Sicher­heits­tests für kleine Unter­nehmen

Angriffe auf IT-Systeme finden täglich statt und treffen auch ver­meintlich weniger attraktive Ziele. Pene­tra­ti­ons­tests sind ein geeig­netes Mittel, um die aktuelle Sicherheit eines IT-Netzes oder eines ein­zelnen IT-Systems fest­zu­stellen. Dabei werden vor­rangig Schnitt­stellen nach außen unter­sucht, über die poten­zielle Angreifer in die unter­suchten IT-Systeme ein­dringen könnten. Die Tests dienen dazu, die Erfolgs­aus­sichten eines vor­sätz­lichen Cyber-Angriffs auf die eigenen Systeme ein­zu­schätzen und damit vor­handene Sicher­heits­maß­nahmen zu über­prüfen bzw. weitere not­wendige Sicher­heits­maß­nahmen abzu­leiten.

Das Bun­desamt für Sicherheit in der Infor­ma­ti­ons­technik (BSI) hat kürzlich einen Praxis-Lei­t­­faden zum Thema Pene­tra­ti­ons­tests ver­öf­fent­licht. Der Leit­faden richtet sich vor­nehmlich an IT-Sicher­heits­­­be­auf­­tragte und IT-Ver­­an­t­­wor­t­­liche in Unter­nehmen und Behörden und beschreibt eine struk­tu­rierte, pra­xis­ori­en­tierte Vor­ge­hens­weise bei solchen Tests. Der Leit­faden kann als Hil­fe­stellung genutzt werden, um kon­krete Anfor­de­rungen an einen externen Dienst­leister zu for­mu­lieren und so einen geeig­neten Pene­tra­ti­ons­tester zu finden.

Der Praxis-Lei­t­­faden für IS-Pene­­tra­­ti­on­s­­tests ist kos­tenlos auf der Web­seite des BSI unter www.bsi.bund.de/Penetrationstest abrufbar.

Sicher­heits­tests lohnen sich übli­cher­weise jedoch erst bei grö­ßeren Unter­nehmen ab 50 Mit­ar­beitern. Umge­kehrt laufen die bestehenden IT-Sicher­heits­­­tests für größere Unter­nehmen bei kleinen und kleinsten Unter­nehmen „ins Leere“, da sie in der Regel keine geeig­neten IT-Systeme vor­halten, die einer ent­spre­chenden Prüfung stand­halten. Dies hat zur Folge, dass nur wenige der kleinen und mit­tel­stän­di­schen Betriebe in der Praxis Sicher­heits­tests anwenden. Die meisten halten sie für zu teuer, weil sie den Nutzen nicht kennen oder bestehende Angebote über­di­men­sio­niert sind. Insofern wären Risiko- und Sicher­heits­ana­lysen, welche auf kleine und kleinste Unter­nehmen zuge­schnitten und anbie­ter­un­ab­hängige Sicher­heits­re­ports ermög­lichen, eine wichtige Ergänzung.

Der DsiN-Sicher­heits­­check sowie der Cloud-Scout haben gezeigt, dass KMU durchaus an für sie zuge­schnit­tenen Lösungen inter­es­siert sind. Insofern wäre es ein wei­terer wich­tiger Schritt, auch kleinen Unter­nehmen einen ein­fachen Zugang zu Sicher­heits- und Schwach­stel­len­ana­lysen anzu­bieten.

Bild: © Rainer Sturm / pixelio.de