Recht und Ethik beim Penetrationstest

Rechtlich gesehen ist es erst einmal mit das Wichtigste, dass alle Parteien über den bevorstehenden Pentest informiert sind und aufgeklärt wurden. Die Zustimmung des Auftraggebers muss schriftlich vorliegen, weil es sich um einen simulierten Angriff handelt. Darin sollte der Umfang möglichst klar und genau beschrieben werden, ebenso wie eventuelle Grenzen oder Bereiche, die explizit vom Penetrationstest ausgenommen sind.

Haftung bei Penetrationstest

Da ein Pentest je nach Umfang sehr tief in die IT-Systeme eingreifen kann, ist es auch wichtig die Haftung für entsprechende Schäden zu klären. Dabei sollten Qualifikationen nachgewiesen und Vertraulichkeiten, Protokollierung etc. auch umfassend besprochen werden. Denn auch wenn ein Penetrationstest gute Ziele verfolgt und von IT-Sicherheitsexperten durchgeführt wird, so sollte der rechtliche Aspekt aufgrund des Umfangs nicht unterschätzt werden.

Wie gelingt der Penetrationstest?

Wenn ein Penetrationstest wirklich Ergebnisse, also tatsächliche Schwachstellen, hervorbringen soll, bedarf es eine sehr genaue und realitätsnahe Durchführung. Dies gelingt nur dann, wenn ethische Hacker den Pentest übernehmen. Dadurch agieren und denken die Angreifer auch wie tatsächliche Hacker, mit dem Unterschied, dass sie einer gewissen Ethik folgen.

Denn anstatt Schaden anzurichten, versuchen Sie Schwachstellen aufzudecken und haben dennoch die Herausforderung des Hackens. Somit wird in IT-Systeme eingedrungen, in die eigentlich kein Eindringen möglich sein sollte.

Warum benötigen Sie einen ethischen Hacker?

Ethische, also gutartige, Hacker braucht es bei einem Penetrationstest zwingend, da nur sie die Dinge betrachten, wie es auch ein potenzieller Hacker sehen würde. Denn nur authentische Hacks können auch aufzeigen, wo Schwachstellen sind, die bösartige Hacker gezielt ausnutzen könnten.

Durch die Ethik des Pentest wird dafür gesorgt, dass trotz der rabiaten Vorgehensweise keine unangenehmen Konsequenzen für Sie entstehen. Es wird dabei besonders sauber und gewissenhaft vorgegangen und eventuelle IT-Dienstleister, die mit dem durchführenden Unternehmen verbunden sind, werden vorab über den Penetrationstest informiert. Gleiches gilt selbstverständlich auch für die eigene IT-Abteilung.

Insgesamt ist die Penetrationstest-Ethik also ein möglichst transparentes Vorgehen mit dem Ziel, gute und verwertbare Ergebnisse zu liefern. Dabei sollten dies keine weiteren Schwachstellen hinzufügen oder für andere Schwierigkeiten sorgen. Allgemein lässt sich also sagen, dass Pentests ethische Hacks sind, die unethische Hacks in der Zukunft verhindern sollen.

Return of Investment (ROI) bei Penetrationstests

Der Return of Investment (kurz ROI) ist ein entscheidender Faktor, wenn es um das Nutzen einer Maßnahme geht. Bei Penetrationstest wirkt es oft so, als sei der Nutzen eben dieser eher gering. Deshalb erscheinen andere Maßnahmen oft deutlich vielversprechender. Doch dies ist ein Trugschluss, denn kaum etwas ist derartig aussagekräftig über die IT-Sicherheit im eigenen Unternehmen.

Was unterscheidet den Penetrationstest von anderen Sicherheitsmaßnahmen?

Der Unterschied zwischen einem Pentest und anderen Sicherheitsmaßnahmen und -prüfungen ist, dass er im Grunde einen realistischen Angriff nachstellt. Dabei ist de Pentest ein kontrolliert Cyberangriff auf die IT-Systeme eines Unternehmens und zeigt deshalb deutlich auf, wo mögliche Schwachstellen liegen, und das besonders authentisch. Dadurch ist der Pentest deutlich weniger theoretisch als vielmehr eine Offenbarung von Sicherheitslücken.

Penetrationstest bieten eine Vielzahl an möglichen Szenarien und unterschiedlich umfangreiche Testmethoden, wodurch sich viele potenzielle Angriffsmethoden sehr genau durchspielen lassen. Somit wird neben möglichen Schwachstellen auch relativ deutlich, wie sicher ein Unternehmen bereits aufgestellt ist.

Dies ist wiederum wichtig, um bei einem tatsächlichen Sicherheitsvorfall hohe Kosten zu vermeiden. Aber auch um Kunden entsprechende Garantien geben zu können und einfach zu zeigen, dass Sie die Sicherheit in Ihrem Unternehmen ernst nehmen.

Der Return of Investment bei Penetrationstest ist in der Regel also deutlich höher als auf den ersten Blick angenommen. Durch die Vielzahl an Vorteilen und der Prävention in Bezug auf Sicherheitslücken ist er sogar außerordentlich hoch und entsprechend als überaus wert- und sinnvoll zu betrachten.