Penetrationstest Schweiz: Sie sehen den Weg hinein, bevor ein Angreifer ihn nutzt.

Bei einem Penetrationstest greift ein Sicherheitstester Ihre Systeme mit Ihrer schriftlichen Erlaubnis an und nimmt dabei die Position eines echten Eindringlings ein. Der Tester arbeitet sich durch Netzwerk, Anwendungen, Cloud und Mitarbeitende, beweist, welche Schwachstellen tatsächlich eine Tür öffnen, und übergibt den Angriffspfad mit der Massnahme je Befund. Sie erfahren, ob Ihre Kontrollen unter Druck halten. Ein Richtliniendokument oder ein Zertifikat kann Ihnen das nicht zeigen.

Schweizer Unternehmen zahlen für einen professionellen Penetrationstest je nach Typ und Umfang meist zwischen CHF 6'000 und CHF 25'000. Eine Webanwendung liegt typischerweise bei CHF 8'000 bis 15'000, ein Infrastruktur-Test bei CHF 12'000 bis 25'000, und ein vollständiges Red Teaming beginnt bei CHF 30'000. Wie viel Sie genau zahlen, hängt an der Grösse Ihrer Angriffsfläche. Wir legen den Umfang gemeinsam in einem Gespräch fest. Starten Sie mit dem kostenlosen Audit: ein kurzes Gespräch und ein kostenloser erster Scan.

Wir testen eine fokussierte Webanwendung meist in 5 bis 10 Tagen, eine Infrastruktur in 5 bis 15 Tagen. Danach brauchen wir einige Tage für Bericht und Besprechung der Befunde. Ein Red-Teaming-Engagement läuft über zwei bis sechs Wochen. Den Zeitplan halten wir vor dem Start schriftlich fest, damit Sie wissen, wann wir testen und wann der Bericht kommt.

Das, was ein Angreifer zuerst erreicht, und das, was Sie am meisten kostet, wenn er es erreicht. Die meisten Schweizer Unternehmen starten mit der externen Infrastruktur und den Webanwendungen und ergänzen internes Netzwerk, Cloud, WLAN oder Phishing, sobald sie die ersten Befunde gesehen haben. Vor dem Start halten wir schriftlich fest, welche Systeme im Umfang liegen, welche tabu sind und in welchem Zeitfenster wir testen.

Ein Schwachstellenscanner vergleicht Ihre Systeme automatisiert mit einer Datenbank bekannter Probleme und liefert eine Liste möglicher Fehler, Fehlalarme inklusive. Ein Penetrationstester greift diese Schwachstellen danach an und beweist, welche davon wirklich ausnutzbar sind und wie weit sie führen. Der Scanner sagt Ihnen, dass eine Tür offen sein könnte. Der Tester zeigt Ihnen, dass sie es ist, was dahinter liegt und wie sie im Vergleich zu allen anderen Türen einzuordnen ist.

Der Gesetzgeber nennt den Penetrationstest im nDSG nicht wörtlich. Art. 8 nDSG verlangt aber geeignete technische und organisatorische Massnahmen für die Datensicherheit, und Art. 1 Abs. 5 DSV fordert deren regelmässige Überprüfung. Mit einem Penetrationstest belegen Sie, dass Ihre Massnahmen unter Angriff halten. Wer vorsätzlich gegen die Mindestanforderungen an die Datensicherheit verstösst, riskiert nach nDSG persönlich eine Busse bis CHF 250'000.

Für Banken und Wertpapierhäuser ja. Laut FINMA-Rundschreiben 2023/1 lässt die Geschäftsleitung regelmässig Verwundbarkeitsanalysen und Penetrationstests durch qualifiziertes Personal durchführen, für alle aus dem Internet erreichbaren Systeme und für interne Systeme mit kritischen Prozessen oder Daten. Wir schreiben den Bericht so, dass er als Nachweis taugt und Ihre Technik ihn trotzdem direkt umsetzen kann.

Mindestens einmal im Jahr und nach jeder grösseren Änderung: neue Anwendung, Umzug in die Cloud, neuer Dienstleister mit Zugang zu Ihrem Netz. Mit jeder Änderung entstehen neue Türen, und ein Bericht zeigt nur den Stand am Testtag. Darum enthält jeder Test bei uns ein Jahr unbegrenzte Retests über RTP Robin.

Nein. Wir vereinbaren die Regeln vorher: was im Umfang liegt, was tabu ist und was wir nie anfassen. Wir löschen und beschädigen nichts, und Ihr Betrieb läuft normal weiter, während wir testen. Sie entscheiden, ob Ihr Team davon weiss oder es aus dem Bericht erfährt.

Ja, sofern Sie ihn autorisieren. Das Strafgesetzbuch stellt in Art. 143bis StGB das unbefugte Eindringen in ein Datenverarbeitungssystem unter Strafe. Darum läuft jedes Mandat unter einer Autorisierung, die Sie vorher unterschreiben, und wir testen ausschliesslich, was Ihnen gehört und was Sie freigegeben haben, innerhalb gemeinsam gesetzter Grenzen.

Stellen Sie drei Fragen. Wer führt den Test tatsächlich durch, und ist diese Person zertifiziert, etwa nach CREST oder OSCP? Prüft ein Mensch jeden Befund, bevor er Sie erreicht, oder erhalten Sie einen Scanner-Export? Und was geschieht nach dem Bericht, wenn sich Ihre Angriffsfläche in der Woche darauf verändert? Bei uns prüft ein CREST-zertifizierter Operator jeden Befund, und RTP Robin wiederholt die Angriffe ein Jahr lang.