Cybersecurity-Wissen · Redaktion 360digital ·
Pentest vorbereiten: Die Checkliste für Schweizer KMU
Ein guter Pentest beginnt vor dem ersten technischen Test. Wenn Ziele, Kontaktwege und Testdaten fehlen, wird der Bericht entweder zu eng oder unnötig riskant. Diese Checkliste hilft Geschäftsführung, IT und Dienstleistern, einen prüfbaren Auftrag zu formulieren und die Ergebnisse anschliessend in Verbesserungen zu übersetzen.
Ziel und Bestand aufnehmen
Formulieren Sie zuerst eine konkrete Frage: Soll ein neues Kundenportal vor dem Release geprüft werden? Sollen API-Berechtigungen zwischen Mandanten korrekt greifen? Oder soll die externe Angriffsfläche eines Standorts inventarisiert werden? Aus der Frage ergeben sich Umfang, Testtiefe und passende Testkonten. Eine allgemeine Bitte um einen "Sicherheitscheck" erzeugt dagegen schwer vergleichbare Ergebnisse.
Erstellen Sie eine aktuelle Liste der Domains, URLs, APIs, mobilen Apps, Cloud-Dienste und externen Anbieter. Markieren Sie Produktions- und Testumgebungen sowie bekannte Wartungsfenster. Halten Sie Datenflüsse, Rollen und besonders schützenswerte Funktionen fest. Geben Sie keine langfristigen Produktionsgeheimnisse vorab weiter. Benötigte Testzugänge oder kurzlebige Tokens werden separat, befristet und über einen vereinbarten sicheren Kanal bereitgestellt; Testkonten erhalten passende Rollen und künstliche Datensätze.
- Scope mit Besitzer, Umgebung, Version und Ausschlüssen je System.
- Testkonten für Gast, Standardnutzer und privilegierte Fachrolle anlegen.
- Rate-Limits, Lastgrenzen und produktionskritische Vorgänge ausdrücklich beschreiben.
Sicher testen lassen
Die Beauftragung regelt, wer testen darf, wann getestet wird und wie ein Abbruch ausgelöst wird. Anbieter und Cloud- oder Hostingpartner müssen über die erlaubten Aktivitäten informiert werden, soweit deren Regeln das verlangen. Benennen Sie eine Person, die während des Fensters erreichbar ist, und einen Ersatz. Definieren Sie, wie ein kritischer Befund sofort gemeldet wird, ohne auf den Abschlussbericht zu warten.
Legen Sie fest, wie mit versehentlich sichtbaren Personen- oder Kundendaten umzugehen ist: nicht weiter lesen, Zugriff dokumentieren, Kontakt aufnehmen und Material sicher löschen. Produktionsänderungen, dauerhafte Konten und unkontrollierte Last gehören nicht in einen Standard-Pentest. Ein Test kann Risiken zeigen, aber er beseitigt sie nicht automatisch und beweist keine vollständige Sicherheit.
- Notfalltelefon und Abbruchkriterium vorab verifizieren.
- Keine echten Zahlungs-, Gesundheits- oder Personaldaten als Testdaten verwenden.
- Befundformat, Beweismittel, Risikomethode und Nachtest im Vertrag festlegen.
Bericht in Arbeit übersetzen
Hypothetisches Beispiel: Ein KMU führt ein neues B2B-Portal ein. Der Scope enthält die öffentliche Weboberfläche, die dokumentierte API und drei Rollen. Der Pentest stellt fest, dass eine Rolle eine fremde Bestellnummer abrufen kann. Die technische Korrektur allein genügt nicht: Das Team prüft auch Protokollierung, bestehende Datenzugriffe und die Korrektur in einer zweiten Version. Ein abgestufter Nachtest bestätigt nur die behobenen Befunde; er ersetzt keine neue Prüfung nach grossen Architekturänderungen.
Vor dem Start sollte die Geschäftsleitung wissen, welche Entscheidungen der Bericht unterstützt und welches Restrisiko akzeptiert wird. Nach dem Bericht gehören Befunde in ein internes Massnahmenregister mit Eigentümer, Termin, Abhängigkeiten und Nachweis. Die wichtigste Frage ist nicht, wie viele Probleme gefunden wurden, sondern ob die kritischen Wege verstanden und verlässlich geschlossen sind. Ein kurzer Abschluss mit den betroffenen Produktverantwortlichen verhindert, dass technische Befunde ohne Priorität liegen bleiben. Der Nachweis kann ein korrigierter Testfall, eine Konfigurationsprüfung oder ein begründeter Entscheid sein. Planen Sie auch die Kommunikation ein: Ein kritischer Befund braucht eine verständliche Kurzfassung für die Leitung und technische Details für die Behebung. Vermeiden Sie eine Verteilung sensibler Belege an grosse Verteiler. Nach dem Nachtest wird vermerkt, welche Annahme bestätigt wurde und welche Fragen offen bleiben.
Häufige Fragen
Wie lange dauert die Vorbereitung?
Das hängt von Umfang und Lieferanten ab. Eine kleine Webanwendung lässt sich oft mit Inventar, Testkonten und Notfallkontakt vorbereiten; komplexe Umgebungen benötigen mehr Abstimmung.
Brauchen wir Produktionszugriff?
Nicht automatisch. Eine realistische Testumgebung mit künstlichen Daten ist meist sicherer. Wenn Produktion erforderlich ist, müssen Grenzen, Monitoring und Stop-Regeln ausdrücklich festgelegt werden.
Wie oft sollte nachgetestet werden?
Nach der Behebung eines relevanten Befunds und nach Änderungen am betroffenen Pfad. Der Nachtest bestätigt nur seinen definierten Umfang.
Von der Orientierung zur konkreten Prüfung
Webanwendungen und APIs gezielt prüfen: Anmeldung, Rollen, Mandantentrennung und Geschäftslogik. Klarer Prüfumfang und nachvollziehbare Befunde.
Webapp & API Pentest: Leistung ansehen ↗Quellen und fachliche Orientierung
Die verlinkten Fachquellen erläutern die zugrunde liegenden Konzepte. Checklisten und Planungsbeispiele sind redaktionelle Orientierung für KMU; sie ersetzen keinen auf Ihre Umgebung abgestimmten Prüfauftrag.