Sicherheitsaudit und Penetrationstests

Was ist ein Sicherheitsaudit – und wann brauchen Unternehmen es?

Ein Sicherheitsaudit prüft Architektur, Konfiguration und Code systematisch auf Schwachstellen und bewertet, wie gut Ihre IT-Sicherheit realistischen Angriffen standhält. Sinnvoll ist es vor dem Go-Live kritischer Systeme, bei Compliance-Anforderungen wie NIS2 und DSGVO sowie immer dann, wenn sensible Daten verarbeitet werden. Ziel ist kein Häkchen auf einer Liste, sondern ein klares, priorisiertes Bild Ihres tatsächlichen Risikos.

Wir betten Audits in unseren übergreifenden Ansatz zur IT-Sicherheit ein: von Security by Design in der Entwicklung bis zu den technischen DSGVO-Maßnahmen, die personenbezogene Daten schützen.

Sicherheitsaudit vs. Penetrationstest: der Unterschied

Das Sicherheitsaudit ist die breitere Prüfung von Prozessen, Konfiguration und Code. Der Penetrationstest (Pentest) ist der praktische Teil: Wir greifen ein System aktiv an wie ein echter Angreifer, um zu belegen, welche Schwachstellen ausnutzbar sind. Ein Pentest ist kein Performance-Lasttest – beides halten wir klar getrennt und stimmen aktive Tests vorab ab.

Ablauf eines Penetrationstests bei Groenewold IT

1. Scoping & Ziele:

Wir legen Testumfang, Testtiefe (Black-, Grey- oder White-Box) und Spielregeln gemeinsam fest, inklusive der einbezogenen Systeme, APIs und Rollen.

2. Aufklärung:

Wir kartieren die Angriffsfläche – exponierte Dienste, Endpunkte, Technologien und Einstiegspunkte.

3. Exploitation:

Wir prüfen Authentifizierung, Autorisierung, Eingabevalidierung, Session-Handling und Geschäftslogik auf ausnutzbare Lücken.

4. Bericht:

Sie erhalten einen priorisierten Bericht mit Risikoeinstufung (z. B. CVSS) und konkreten Empfehlungen zur Behebung.

5. Re-Test:

Nach der Behebung prüfen wir, ob die Maßnahmen die Findings tatsächlich geschlossen haben.

Kosten- und Aufwandstreiber

Wesentliche Treiber sind die Anzahl der Systeme, APIs und Rollen, die nötige Testtiefe und ob Re-Tests erforderlich sind. Wir grenzen den Scope transparent ab, damit Sie das Budget planen können. Für eine erste Kosteneinordnung dient unsere Kostenperspektive IT-Sicherheit; unser Vorgehen beschreibt die Methodik zum Security-Audit.

Verwandt: API-Sicherheit, Security by Design und Softwareentwicklung DSGVO-konform.

Security-Beratung vereinbaren

Häufige Fragen zu Sicherheitsaudit und Penetrationstests

Was kostet ein Sicherheitsaudit bzw. ein Penetrationstest?

Der Aufwand richtet sich nach Umfang (Anzahl Systeme, APIs, Rollen) und Testtiefe. Ein fokussierter Webanwendungs-Pentest liegt erfahrungsgemäß im niedrigen bis mittleren vierstelligen Bereich, umfangreiche Audits inklusive Infrastruktur höher. Wir definieren den Scope vorab gemeinsam, damit der Preis nachvollziehbar bleibt.

Wie lange dauert ein Penetrationstest?

Ein abgegrenzter Test dauert meist drei bis zehn Arbeitstage inklusive Auswertung und Bericht. Größere Umgebungen oder wiederholte Tests nach Behebung verlängern den Zeitraum entsprechend.

Worin unterscheiden sich Black-Box-, Grey-Box- und White-Box-Test?

Beim Black-Box-Test agieren wir wie ein externer Angreifer ohne Vorwissen. Beim Grey-Box-Test erhalten wir Teilinformationen (z. B. Testnutzer), beim White-Box-Test zusätzlich Quellcode und Architektur. Mehr Vorwissen bedeutet meist tiefere Befunde bei gleichem Budget.

Stört der Test den laufenden Betrieb?

Wir testen bevorzugt auf Staging-Systemen oder in vereinbarten Zeitfenstern. Aktive Angriffe (z. B. Lasterzeugung) grenzen wir klar von einem Performance-Lasttest ab und stimmen sie vorab ab, um Ausfälle zu vermeiden.

Was passiert nach dem Audit mit den Findings?

Sie erhalten einen priorisierten Bericht mit Risikoeinstufung (z. B. CVSS) und konkreten Empfehlungen. Auf Wunsch unterstützen wir bei der Behebung und führen einen Re-Test durch, der die Wirksamkeit der Maßnahmen bestätigt.

Wie oft sollte ein Sicherheitsaudit stattfinden?

Empfohlen ist ein Test vor dem Go-Live sicherheitskritischer Systeme sowie regelmäßig (z. B. jährlich) und nach größeren Änderungen an Architektur, Authentifizierung oder Schnittstellen.