Was muss vor dem Pentest feststehen?
Vor einem Pentest sollten das Prüfziel, die betroffenen Systeme und die Zuständigkeiten feststehen. Vor dem Testbeginn werden außerdem die Erlaubnis zur Prüfung und die organisatorischen und technischen Details vereinbart. Für einen Web-App-Pentest kann zusätzlich ein Benutzerkonto erforderlich sein. Diese Checkliste hilft Ihrer IT, die Angaben für das erste Gespräch zusammenzustellen.
Sie müssen dafür noch keinen fertigen Prüfplan ausarbeiten. Halten Sie zunächst fest, welche Entscheidung der Pentest unterstützen soll: Möchten Sie die von außen erreichbare Infrastruktur untersuchen oder eine bestimmte Webanwendung prüfen lassen?
Welchen Test brauchen Sie?
Ein externer Infrastruktur-Pentest richtet den Blick auf extern erreichbare Systeme und Dienste. Ein Web-App-Pentest untersucht eine konkrete Anwendung und ihre Funktionen. Wenn beides relevant ist, sollten Sie die beiden Prüfflächen im Gespräch getrennt beschreiben. Ein Web-App-Test ersetzt nicht automatisch die Prüfung der gesamten externen Infrastruktur.
Der bestehende Vergleich von Web-Pentest und externem Pentest unterstützt die Auswahl. Die technische Einführung in Webtests finden Sie im OWASP-Web-Pentest-Leitfaden.
Was gehört in den Scope?
Der Scope beschreibt, was geprüft werden soll und wo die Prüfung endet. Sammeln Sie die bekannten Zielsysteme und kennzeichnen Sie offene Fragen. Für die Beauftragung ist eine nachvollziehbare Abgrenzung hilfreicher als die pauschale Angabe „unsere gesamte IT“.
- Externe Infrastruktur: bekannte Domains, öffentliche IP-Adressen und erreichbare Dienste nennen.
- Webanwendung: Anwendungsadressen, wichtige Funktionen, Benutzerrollen und gegebenenfalls zugehörige APIs beschreiben.
- Abgrenzung: Systeme Dritter, ausgenommene Bereiche und verfügbare Testumgebungen kennzeichnen und vorab abstimmen.
- Ziel: den Anlass der Prüfung und die benötigte Entscheidungsgrundlage nennen.
Wer gibt den Test frei?
Vor Testbeginn sollten die autorisierten Ziele und die erlaubten Aktivitäten schriftlich abgestimmt sein. Der NIST-Leitfaden SP 800-115 behandelt diese Vorbereitung im Prüfplan und in den Rules of Engagement. Dazu gehören auch Zuständigkeiten und der Umgang mit Zwischenfällen.
Benennen Sie, wer den Test beauftragen und freigeben kann. Beziehen Sie erforderliche Zustimmungen beteiligter Betreiber ein. Klären Sie gemeinsam Testfenster, erreichbare Ansprechpersonen sowie Unterbrechungs- und Abbruchkriterien. Ein interner Wunschtermin ersetzt diese Abstimmung nicht.
Welche Zugänge werden benötigt?
Das hängt von den vereinbarten Prüfaufgaben ab. Sollen Funktionen nach der Anmeldung geprüft werden, sind dafür passende Testzugänge und Benutzerrollen abzustimmen. Ein Test ohne Anmeldung kann nicht ohne Weiteres die Prüfung aller geschützten Funktionen und Berechtigungen ersetzen.
Stimmen Sie den Übermittlungsweg für Zugangsdaten direkt mit dem Prüfteam ab. Für die erste Anfrage genügt eine Beschreibung der Anwendung und ihrer Rollen; Passwörter gehören nicht in eine allgemeine Projektbeschreibung.
Checkliste für das Erstgespräch
- Was soll der Pentest klären und wer verwendet die Ergebnisse?
- Geht es um externe Infrastruktur, eine Webanwendung oder beide Bereiche?
- Welche Adressen, Systeme und Funktionen sind bekannt?
- Welche Bereiche und Systeme Dritter müssen abgegrenzt werden?
- Wer verantwortet Beauftragung, Freigabe und technische Rückfragen?
- Welche Termine, Betriebsbedingungen und Testumgebungen sind zu berücksichtigen?
- Welche Benutzerrollen gibt es und wie kann ein vereinbarter Zugang bereitgestellt werden?
- Wer nimmt an der Berichtsbesprechung teil und verfolgt die Maßnahmen weiter?
Wie beeinflusst Vorbereitung die Kosten?
Vergleichen Sie Angebote anhand desselben Prüfungsumfangs: Zielsysteme, Rollen, zugängliche Funktionen und vereinbarte Ergebnisse sollten nachvollziehbar beschrieben sein. Unterschiedliche Leistungen lassen sich anhand eines Gesamtpreises allein nicht sinnvoll beurteilen. Eine Checkliste ersetzt kein individuelles Angebot. Weitere Fragen zum Aufwand beantwortet die bestehende FAQ zu Pentest-Kosten und Aufwand.
Was nach der Durchführung wichtig wird, erläutert der Ratgeber Pentest-Bericht, Maßnahmen und Retest. Für die Abstimmung Ihres konkreten Vorhabens können Sie den Pentest mit SEC4YOU besprechen.
Quellen und weiterführende Informationen
Fachliche Grundlage: NIST SP 800-115: Technical Guide to Information Security Testing and Assessment, September 2008, Kapitel zur Prüfplanung und Anhang B zu Rules of Engagement. Die konkrete Checkliste ist eine redaktionelle Arbeitshilfe auf Basis dieser Grundlagen. Sie beschreibt keinen verbindlichen Ablauf eines bestimmten Anbieters.
Informationen zur Beauftragung finden Sie auf den bestehenden Seiten zu externen Infrastruktur-Pentests und Web-App-Pentests.