Kurzantwort
Für viele geschäftskritische oder internet-erreichbare Systeme ist ein jährlicher Pentest ein brauchbarer Ausgangspunkt. Entscheidend sind jedoch zusätzliche anlassbezogene Tests nach wesentlichen Änderungen, neuen Angriffspfaden oder Sicherheitsvorfällen. Ein Kalenderintervall allein reicht nicht.
Turnus und Ereignisse kombinieren
Ein risikobasiertes Programm verbindet einen festen Mindestturnus mit klaren Auslösern. Dadurch wird nicht bis zum nächsten Jahrestermin gewartet, wenn sich die Angriffsfläche vorher grundlegend verändert.
- Neue Authentifizierung, Rollen oder Mandantenfähigkeit
- Große Releases, Migrationen oder neue externe Schnittstellen
- Cloud-, Netzwerk- oder Identitätsarchitektur wesentlich verändert
- Kritischer Vorfall oder neue Erkenntnisse zu einem relevanten Angriffspfad
- Geänderter Schutzbedarf oder neue vertragliche Anforderung
Intervalle nach Risiko staffeln
Besonders exponierte und geschäftskritische Systeme benötigen meist engere Aufmerksamkeit als interne Hilfssysteme mit geringerem Schutzbedarf. Das bedeutet nicht zwingend jedes Mal denselben Volltest: fokussierte Nachtests, wechselnde Schwerpunkte und kontinuierliche technische Kontrollen können kombiniert werden.
Vergleichbarkeit erhalten
Wiederholungstests sind nur aussagekräftig, wenn Scope, Informationsstand und Einschränkungen dokumentiert werden. Neue Funktionen dürfen nicht unbemerkt außerhalb des Scopes bleiben. Ergebnisse sollten in Schwachstellenmanagement und Risikobehandlung einfließen.
Praxis-Checkliste
Das sollten Auftraggeber festhalten
Häufig gefragt
Muss ein Pentest jedes Jahr stattfinden?
Eine allgemeine Pflicht für jedes System gibt es nicht. Ein jährlicher Turnus ist für viele kritische Systeme praktikabel, muss aber durch Risiko, Änderungen und konkrete Anforderungen begründet werden.
Ist ein Retest ein neuer Pentest?
Nein. Ein Retest prüft gezielt, ob bekannte Befunde wirksam behoben wurden. Neue Funktionen und neue Angriffspfade benötigen einen entsprechend erweiterten Scope.