Penetrationstest für NIS2-Wirksamkeitsnachweise
Ein Test beweist, was ein Assessment nur behauptet. Wir setzen ihn dort ein, wo er den Nachweis liefert, den die Wirksamkeitsbewertung verlangt.
Was einen verwertbaren Test ausmacht
Nicht der Bericht ist das Ergebnis, sondern die behobene und nachgetestete Lücke
Warum Testberichte oft folgenlos bleiben
Penetrationstests werden häufig als jährliche Pflichtübung beschafft. Das Ergebnis ist ein Bericht mit dreißig Befunden, sortiert nach einer Punktzahl, der an die IT weitergeleitet und danach abgelegt wird. Im nächsten Jahr taucht die Hälfte der Befunde erneut auf.
Was fehlt, ist die Verbindung zum Managementsystem: Wer bewertet die Befunde im Geschäftskontext, wer behebt sie in welcher Frist, und wer prüft nach, ob die Behebung gewirkt hat. Ohne diese Kette ist der Test eine Momentaufnahme ohne Konsequenz — und als Wirksamkeitsnachweis wertlos.
Wir planen den Test deshalb entlang Ihrer Risiken, lassen ihn durch spezialisierte Testteams durchführen und führen die Befunde in Ihr Maßnahmen- und Schwachstellenmanagement zurück. Der Nachtest gehört dazu, nicht als Option.
Was geprüft werden kann
Der Zuschnitt richtet sich nach Ihrer Angriffsfläche, nicht nach einem Standardpaket
Externe Angriffsfläche
Was von außen erreichbar ist — inklusive der Systeme, die niemand mehr auf dem Schirm hatte.
Interne Netze
Was ein Angreifer erreicht, der bereits im Netz ist. Prüft Segmentierung und Berechtigungen unter realen Bedingungen.
Webanwendungen und APIs
Authentisierung, Autorisierung, Eingabevalidierung und Geschäftslogik der Anwendungen, die Ihr Geschäft tragen.
Cloud-Konfiguration
Fehlkonfigurationen, überweite Berechtigungen und offene Speicher in Microsoft 365 und anderen Cloud-Umgebungen.
OT und Produktion
Vorsichtig geplant, mit passiven Verfahren und abgestimmten Zeitfenstern — Rückwirkungsfreiheit ist Bedingung.
Social Engineering
Phishing-Simulationen als Wirksamkeitsprüfung der Awareness-Maßnahmen, arbeitsrechtlich sauber abgestimmt.
Was wir liefern
- Schriftliche Beauftragung mit Scope, Zeitfenster und Regeln
- Testbericht mit nachvollziehbar dokumentierten Befunden
- Priorisierung nach Ausnutzbarkeit und Geschäftskontext
- Management-Zusammenfassung für die Leitungsebene
- Maßnahmen mit Fristen und Verantwortlichen im Register
- Nachtestnachweis als Wirksamkeitsbeleg
So arbeiten wir
Scoping
Ziele, Umfang, Testtiefe, Zeitfenster und Regeln — schriftlich beauftragt und abgegrenzt, inklusive Notfallkontakt.
Durchführung
Test durch das spezialisierte Team mit definierter Eskalation, falls kritische Funde sofortiges Handeln erfordern.
Auswertung
Befunde mit Reproduktionsweg, Bewertung im Geschäftskontext und konkreten Empfehlungen.
Behebung & Nachtest
Überführung ins Maßnahmenregister, Nachverfolgung der Fristen und Verifikation der Behebung.
Häufige Fragen
Verlangt NIS2 Penetrationstests?
Das BSIG nennt keine Penetrationstests als eigene Pflicht. Es verlangt aber Konzepte zur Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen. Ein Test ist das belastbarste Instrument, um diese Wirksamkeit technisch zu belegen — und in vielen Fällen das einzige, das über Selbstauskunft hinausgeht.
Wie oft sollte getestet werden?
Ein jährlicher Rhythmus für die externe Angriffsfläche ist gängige Praxis. Wichtiger als der Turnus ist der Anlass: nach größeren Architekturänderungen, Migrationen oder der Einführung neuer extern erreichbarer Anwendungen — dort entstehen die relevanten Lücken.
Was ist der Unterschied zu einem Schwachstellenscan?
Ein Scan findet bekannte Schwachstellen automatisiert. Ein Penetrationstest verkettet Befunde und prüft, was daraus tatsächlich folgt — ob eine mittlere Schwachstelle in Kombination mit einer Fehlkonfiguration zum Domänenadministrator führt. Beides ergänzt sich, ersetzt sich aber nicht.
Ist der Betrieb während des Tests gefährdet?
Umfang und Vorgehen werden vorab festgelegt, kritische Systeme und Zeitfenster abgestimmt. In Produktions- und Leittechnikumgebungen arbeiten wir bewusst zurückhaltend und mit passiven Verfahren. Ein Notfallkontakt auf beiden Seiten ist Teil der Beauftragung.
Lesetipp: Wie Befunde systematisch behandelt werden, beschreibt unser Glossareintrag zum Schwachstellenmanagement.
Prüfen lassen, was Sie annehmen
Sagen Sie uns, welcher Bereich Ihnen Sorgen macht. Wir schlagen einen Zuschnitt vor und koordinieren das Testteam.
Penetrationstest anfragen