Kontakt
Telefon+49 2933 922822-0 E-Mailinfo@pronet-systems.deMo–Fr 08:00–17:00 Uhr
Sicherheitscheck vs. Pentest – kurz gesagt: Der Sicherheitscheck klärt, ob die grundlegenden Schutzmaßnahmen in Ihrem Unternehmen vorhanden sind und in welcher Reihenfolge Sie Lücken schließen sollten. Der Penetrationstest prüft dagegen, ob jemand ein ausgewähltes System trotz dieser Maßnahmen überwinden kann. Wer seinen Stand noch nicht kennt, startet mit dem Check und setzt den Angriffstest später gezielt ein.
Überblick
Der IT-Sicherheitscheck ist eine Bestandsaufnahme. Geprüft wird, wie Server, Arbeitsplätze und Cloud-Dienste eingestellt sind und wie im Alltag gearbeitet wird: Updates, Datensicherung, Benutzerkonten, Fernzugänge und Regeln. Das Ergebnis ist eine nach Schutzbedarf geordnete Liste von Befunden mit einem Plan, was zuerst drankommt. Der Penetrationstest ist etwas anderes: ein beauftragter, kontrollierter Einbruchsversuch. Ein Prüfteam greift dafür vorher festgelegte Systeme an und nutzt dabei dieselben Werkzeuge und Tricks wie Kriminelle.
Das BSI grenzt beide Ansätze in seinem Praxis-Leitfaden für Penetrationstests sinngemäß so ab: Eine Revision kontrolliert, ob festgelegte Sicherheitsmaßnahmen wie vorgesehen umgesetzt sind. Der Penetrationstest geht darüber hinaus und sucht gezielt nach Wegen, diese Maßnahmen zu umgehen. Der Sicherheitscheck steht der ersten Frage nahe, ist aber kein formales Revisionsverfahren, sondern eine fachliche Standortbestimmung für kleine und mittlere Unternehmen.
Bei uns sind die Aufgaben klar verteilt: Den Sicherheitscheck führen wir als IT-Systemhaus selbst durch, Penetrationstests und Schwachstellenscans gehören nicht zu unserem Angebot. Angriffstests übernimmt unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH: Penetrationstests bei Rootsektor (externe Website). Wie die beiden Unternehmen miteinander verbunden sind, legen wir auf der Seite Partner und Herstellerunabhängigkeit offen.
Für die Wahl eines Prüfteams nennt der BSI-Leitfaden einen klaren Maßstab: Wer testet, soll an Konzeption, Aufbau und Betrieb der geprüften Umgebung nicht mitgewirkt haben und frei von Interessenkonflikten sein. Verlangt ein Auftraggeber oder eine Versicherung einen Testnachweis mit eigenen Vorgaben zur Unabhängigkeit, gleichen Sie diese vor der Beauftragung mit dem Prüfteam ab.
Beide Prüfungen gehören zu einem Gesamtbild, das wir unter IT-Sicherheit für Unternehmen beschreiben. Für welchen Anlass welche Prüfung passt, ordnen wir in einer kostenlosen Beratung mit Ihnen ein.
Entscheidungshilfe
Die Gegenüberstellung zeigt, was jede Prüfung leistet, was sie voraussetzt und wo ihre Grenzen liegen.
| Kriterium | IT-Sicherheitscheck | Penetrationstest |
|---|---|---|
| Leitfrage | Sind die nötigen Schutzmaßnahmen vorhanden, und werden sie im Alltag eingehalten? | Lässt sich ein ausgewähltes System trotz der vorhandenen Schutzmaßnahmen überwinden? |
| Methode | Gespräche mit den Beteiligten, Sichtung von Einstellungen, Protokollen und Unterlagen; angegriffen wird nichts. | Kontrollierte Angriffe mit Werkzeugen und viel Handarbeit innerhalb eines schriftlich vereinbarten Rahmens. |
| Breite und Tiefe | Breit über Technik und Organisation, ohne Nachweis, ob sich eine Lücke tatsächlich ausnutzen lässt. | Tief, aber auf das vereinbarte Prüfobjekt begrenzt; was außerhalb liegt, bleibt ungeprüft. |
| Abläufe und Zuständigkeiten | Gehören dazu: Ein- und Austritte, Kennwortregeln, Notfallvorsorge und Richtlinien. | Stehen nicht im Mittelpunkt; Tests, die das Verhalten von Mitarbeitenden prüfen, sind eine eigene Testart. |
| Voraussetzungen | Ansprechpersonen und vorhandene Unterlagen genügen; fehlende Dokumentation ist selbst ein Befund. | Schriftlicher Auftrag mit Prüfobjekt, Zeitraum und Prüftiefe sowie eine Ansprechperson, die während des Tests erreichbar ist. |
| Auswirkung auf den Betrieb | Kein Eingriff in laufende Systeme. | Ein kleines Störungsrisiko bleibt; Testzeiten werden deshalb vorab abgestimmt, und eine geprüfte Datensicherung sollte bereitliegen. |
| Wer prüft | Ein IT-Systemhaus oder die eigene IT mit Überblick über Technik und Organisation; für Nachweise gegenüber Dritten kann ein unbeteiligter Blick gefordert sein. | Ein spezialisiertes Prüfteam, das an Aufbau und Betrieb der Umgebung nicht beteiligt war. |
| Ergebnis | Befunde nach Schutzbedarf geordnet und ein Maßnahmenplan über mehrere Jahre. | Nachgewiesene Schwachstellen mit Einstufung des Risikos und Hinweisen zur Behebung. |
| Typischer Anlass | Erste Standortbestimmung, Fragebogen einer Cyberversicherung oder Selbstauskunft für einen Auftraggeber. | Neues System vor dem Start, Umbau des Netzes oder ein Auftraggeber, der einen Angriffstest verlangt. |
| Kostenlogik | Aufwand abhängig von Arbeitsplätzen, Standorten und den gewählten Prüfbereichen. | Aufwand abhängig von Prüfobjekt, Prüftiefe und Zahl der Systeme. |
| Passt eher, wenn … | … Sie Ihren Sicherheitsstand erstmals geordnet erfassen oder eine priorisierte Liste offener Punkte brauchen. | … die Grundlagen umgesetzt sind und Sie wissen möchten, ob ein bestimmtes System einem gezielten Angriff standhält. |
Stärken
Keine der beiden Prüfungen ist die bessere. Sie beantworten unterschiedliche Fragen und ergänzen sich.
Der Check verschafft Ihnen in überschaubarer Zeit einen Überblick über das ganze Unternehmen. Er erfasst auch Lücken, nach denen ein technischer Angriffstest gar nicht sucht. Beispiele sind eine Fachanwendung, für deren Updates sich niemand zuständig fühlt, oder Zugangsdaten zum Router, die nur eine einzige Person kennt.
Der Angriffstest zeigt, was ein Angreifer an einem konkreten System tatsächlich erreichen könnte. Er kann Schwächen aufdecken, die auf dem Papier nicht auffallen: Eine Einstellung ist für sich genommen unauffällig, lässt sich aber mit anderen kleinen Mängeln zu einem Angriffsweg verketten.
Orientierung
Maßgeblich für die erste Prüfung ist weniger die Größe der Belegschaft als die Frage, welche Systeme von außen zugänglich sind.
Sicherheitscheck
Daten liegen in Cloud-Diensten, ein eigener Server steht nicht im Internet. Wirksame Hebel sind hier Grundlagen wie die Multi-Faktor-Authentifizierung, Updates und die Datensicherung.
Erst Check, dann Test
Mitarbeitende arbeiten über einen VPN-Zugang von zu Hause, im Serverraum laufen eigene Systeme. Der Check bringt die Grundlagen in Ordnung, danach kann ein Angriffstest die Zugänge von außen gezielt prüfen.
Penetrationstest
Händler bestellen über ein Portal, das Ihr Unternehmen selbst betreibt. Bevor eine neue Version live geht, lohnt ein Angriffstest genau dieser Anwendung.
Kostenlogik
Beim Sicherheitscheck bestimmen vor allem die Zahl der Arbeitsplätze und Standorte sowie die gewählten Prüfbereiche den Aufwand. Hinzu kommen die Gespräche mit Ihren Ansprechpersonen und die Auswertung. Liegt bereits eine gepflegte Dokumentation vor, verkürzt das die Sichtung.
Beim Penetrationstest hängt der Aufwand am Prüfobjekt: Wie viele Systeme oder Anwendungen werden getestet, wie tief soll geprüft werden, und mit welchem Vorwissen startet das Prüfteam? Ein eng gefasster Test einer einzelnen Anwendung ist deutlich kleiner als eine Prüfung der gesamten Infrastruktur. Das Angebot dafür erstellt das Prüfteam selbst.
In beiden Fällen kommt der Aufwand für die Behebung der Befunde hinzu, der sich erst nach der Prüfung abschätzen lässt. Den Umfang des Sicherheitschecks legen wir in der kostenlosen Beratung fest und erstellen Ihnen darauf ein individuelles Angebot.
Typische Fehler
Fehlen Updates oder ein zweiter Anmeldefaktor, findet das auch eine Bestandsaufnahme – mit deutlich weniger Aufwand als ein Penetrationstest.
Ein Test ohne kritische Befunde gilt nur für das geprüfte System im geprüften Zeitraum. Andere Systeme können trotzdem Schwachstellen haben.
Prüft der Dienstleister, der die Umgebung aufgebaut hat, seine eigene Arbeit, fehlt der unbeteiligte Blick, den ein Angriffstest braucht.
Wer „alles“ testen lässt, bekommt bei gleichem Budget nur eine oberflächliche Prüfung vieler Systeme. Ein eng umrissenes Ziel mit klarer Fragestellung bringt belastbarere Ergebnisse.
Erfährt das Team, das Ihre Systeme betreut, nichts vom Testzeitraum, kann es Warnmeldungen für einen echten Angriff halten.
Befunde werden gelesen und abgeheftet. Ohne Verantwortliche und Termine bleibt die Lücke offen.
Prüfungen mit Methoden des Social Engineering können Einzelne bloßstellen. Sie brauchen feste Regeln, eine Auswertung ohne Namen und, wo vorhanden, die frühe Beteiligung des Betriebsrats.
Reihenfolge
Im kostenlosen Erstgespräch klären wir, was die Prüfung auslöst und welche Systeme besonders wichtig sind.
Wir führen den Sicherheitscheck durch und ordnen die Befunde nach Schutzbedarf.
Dringende Maßnahmen setzen wir auf Wunsch um, zum Beispiel eine Systemhärtung von Konten und Servern.
Für den Angriffstest wählen Sie die Systeme aus, die am meisten exponiert sind; Auftrag und Rahmen vereinbaren Sie mit dem Prüfteam.
Ergebnisse des Tests fließen in den Maßnahmenplan ein, damit Behebung und nächste Prüfung planbar bleiben.
Unsere Empfehlung: Ohne aktuelle Bestandsaufnahme beginnen Sie mit dem Sicherheitscheck. Den Penetrationstest setzen Sie gezielt für Systeme ein, die von außen zugänglich sind oder besonders schutzbedürftige Daten verarbeiten.
FAQ
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2933 922822-0 oder schreiben Sie an info@pronet-systems.de.
Ja, sobald es ein klares Prüfobjekt gibt, etwa einen Fernzugang, einen Server im Internet oder eine eigene Webanwendung. Ohne ein solches System bringt ein Sicherheitscheck in der Regel mehr, weil er die Grundlagen im ganzen Unternehmen erfasst. Ein Angriffstest lässt sich später gezielt auf einzelne Systeme begrenzen.
Nein, denn der Test beschränkt sich auf die vereinbarten Systeme und betrachtet Abläufe wie Austritte, Kennwortregeln oder Notfallvorsorge kaum. Umgekehrt beweist ein Check nicht, dass eine Lücke tatsächlich ausnutzbar ist. Wer beide Fragen beantwortet haben möchte, kombiniert die Prüfungen nacheinander.
Mindestens Prüfobjekt, Prüfzeitraum und Prüftiefe, damit nicht versehentlich Systeme beeinträchtigt werden, die außen vor bleiben sollen. Dazu gehören Ansprechpersonen auf beiden Seiten, Ihre Mitwirkungspflichten sowie Vereinbarungen zu Haftung und Verschwiegenheit. Liegen Systeme bei einem Hosting-Anbieter, ist er in den Vertrag einzubeziehen; auch Cloud-Anbieter knüpfen Tests auf ihren Plattformen teils an eigene Regeln.
Ja, denn die Bestandsaufnahme zeigt, welche Systeme besonders schutzbedürftig oder von außen erreichbar sind. Auch das BSI beschreibt in seinem Leitfaden, dass eine vorangehende Risikobetrachtung hilft, den Umfang eines Angriffstests einzugrenzen. So bezahlen Sie den aufwendigen Test nur für die Systeme, bei denen sich die Frage nach der Angreifbarkeit wirklich stellt.
Beschreiben Sie uns kurz, was die Prüfung auslöst – etwa die Anfrage eines Auftraggebers, eine neue Anwendung oder schlicht der Wunsch nach einem Überblick. Wir ordnen ein, welche Prüfung zuerst sinnvoll ist, und erstellen Ihnen für den Sicherheitscheck ein individuelles Angebot.
