Wissenszentrum
Wissenszentrum für Penetrationstests und IT-Audits.
Erfahren Sie, was die einzelnen Arten autorisierter Sicherheitsprüfungen umfassen, welche Bereiche untersucht werden, welche Leitlinien zugrunde liegen und was im Abschlussbericht enthalten ist.
Empfohlener Leitfaden, Europäische Union
Penetrationstests im Rahmen von NIS2 und DORA
Ein praxisorientierter Leitfaden zum Management von Cybersicherheitsrisiken in der EU, zu Tests der digitalen operationalen Resilienz und zu den Anforderungen an bedrohungsorientierte Penetrationstests.
EU-Leitfaden lesenPenetrationstests
Was ein Netzwerk-Penetrationstest umfasst
Prüfumfang, Testabdeckung, Branchenleitlinien, Nachweise und Berichterstattung für interne und externe Netzwerkprüfungen.
Artikel lesenPenetrationstests
Was ein Penetrationstest für Webanwendungen umfasst
Ein praxisorientierter Leitfaden zum Prüfumfang von Webanwendungen, zu authentifizierten Tests, zur Prüfung der Geschäftslogik und zum Abschlussbericht.
Artikel lesenPenetrationstests
Was ein Penetrationstest für mobile Anwendungen umfasst
Prüfumfang für iOS- und Android-Anwendungen, Gerätespeicher, Plattform-Sicherheitsmechanismen, Kommunikation, APIs und Berichterstattung.
Artikel lesenPenetrationstests
Was ein API-Penetrationstest umfasst
Wie der Testumfang für REST-, GraphQL- und Dienstschnittstellen festgelegt wird und wie diese getestet, Nachweise dokumentiert und Ergebnisse berichtet werden.
Artikel lesenPenetrationstests
Was ein Cloud-Penetrationstest umfasst
Erläuterungen zum Prüfumfang für Cloud-Identitäten, Workloads, Speicher, Netzwerke, Protokollierung, Berechtigungspfade und Berichterstattung.
Artikel lesenPenetrationstests
Was ein Penetrationstest für drahtlose Netzwerke umfasst
Erläuterungen zu Verschlüsselung, Authentifizierung und Isolation in drahtlosen Netzwerken, Szenarien mit unbefugten Zugriffspunkten sowie zur Berichterstattung über die Bewertung.
Artikel lesenPenetrationstests
Was ein Active Directory-Penetrationstest umfasst
Identitätsarchitektur, Berechtigungen, Vertrauensbeziehungen, Anmeldedaten, Angriffspfade, Härtung und Berichterstattung in einem Leitfaden.
Artikel lesenPenetrationstests
Was ein IoT-Penetrationstest umfasst
Erläuterungen zu Gerät, Firmware, Schnittstellen, Kommunikation, verbundenen Diensten und Berichterstattung zur Produktsicherheit.
Artikel lesenIT-Audits
Was ein IT-Sicherheitsaudit umfasst
Wie Auditkriterien, Nachweise, Kontrolllücken, Risiken, Empfehlungen und die Berichterstattung an das Management strukturiert werden.
Artikel lesenRechtliche und regulatorische Anforderungen
Wie Tests die Erfüllung regulatorischer und vertraglicher Verpflichtungen unterstützen.
In Europa und den Vereinigten Staaten verpflichten gesetzliche Vorschriften und branchenspezifische Rahmenwerke Organisationen zunehmend dazu, die Wirksamkeit ihrer Sicherheitskontrollen zu prüfen. Autorisierte Penetrationstests und IT-Audits liefern die dokumentierten Nachweise, die Aufsichtsbehörden, Prüfer und Geschäftspartner erwarten.
Europa
Das europäische Recht betrachtet Sicherheitstests als Teil der Pflicht einer Organisation, personenbezogene Daten und wesentliche Dienste zu schützen.
GDPR, Artikel 32
Verlangt risikogerechte technische und organisatorische Maßnahmen, einschließlich eines Verfahrens zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit von Sicherheitskontrollen.
NIS2-Richtlinie
Verpflichtet wesentliche und wichtige Einrichtungen, Cyberrisiken zu steuern und Maßnahmen zu überprüfen; Penetrationstests sind eine anerkannte Methode, um die tatsächliche Wirksamkeit von Sicherheitskontrollen nachzuweisen.
DORA
Schreibt für Finanzunternehmen in der EU Tests der digitalen operationalen Resilienz vor, einschließlich bedrohungsorientierter Penetrationstests für bestimmte Institute.
Nationale Rahmenwerke
Branchenspezifische und nationale Vorschriften, beispielsweise im Gesundheitswesen, im Energiesektor und in der öffentlichen Verwaltung, verweisen häufig auf unabhängige Sicherheitstests als Nachweis der gebotenen Sorgfalt.
Vereinigte Staaten
In den USA ergeben sich Verpflichtungen aus bundesrechtlichen Vorschriften, Branchenstandards und den Datenschutzgesetzen der Bundesstaaten. Viele davon nennen Penetrationstests ausdrücklich.
PCI DSS
Anforderung 11 schreibt jeder Organisation, die Zahlungskartendaten speichert, verarbeitet oder übermittelt, regelmäßige Penetrationstests der Karteninhaberdatenumgebung vor.
HIPAA-Sicherheitsregel
Verpflichtet die dem Geltungsbereich unterliegenden Einrichtungen zur Bewertung technischer Schutzmaßnahmen; Penetrationstests können diese Bewertung unterstützen, werden jedoch von HIPAA nicht ausdrücklich vorgeschrieben.
GLBA / SOX
Finanzunternehmen und börsennotierte Organisationen müssen geprüfte Kontrollen für Finanzsysteme und Kundeninformationen nachweisen.
Datenschutzgesetze der US-Bundesstaaten
Gesetze wie CCPA/CPRA verlangen angemessene Sicherheitsverfahren; dokumentierte Tests sind ein zentraler Nachweis dafür, dass diese Anforderung erfüllt wird.
Internationale Rahmenwerke
Die Auswahl des Rahmenwerks hängt von den Systemen, vertraglichen Verpflichtungen und dem Risiko ab.
ISO/IEC 27001
Eine Norm für das Informationssicherheitsmanagement. Technische Prüfungen können die Risikobehandlung und die Bewertung von Sicherheitsmaßnahmen unterstützen.
SOC 2
Ein Rahmenwerk zur Prüfung und Bestätigung von Kontrollen bei Dienstleistungsorganisationen, keine allgemeine Verpflichtung zu Penetrationstests.
NIST CSF
Ein Rahmenwerk für das Management von Cybersicherheitsrisiken, das als Grundlage für Prüfziele und die Planung von Verbesserungen dienen kann.
Diese Übersicht dient der allgemeinen Information und stellt keine Rechtsberatung dar. Welche konkreten Pflichten gelten, hängt von Ihrer Branche, den von Ihnen verarbeiteten Daten und den Rechtsordnungen ab, in denen Sie tätig sind. DIGITPOL bestätigt die geltenden Anforderungen im Rahmen der Festlegung des Auftragsumfangs.