Ausgangspunkt
Vom Geschäftsrisiko zum technischen Scope
Öffentliche Einrichtungen verbinden Bürgerportale, Fachverfahren und behördenübergreifende Dienste mit komplexen Betriebs- und Vergabestrukturen. Für einen belastbaren Pentest müssen fachliche Verantwortung, technischer Betrieb und Testfreigabe zusammengeführt werden.
Typische Systeme und Prüfflächen
- Bürger- und Verwaltungsportale
- Fachverfahren und Dokumentenmanagement
- Identitätsdienste, Verzeichnisdienste und Servicekonten
- Netzwerke, Fernzugänge und Verwaltungsarbeitsplätze
- Cloud-Dienste und externe Rechenzentren
- Schnittstellen zu Bund, Ländern, Kommunen und Dienstleistern
Priorisierung
Worauf Auftraggeber besonders achten sollten
Verantwortungsgrenzen
Behörde, IT-Dienstleister, Softwarehersteller und Rechenzentrum müssen Freigaben eindeutig zuordnen.
Identitäten
Servicekonten, Rollen, föderierte Anmeldung und administrative Zugänge verbinden viele Fachverfahren.
Nachweisfähigkeit
Scope, Methodik, Qualifikation, Bericht und Retest sollten bereits in Vergabe und Leistungsbeschreibung präzise sein.
Vorbereitung
Das gehört vor der Anfrage auf den Tisch
- 01Informationsverbund und Schutzbedarf dokumentieren
- 02Fachverantwortliche und technische Betreiber benennen
- 03Eigentum und Testfreigaben für alle Ziele klären
- 04Vergabeanforderungen in prüfbare Kriterien übersetzen
- 05Notfall-, Datenschutz- und Kommunikationswege abstimmen
- 06Sichere Berichtsübergabe und Aufbewahrung regeln
Wichtige Abgrenzung
Keine pauschale Compliance-Aussage
Ein Pentest ist kein vollständiges IS-Audit nach IT-Grundschutz und ersetzt keine organisatorische Sicherheitsprüfung. Besondere Vorgaben gelten nur, wenn sie auf das konkrete Verfahren und die zuständige Einrichtung anwendbar sind.
Primärquellen zur Einordnung
Passende Prüfflächen