FAQ
Häufige Fragen
Die Fragen, die im Erstgespräch am häufigsten kommen – hier schon vorab beantwortet. Ist Ihre nicht dabei, schreiben Sie mir einfach.
Was genau ist ein Penetrationstest?
Ein Penetrationstest ist ein simulierter Angriff auf Ihre IT-Systeme – durchgeführt mit Ihrer ausdrücklichen Erlaubnis und in einem klar abgesteckten Rahmen. Ziel ist es, Schwachstellen zu finden und ihre tatsächliche Ausnutzbarkeit nachzuweisen, bevor jemand mit schlechteren Absichten dasselbe tut. Am Ende erhalten Sie einen Bericht darüber, was möglich war, wie schwerwiegend das ist und was dagegen zu tun ist.
Worin unterscheidet sich ein Pentest von einem Schwachstellenscan?
Ein Schwachstellenscan ist ein automatisiertes Werkzeug: Es vergleicht gefundene Versionen mit Datenbanken bekannter Lücken und produziert eine Liste – häufig mit vielen Fehlalarmen und ohne Aussage darüber, ob sich ein Fund überhaupt ausnutzen lässt. Beim Pentest kombiniere ich einzelne Schwachstellen zu einem realistischen Angriffsweg und weise nach, was ein Angreifer damit tatsächlich erreichen könnte. Ein Scanner findet die offene Tür, der Pentest zeigt, was dahinter liegt.
Wie lange dauert ein Pentest?
Das hängt vom Umfang ab. Ein externer Infrastrukturtest liegt typischerweise bei drei bis acht Arbeitstagen, ein interner bei fünf bis zehn, ein Webapplikationstest bei vier bis zehn. Dazu kommen ein bis zwei Tage für die Berichtserstellung. Nach dem Erstgespräch bekommen Sie eine konkrete Zeit- und Kostenschätzung.
Was kostet ein Pentest?
Abgerechnet wird nach Aufwand auf Basis eines vorher vereinbarten Festpreises – Sie wissen also vor Beginn, woran Sie sind. Der Preis richtet sich nach der Größe des Testumfangs: Anzahl der IP-Adressen, Domains, Anwendungen oder Netzwerksegmente. Für ein belastbares Angebot brauche ich nur ein kurzes Gespräch über Ihre Umgebung.
Kann ein Pentest meinen Betrieb stören?
Das Risiko lässt sich sehr weit reduzieren, aber nie vollständig ausschließen – deshalb gehen wir offen damit um. Ich verzichte grundsätzlich auf Denial-of-Service-Tests und auf Exploits, die Systeme absehbar zum Absturz bringen. Empfindliche Systeme können wir ausklammern oder in einem Wartungsfenster testen. Während der Testphase bin ich telefonisch erreichbar und breche auf Zuruf sofort ab.
Ist das überhaupt legal?
Ja – mit schriftlicher Beauftragung. Vor jedem Test unterzeichnen wir eine Testerlaubnis, die den Umfang, den Zeitraum und die ausgenommenen Systeme festhält. Ohne dieses Dokument beginne ich keinen Test. Wenn Systeme bei einem externen Dienstleister oder Cloud-Anbieter liegen, kläre ich mit Ihnen, ob dessen Zustimmung zusätzlich erforderlich ist.
Was ist der Unterschied zwischen Black Box, Grey Box und White Box?
Black Box bedeutet: Ich starte ohne jede Information, wie ein außenstehender Angreifer. Bei Grey Box erhalte ich begrenzte Informationen, etwa ein Standard-Benutzerkonto – das ist in den meisten Fällen der sinnvollste Ansatz, weil kein Budget für reine Aufklärungsarbeit verbrannt wird. White Box heißt vollständiger Einblick inklusive Dokumentation und teilweise Quellcode, was die höchste Prüftiefe erlaubt.
Wie oft sollte man testen lassen?
Als Faustregel einmal jährlich sowie zusätzlich nach größeren Änderungen: neue Anwendung, Umzug in die Cloud, Zukauf eines Unternehmens oder eine umfassende Netzwerkumstellung. Sicherheit ist kein Zustand, der einmal erreicht wird – jede Änderung an der Infrastruktur kann neue Angriffswege öffnen.
Was passiert mit den Daten, die beim Test anfallen?
Alle Testdaten, Screenshots und Berichte werden verschlüsselt gespeichert und ausschließlich von mir verarbeitet – es gibt keine Subunternehmer. Der Bericht wird verschlüsselt übergeben. Nach einer vereinbarten Aufbewahrungsfrist lösche ich sämtliche Projektdaten nachweislich. Eine Vertraulichkeitsvereinbarung unterzeichne ich selbstverständlich, auf Wunsch schon vor dem Erstgespräch.
Bekomme ich Unterstützung bei der Behebung?
Der Bericht enthält zu jedem Fund konkrete Handlungsempfehlungen, keine allgemeinen Floskeln. Für Rückfragen Ihres IT-Teams stehe ich nach der Übergabe zur Verfügung, und auf Wunsch stelle ich die Ergebnisse persönlich vor. Die Umsetzung selbst übernimmt Ihre IT oder Ihr Dienstleister – so bleibt die Prüfung unabhängig von der Behebung.
Ist der Nachtest wirklich kostenlos?
Ja. Innerhalb von drei Monaten nach Berichtsübergabe prüfe ich die gemeldeten Schwachstellen erneut und bestätige schriftlich, welche tatsächlich geschlossen sind. Diese Bestätigung ist auch für Audits und Zertifizierungen nützlich. Neue Systeme oder Funktionen, die inzwischen hinzugekommen sind, gehören allerdings nicht zum Nachtest.
Arbeiten Sie auch mit kleineren Unternehmen?
Ja. Ich arbeite sowohl mit kleinen IT-Teams als auch mit großen Konzernen. Gerade im Mittelstand lässt sich mit einem klar zugeschnittenen Testumfang viel erreichen – oft bringt schon ein fokussierter externer Test die wichtigsten Erkenntnisse. Wenn ein Pentest bei Ihnen aktuell nicht das sinnvollste Mittel ist, sage ich Ihnen das im Erstgespräch offen.