„Wir möchten unsere Anwendung einem Penetrationstest unterziehen. Bitte senden Sie uns ein Angebot.“ Diejenigen, die solche Anfragen stellen, gehen davon aus, dass sie dem zu beauftragenden Unternehmen alle erforderlichen Informationen übergeben haben. Es wirkt ja auch so: Es ist klar, um was für ein Ziel es geht, es ist vermeintlich klar, welche Dienstleistung gemeint ist, nun fehlt nur noch ein Preis. In der Praxis ist die Anfrage aber ungefähr so exakt wie die Bestellung: „Wir hätten gerne ein Fahrzeug, was kostet das?“ Hier ist völlig ungeklärt, ob es sich um ein ferngesteuertes Auto oder einen 40-Tonner handelt.

Für eine ordentliche Kalkulation eines sinnvollen Aufwands für eine Anwendungsprüfung müssen viele Fragen beantwortet werden, zum Beispiel: Wie komplex ist die Anwendung? Wie umfangreich ist die Anwendung? Welche Anwendungsteile sollen geprüft werden? Aus welcher Perspektive? Erhalten die Tester Zugangsdaten? Welche Benutzerrollen existieren? Soll das Rollen- und Rechtemodell überprüft werden? Darf eine gefundene Schwachstelle ausgenutzt werden? Sind automatisierte Prüfungen erlaubt? Gibt es Schutzsysteme, die den Test beeinflussen? Wie viel Zeit steht zur Verfügung? Erst die Antworten auf solche Fragen bestimmen, wie, was und in welchem Umfang tatsächlich geprüft wird.

Das Problem ist, dass die bislang verfügbaren Dokumente von BSI, NIST und anderen Organisationen entweder relativ kurz gehalten, nur auf Technik fokussiert oder deutlich veraltet sind. Im deutschsprachigen Raum ist die BSI-Studie „Penetrationstest“ aus dem Jahr 2003 – mit dem Hinweis von 2020, dass das Dokument noch aktuell sei – sicherlich eine der Referenzen überhaupt. Insbesondere die Klassifikationsmatrix in Kapitel 3.4 wird in vielen Ausschreibungen als vermeintliche Definition von Penetrationstests herangezogen.

Das war die Leseprobe unseres heise-Plus-Artikels "Prüfleistungen für die IT-Sicherheit: Was zu einem Penetrationstest gehört". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.