Mit dem Prüfziel beginnen
Sie wollen wissen, welche Ihrer Systeme aus dem Internet sichtbar sind, ob deren Konfiguration auffällt und welche Maßnahmen zuerst sinnvoll sind? Dafür ist eine externe Sicherheitsanalyse ein passender Ausgangspunkt. Soll dagegen eine Anwendung mit ihren Rollen, Datenzugriffen und Geschäftsabläufen untersucht werden, braucht der Auftrag die entsprechende Pentest-Tiefe.
Die Unternehmensgröße entscheidet diese Auswahl nicht. Ein internationaler IT-Dienstleister kann für eine einzelne Domain einen begrenzten Außencheck benötigen. Ein kleiner Softwareanbieter kann wegen seines Kundenportals eine detaillierte Anwendungsprüfung brauchen. Schreiben Sie die konkrete Frage vor die Methodenliste: Was müssen wir nach der Prüfung besser entscheiden können?
NIST beschreibt Sicherheitsprüfungen als geplanten Ablauf mit passenden Methoden, Auswertung und Maßnahmen. Der Name einer Leistung allein sagt deshalb wenig über den vereinbarten Umfang aus. [1]
Die Unterschiede im direkten Vergleich
Die folgende Übersicht ist eine Entscheidungshilfe für den Auftrag. Bei Cyberkern richtet sich der genaue Umfang nach den vereinbarten Systemen und Fragestellungen.
| Entscheidungspunkt | Externe Sicherheitsanalyse | Pentest |
|---|---|---|
| Typische Frage | Was ist von außen sichtbar und auffällig? | Welche vereinbarten Funktionen und Sicherheitsgrenzen lassen sich umgehen? |
| Grundlage | Domains, erreichbare Dienste und freigegebene externe Prüfungen | Anwendung, Funktionen, Testkonten und erwartete Berechtigungen nach Auftrag |
| Ergebnis | Geordnete Befunde zur Außenfläche und priorisierte Maßnahmen | Nachweise aus den vereinbarten Tests mit Auswirkung und Behebung |
| Passender Anlass | Bestandsaufnahme, Domainwechsel oder Überblick vor einer Vertiefung | Neue Funktionen, geänderte Rollen oder konkrete Fragen zur Anwendung |
Ein Kundenportal verlangt mehr als einen Außencheck
Ein gültiges TLS-Zertifikat zeigt nicht, ob Kunden nur ihre eigenen Dokumente sehen dürfen. Für eine belastbare Rechteprüfung werden erlaubte Zugriffe mit unterschiedlichen Testidentitäten verglichen. OWASP empfiehlt dafür mehrere Nutzer und getrennt zugeordnete Testobjekte.
Für ein IT-Haus oder eine Beratung mit Kundenportal lohnt sich deshalb eine klare Aufteilung: zuerst die öffentlich erreichbaren Dienste zuordnen, danach die relevanten Rollen und Kundenbereiche gezielt untersuchen. Die Schritte können getrennt beauftragt werden. Ihr Nutzen entsteht aus der beantworteten Frage, nicht aus möglichst vielen Prüfbegriffen im Angebot. [2]
Angebote anhand von fünf Punkten vergleichen
Zwei Angebote lassen sich erst sinnvoll vergleichen, wenn sie dasselbe Ziel und vergleichbare Voraussetzungen haben. Fragen Sie bei einem pauschalen Paket nach diesen Angaben:
- Welche Domains, Anwendungen, Schnittstellen und Umgebungen sind eingeschlossen?
- Welche Prüfungen sind vorgesehen und welche ausdrücklich ausgeschlossen?
- Welche Informationen, Testkonten und Ansprechpartner müssen bereitstehen?
- Welche Belege, Maßnahmen und offene Fragen enthält der Bericht?
- Wie werden Korrekturen, Rückfragen und eine mögliche Nachprüfung vereinbart?
Für IT-Dienstleister: Zuständigkeiten vorab festhalten
Bei betreuten Kundensystemen müssen Auftraggeber, Betreiber und technischer Ansprechpartner zusammenpassen. Halten Sie fest, wer welche Domains kontrolliert, wer die Prüfung freigibt und wer Änderungen durchführen darf. Ein Hostingvertrag oder Administrationszugang beschreibt diese Zuständigkeiten nicht immer vollständig.
Dokumentieren Sie außerdem, welche Kunden oder Projekte vom Ergebnis betroffen sind. Ein gemeinsamer Dienst kann mehrere Aufträge berühren, während ein isoliertes Projekt nur einen kleinen Ausschnitt bildet. Diese Zuordnung hilft später, Maßnahmen an die richtige Person zu geben und unnötige Rückfragen zu vermeiden.
Mit einer kurzen Anfrage starten
Für die erste Einordnung genügen das Prüfziel, die betroffenen Domains oder Anwendungen und ein gewünschter Zeitraum. Zugangsdaten oder vertrauliche Kundendokumente gehören nicht in das Kontaktformular. Cyberkern stimmt den konkreten Umfang vor dem Auftrag ab. Sie erhalten damit eine Grundlage für die passende Prüfung, ohne bereits eine fertige technische Spezifikation erstellen zu müssen.
Weiterlesen
Quellen & Vertiefung
Primärquellen abgeglichen am 05.10.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.