Penetrationstests, auch Pentests genannt, sind ein wichtiger Bestandteil jeder Sicherheitsstrategie und sollten zur Überprüfung des IT-Sicherheitsstatus regelmäßig in Unternehmen und Institutionen durchgeführt werden. Dies ist mittlerweile den meisten Entscheidern und IT-Experten bewusst. Doch wie teuer ist eigentlich so ein Pentest und warum lohnt sich eine Investition in diesen umfangreichen IT Security Audit für jedes Unternehmen?
Die Kosten eines Penetrationstests hängen im Wesentlichen vom Umfang des ausgewählten Verfahrens ab. Grundsätzlich gibt es drei Arten von Pentests, die sich vor allem in Bezug auf die Vorbereitung der jeweiligen Sicherheitsüberprüfung unterscheiden.
Variante 1: Whitebox Pentest
Beim Whitebox Pentest stellt das beauftragende Unternehmen den Cybersicherheitsexperten vorweg alle wichtigen Informationen über die IT-Infrastruktur zur Verfügung. Darüber hinaus werden die eigenen Mitarbeiter aktiv über den bevorstehenden Penetrationstest informiert. Auf diese Weise erhalten die Penetrationstester Systemeinblicke, sowohl aus Sicht der möglichen Angreifer, als auch aus Nutzersicht.
Variante 2: Blackbox Pentest
Bei einem Blackbox Penetrationstest liegt hingegen eine deutlich geringere Informationstiefe vor. Hier erhalten unsere Pentester keinerlei Informationen über das Netzwerk und die IT des zu überprüfenden Unternehmens. Lediglich das gewünschte Ziel des Penetrationstests wird vom Auftraggeber genannt. In diesem Fall ist der Aufwand für unsere IT-Sicherheitsexperten entsprechend umfangreicher und zeitintensiver, da sie alle notwendigen Informationen für den Pentests vorab selbst recherchieren und zusammentragen müssen. Der Vorteil dieses Verfahrens ist jedoch, dass viele Hacker auf dieselbe Art und Weise vorgehen, da sie natürlich ebenfalls keine Informationen vom Unternehmen zur Verfügung gestellt bekommen. Blackbox Pentests kommen dem Vorgehen von Angreifern daher sehr nahe und sind bei auftraggebenden Unternehmen meist am beliebtesten. Die Kosten fallen bei dieser realitätsgetreuen Hackersimulation aufgrund des zeitlichen Aufwands allerdings auch etwas höher aus als beim Whitebox Pentesting.
Variante 3: Grey Box Pentest
Zu guter Letzt gibt es außerdem die Möglichkeit, eine Kombination aus Whitebox und Blackbox Penetrationstest zu wählen: Das Ganze nennt sich Greybox Pentest und greift Vorgehensweisen aus beiden Varianten auf. Unsere IT Security Spezialisten erhalten bei diesem Verfahren nur fragmentarische Hinweise zur Systemlandschaft des Unternehmens. Alle weiteren relevanten Daten müssen sie sich selbst erarbeiten. Erst in einem der nächsten Schritte werden ihnen dann auch detaillierte Informationen über die IT-Infrastruktur bereitgestellt. Das Grey Box Pentesting Verfahren gilt als eine besonders realitätsgetreue und effiziente Vorgehensweise und kommt einem tatsächlichen Cyberangriff am nächsten. Als zeitlich umfangreichste Pentest-Art müssen Unternehmen hier jedoch auch mit höheren Kosten rechnen als bei einem White Box oder Black Box Penetrationstest.
Fazit – Mit diesen Kosten müssen Sie rechnen
Zusammenfassend lässt sich sagen: Pentests kosten weniger als Sie denken und sind in ihrem Umfang sehr flexibel. Die Kosten eines Penetrationstests hängen maßgeblich von der gewählten Art des Pentests ab – und damit vor allem vom zeitlichen Aufwand der Durchführung. Folgende Faustregel ist dabei zu beachten: Je zeitintensiver das Vorgehen und je komplexer die Systemlandschaft des auftraggebenden Unternehmens, desto höher fallen am Ende auch die Kosten für den Pentest aus. Schlussendlich sollte man mit einer Spanne von 2.000 € bis 20.000 € rechnen.
Eines ist klar: Die Durchführung von regelmäßigen, professionellen Sicherheitsüberprüfungen in Form von Penetrationstests lohnt sich in jedem Fall – denn ein möglicher Cyberangriff wäre bedeutend teurer! Jedoch ist jedes Unternehmen auch hinsichtlich seiner IT-Infrastruktur einzigartig und benötigt unterschiedliche Vorgehensweisen. Deshalb ist es wichtig, dass auch Pentests modular auf das jeweilige Unternehmen zugeschnitten werden. Auf diese Weise werden Gefahrenpotenziale rechtzeitig erkannt und beseitigt sowie die IT-Sicherheit eines jeden Unternehmens von Grund auf gestärkt.
