Penetration Testing

Infrastruktur Penetration Testing

Moderne IT-Infrastrukturen sind komplex und meist historisch gewachsen. Genau daraus entstehen Fehlkonfigurationen, die im Alltag niemandem auffallen: eine Regel, die vor drei Jahren für einen Test angelegt wurde, ein Altsystem, das eine Anwendung noch braucht, ein Managementzugang, der nie aus dem Clientnetz genommen wurde. Wir prüfen Ihre Netzwerk- und Systemlandschaft von der Firewall über die Server bis in die Cloud und zeigen, wie widerstandsfähig sie tatsächlich ist.

Test anfragenVerfahren & Methodik
INFRASTRUCTURE AUDIT

Infrastruktur
Pentest

Penetration Testing

Prüfobjekt

Netzwerke, Server, Cloud, VPN

Perspektive

Extern und intern

Fokus

Fehlkonfigurationen

Voraussetzung

IP-Bereiche & Wartungsfenster

Wann ein Infrastrukturtest ansteht

  • Die Umgebung wurde umgebaut, migriert oder um Cloud-Dienste erweitert.
  • Neue Standorte oder Netzsegmente sind hinzugekommen und die Segmentierung wurde nie geprüft.
  • Der Fernzugriff wurde ausgebaut und es ist unklar, was darüber alles erreichbar ist.
  • Ein Dienstleister hat Systeme übernommen und Sie wollen den Übergabestand unabhängig bewerten lassen.
  • Altsysteme laufen weiter, weil eine Anwendung sie braucht, und niemand kennt das Risiko genau.
  • Ein Audit nach ISO 27001 oder BSI-Grundschutz verlangt einen Nachweis über die technische Absicherung.
  • Nach einem Vorfall soll belegt werden, dass der genutzte Weg geschlossen ist und kein zweiter offensteht.
  • Die Cyberversicherung fragt nach einem aktuellen Test.

Von wo aus wir prüfen

Der Blickwinkel entscheidet, welche Fragen ein Test beantwortet. Wir kombinieren die Perspektiven nach Bedarf.

Von außen

Wir prüfen, was ohne jeden Zugang erreichbar ist: exponierte Dienste, Fernzugriffe, Mail- und Webinfrastruktur. Die Frage lautet, ob es einen Weg von außen nach innen gibt.

Von innen

Wir arbeiten aus Ihrem Netz, wie ein Angreifer nach einer erfolgreichen Phishing-Mail oder ein Gast im falschen Netzsegment. Die Frage lautet, wie weit dieser Angreifer kommt.

Assumed Breach

Wir setzen ein kompromittiertes System als gegeben voraus und prüfen von dort aus die Ausbreitung. Der realistischste Ausgangspunkt für Ransomware-Szenarien.

Was wir uns ansehen

  • Externe Angriffsfläche: Alles, was von außen antwortet: Fernzugriffe, VPN-Gateways, Mailserver, Webserver, Verwaltungsoberflächen und Dienste, die versehentlich veröffentlicht wurden. Geht es Ihnen zunächst nur um die vollständige Bestandsaufnahme dieser Fläche, ist die Attack Surface Analysis der passendere Einstieg. Der Pentest prüft darüber hinaus, was davon ausnutzbar ist.
  • Netzsegmentierung: Ob die Trennung zwischen Zonen hält: Client zu Server, Gastnetz zu Produktivnetz, Büro zu Produktion, und ob das Managementnetz wirklich getrennt ist.
  • Server und Dienste: Patch- und Versionsstand, Standardkonfigurationen, unnötig aktive Dienste, Freigaben mit zu weiten Rechten und Protokolle, die aus Kompatibilitätsgründen noch laufen.
  • Authentifizierung und Zugriff: Rollenmodelle, lokale Administratorkonten, wiederverwendete Kennwörter und die Frage, ob ein einzelnes kompromittiertes Konto den Zugang zu vielen Systemen öffnet.
  • Netzwerkgeräte: Firewalls, Switches, Router und deren Managementzugänge. Erreichbare Verwaltungsoberflächen mit Standardzugangsdaten sind kein Einzelfall, sondern ein Klassiker.
  • Cloud und Hybrid: Konfiguration von IaaS-Ressourcen, Zugriffsrechte auf Speicher, Identitätsföderation und die Verbindung zwischen lokaler Umgebung und Cloud. Diese Verbindung ist oft die schwächste Stelle, weil sie beim Aufbau niemand als Angriffsfläche gesehen hat.
  • Peripherie und Nebengeräte: Drucker, Kameras, Gebäudetechnik und Geräte, die keiner Softwarepflege unterliegen, aber im Produktivnetz hängen und Zugangsdaten speichern.
  • Backup: Erfahrungsgemäß der kritischste Punkt: Ob Ihre Backups aus dem Produktivnetz erreichbar und mit dortigen Zugangsdaten löschbar sind. Genau das entscheidet darüber, ob ein Ransomware-Vorfall ein Zwischenfall bleibt oder ein Existenzproblem wird.

Was wir häufig sehen

Fund Warum es zählt
Managementoberflächen im Clientnetz erreichbar Ein kompromittierter Arbeitsplatz reicht, um Netzwerkgeräte zu übernehmen.
Standard- oder wiederverwendete Zugangsdaten Ein Fund öffnet nicht ein System, sondern eine ganze Klasse von Systemen.
Fehlende oder umgehbare Segmentierung Der Angriff bleibt nicht lokal, sondern erreicht sofort kritische Bereiche.
Veraltete Dienste mit bekannten Schwachstellen Öffentlich verfügbare Exploits, kein Spezialwissen nötig.
Backups im gleichen Vertrauensbereich Die Wiederherstellung fällt genau dann aus, wenn sie gebraucht wird.
Verwaiste Systeme ohne Zuständigkeit Niemand patcht, niemand überwacht, niemand vermisst sie.
Testsysteme mit Produktivdaten Schutzniveau eines Testsystems, Schadenspotenzial eines Produktivsystems.
Unsichere Altprotokolle Ermöglichen das Abgreifen von Anmeldeinformationen im Netz.

Wie ein Test läuft

1
Scoping und Freigaben

Wir legen Umfang, Perspektive, Zeitfenster und Ausschlüsse fest und klären die nötigen Freigaben.

2
Bestandsaufnahme

Systematische Erfassung erreichbarer Systeme, offener Ports, Dienste und Versionen. Ergebnis ist eine Karte dessen, was tatsächlich existiert, nicht dessen, was in der Dokumentation steht.

3
Schwachstellenanalyse

Bewertung der gefundenen Systeme auf bekannte Schwachstellen und Fehlkonfigurationen, manuell nachgeprüft statt allein aus einem Scanergebnis übernommen.

4
Ausnutzung

Kontrollierte Prüfung, ob ein Fund praktisch nutzbar ist. Nur dieser Schritt unterscheidet eine mögliche von einer tatsächlichen Schwachstelle.

5
Ausbreitung

Von einem erreichten System weiter: Welche Zugangsdaten liegen dort, welche Systeme lassen sich damit erreichen, wie weit reicht die Kette.

6
Bericht und Abschlussgespräch

Dokumentation, Priorisierung und Übergabe. Kritische Funde melden wir sofort und nicht erst hier.

Was wir nicht tun

Die häufigste Sorge bei einem Infrastrukturtest ist, dass etwas ausfällt. Deshalb gilt:

  • Keine Überlastungsangriffe: Verfügbarkeitsangriffe sind ausgeschlossen, sofern nicht ausdrücklich anders vereinbart.
  • Keine destruktiven Aktionen: Wir löschen nichts, verschlüsseln nichts und verändern keine Produktivdaten.
  • Empfindliche Systeme werden benannt: Alles, was Sie als fragil kennzeichnen, wird ausgenommen oder nur passiv betrachtet.
  • Zeitfenster werden eingehalten: Aktive Prüfungen laufen in den vereinbarten Fenstern, bei Bedarf außerhalb der Geschäftszeiten.
  • Sofortmeldung: Finden wir etwas, das akut ausgenutzt werden könnte, oder Hinweise auf einen bereits laufenden Vorfall, melden wir das umgehend.

Was Sie bereitstellen

  • IP-Bereiche, Domains und Systeme, die einbezogen werden sollen, sowie eine Ausschlussliste.
  • Ein Wartungs- oder Testfenster, falls aktive Prüfungen nur zu bestimmten Zeiten stattfinden sollen.
  • Für den internen Test einen Netzzugang: eine Netzwerkdose vor Ort, einen VPN-Zugang oder ein von uns bereitgestelltes Gerät.
  • Eine technische Ansprechperson, die während des Tests erreichbar ist.
  • Bei gehosteten oder Cloud-Systemen die Klärung, ob der Anbieter für Penetrationstests eine Anzeige oder Freigabe verlangt. Das betrifft mehr Anbieter als allgemein bekannt und sollte vor dem Start geklärt sein.

Was Sie daraus mitnehmen

Einen technischen Bericht mit Maßnahmenkatalog zur Härtung, und darüber hinaus eine Antwort auf die Frage, die intern über Budget entscheidet: Wie weit käme ein Angreifer von einem einzelnen kompromittierten System aus?

Wir liefern die Angriffskette nachvollziehbar, weil daraus die Priorisierung folgt. Eine einzelne Fehlkonfiguration ist selten kritisch. Kritisch ist der Punkt, an dem drei davon zusammen einen Weg zu Ihren Backups ergeben. Genau dort setzen die ersten Maßnahmen an.

„Infrastruktur-Penetrationstests zeigen, wie widerstandsfähig Ihr Unternehmen wirklich ist.“

Infrastruktur Penetration Testing

Nennen Sie uns IP-Bereiche und Perspektive. Im Erstgespräch klären wir Umfang, Wartungsfenster und Ausschlüsse.

  • Keine destruktiven oder Überlastungsangriffe
  • Extern, intern oder Assumed Breach
  • Angriffskette bis zu den Backups
  • Maßnahmenkatalog nach Wirkung priorisiert
Termin buchen

Häufig gestellte Fragen

Was Kunden vor einem Infrastruktur-Pentest wissen wollen.

Das Risiko ist gering, weil wir destruktive Verfahren ausschließen und fragile Systeme ausnehmen. Vollständig ausschließen lässt es sich bei Altsystemen nie, deshalb legen wir Zeitfenster und Ansprechpartner vorher fest.

Extern beantwortet, ob es einen Weg hinein gibt. Intern beantwortet, was danach passiert. Wer noch nie getestet hat, beginnt meist außen, wer Ransomware fürchtet, innen.

Ein Scan zeigt bekannte Schwachstellen einzelner Systeme. Er zeigt nicht, ob sie ausnutzbar sind und wie sie sich verketten. Für laufende Überwachung ist Schwachstellen Scanning und Management das richtige Werkzeug, als Ergänzung und nicht als Ersatz.

Üblich ist jährlich, zusätzlich nach größeren Änderungen an Netz, Fernzugriff oder Cloud-Anbindung.

Häufig ja. Wir sagen Ihnen im Vorgespräch, worauf zu achten ist.