumentation gefundener Sicherheitslücken und Schritten für weitere Handlungsempfehlungen.

Die Abstimmung mit dem Führungsboard ist notwendig, da einige Tests zu Straftaten führen können. In erster Linie gilt hier § 202 StGB. Darin ist geregelt, dass das Ausspähen oder Abfangen von Daten sowie die Vorbereitung des Ausspähens oder Abfangens von Daten als Straftatbestand gilt und als Vergehen mit Freiheitsstrafe oder Geldstrafe geahndet wird. Dabei ist auch die Informationsstrategie gegenüber Ihren Mitarbeitern wichtig, da bei Fehlinformation auch Sie in einen Straftatbestand abrutschen können. Außerdem müssen sich alle Objekte im Testfokus unter Ihrer Hoheit befinden und dürfen nicht Eigentum Dritter sein.

Möchten Sie Ihr Computersystem oder Teile davon testen?

Kontaktieren Sie uns.

Beispiel: als Forensiker

Szenario 1: Ein Mitarbeiter verlässt das Unternehmen und sie vermissen unternehmerische Daten? Waren noch Daten auf dem Laptop oder Smartphone des ehemaligen Kollegen? Wurden diese auf dem gemeinsamen Laufwerk abgelegt oder am Ende ohne Sicherung gelöscht? Wir können prüfen, ob sich auf Datenträgern wie Festplatten oder USB-Speichermedien gelöschte Daten befunden haben und schlagen im Nachgang Verbesserungen im Umgang mit diesem Szenario vor.

Szenario 2: Sie möchten herausfinden, ob der IT-Dienstleister, der Ihre PC- und Laptop-Systeme in regelmäßigen Abständen tauscht, die Daten darauf auch sicher löscht? Wir können Stichprobenprüfungen anstellen und herausfinden, ob die Daten auf Leasinggeräten zuverlässig vor dem Versenden gelöscht werden - natürlich mit Dokumentation und abschließendem Bericht.

Beispiel: als Pentester

Szenario 1: Sie möchten wissen, ob WLAN-Netzwerke in Ihren Firmengebäuden aktiv sind, die nicht in der Netzwerkplanung des Unternehmens verzeichnet sind? Wir können herausfinden, ob versteckte WLAN-Systeme aktiv sind und u. U. welchen Zweck diese erfüllen.

Szenario 2: Unter Berücksichtigung vorheriger Absprachen mit der Unternehmensleitung können wir Ihr Netzwerk auf Schwachstellen prüfen und feststellen, ob Zugriffsrechte sinnvoll gesetzt oder ungewollt digitale Türen eingebaut sind, durch die Eindringlinge schlüpfen und Ihr Netzwerk kompromittieren können - und das lange bevor der eigentliche Angriff stattfindet.

Beispiel: Seminare und Kurse

Szenario 1: Bis auf bestimmte Ausnahmen ist eine reale Person - meistens der eigene Mitarbeiter - der Auslöser für die Verbreitung digitaler Schädlinge im Firmennetzwerk. Der Wissenstransfer über die Art und Weise der Verbreitung von Malware muss dem eigenen Mitarbeiter nahegebracht werden. Wir stellen nach bestimmten Kriterien Schulungsbedarfe fest. Am Beispiel müssen Ihre Kollegen in der Personalabteilung (HR), der Buchhaltung, im Einkauf oder Vertrieb intensiver in regelmäßigen Abständen geschult werden.

Szenario 2: An Fallbeispielen lernen die Mitarbeiter, wie sie sich in heiklen Situationen verhalten: Ist ein System infiziert? To-do-Liste: Netzwerkstecker ziehen, Computer nicht ausschalten, IT informieren und weitere Anweisungen abwarten. Doch wo war der Netzwerkstecker und wie entfernt man im Notfall das Netzwerkkabel aus der Dose, ohne diese zu beschädigen? All diese Maßnahmen werden in regelmäßigen Schulungseinheiten geübt.

Beispiel: Sicherheitskonzept

Szenario 1: Ihre Unternehmensstrukturen sind gewachsen? Über einen Zeitraum von mehreren Jahren wurden an Ecken und Enden Server, Computer und Netzwerkkomponenten hinzugefügt? Hier sehen wir uns als Ihr Berater für eine generelle Strategie in Fragen der IT-Sicherheit. Als zertifizierter Informationssicherheitsbeauftragter 27001 finden wir zunächst "Baustellen", die dringend bearbeitet werden müssen. Danach stellen wir die Schutzbedarfe wichtiger Komponenten fest und stimmen mit Ihnen Maßnahmen ab, um im Notfall gewappnet zu sein.

Szenario 2: IT-Sicherheit kann messbar sein! TCO und ROSI sind wichtige Kennzahlen, um die IT-Sicherheit im Unternehmen messbarer zu machen. Hinzu kommen "klassische" Indikatoren wie die Anzahl der geschulten Mitarbeiter, Umsetzung von Maßnahmen oder z. B. der Abdeckungsgrad von Geschäftsprozessen.