Penetrationstests: Jährlich oder kontinuierlich?

Kontinuierliche Penetrationstests bewerten die Angriffsfläche eines Unternehmens fortlaufend, anstatt die Sicherheit ausschliesslich während eines einmal jährlich festgelegten Zeitfensters zu überprüfen. Das Wort «kontinuierlich» beschreibt dabei die Häufigkeit und Organisation der Tests, nicht eine bestimmte Technik. Diese Unterscheidung ist wichtig, da der Begriff oft ungenau verwendet wird. Kontinuierliche Penetrationstests sind weder mit regelmässigen Schwachstellenscans noch mit automatisierten Penetrationstests gleichzusetzen, die nach einem festen Zeitplan ablaufen. Schwachstellenscans identifizieren bekannte Sicherheitslücken, versuchen jedoch in der Regel nicht, diese auszunutzen. Ein kontinuierliches Testmodell sieht dagegen wiederkehrende aktive Sicherheitsprüfungen vor, beispielsweise nach der Bereitstellung neuer Software, bei Änderungen der Infrastruktur oder beim Bekanntwerden neuer Schwachstellen. Die Tests sollten dabei einer strukturierten Methodik wie NIST SP 800-115 folgen.

Jährliche Tests bleiben sinnvoll

Jährliche Penetrationstests sind für zahlreiche Unternehmen weiterhin eine angemessene Investition. Ein kleines Unternehmen mit einer weitgehend unveränderten Webanwendung weist zwischen den Prüfungen möglicherweise nur wenige sicherheitsrelevante Veränderungen auf. Eine kontinuierliche Überwachung kann in solchen Fällen zusätzliche Kosten verursachen, ohne einen entsprechenden Erkenntnisgewinn zu liefern. Auch für Sicherheitsteams mit begrenztem Budget und klar definierten Compliance-Anforderungen kann ein einzelner, gut abgegrenzter jährlicher Test ausreichen. Der Prüfbericht dokumentiert die Ergebnisse und liefert eine Liste identifizierter Schwachstellen, die anschliessend behoben werden können. Unternehmen mit stabiler Infrastruktur, begrenzter öffentlicher Angriffsfläche und seltenen Software-Releases fallen ebenfalls in diese Kategorie. Entscheidend ist, die Testhäufigkeit an die Geschwindigkeit der technischen Veränderungen anzupassen.

Wann kontinuierliche Tests Vorteile bieten

Anders sieht die Situation bei Unternehmen aus, deren IT-Umgebung häufigen Veränderungen unterliegt. Dazu gehören insbesondere Organisationen mit kontinuierlichen Deployment-Prozessen, einer wachsenden Cloud-Infrastruktur oder zahlreichen öffentlich zugänglichen APIs. Auch Fusionen und Übernahmen können die Angriffsfläche erheblich verändern, wenn neue Systeme und Anwendungen in die bestehende Infrastruktur integriert werden. Nach Sicherheitsvorfällen können kontinuierliche Tests zudem helfen, die Wirksamkeit umgesetzter Schutzmassnahmen regelmässig zu überprüfen. Ein wesentlicher Vorteil besteht darin, neue Schwachstellen früher zu erkennen, als dies mit einem jährlichen Prüfzyklus möglich wäre. Ob sich dadurch das Sicherheitsrisiko tatsächlich reduziert, hängt allerdings auch von der Qualität der Tests und den internen Kapazitäten zur Behebung identifizierter Schwachstellen ab.

Unterschiede zwischen den Testmodellen

Worauf Unternehmen bei Anbietern achten sollten

Die Leistungen kontinuierlicher Penetrationstests unterscheiden sich teilweise erheblich. Manche Angebote bestehen hauptsächlich aus automatisierten Schwachstellenscans und einer Plattform zur Auswertung der Ergebnisse. Andere kombinieren Automatisierung mit regelmässigen manuellen Prüfungen durch Sicherheitsexperten. Bei der Auswahl sollten Unternehmen deshalb insbesondere klären, welcher Anteil der Tests durch Menschen durchgeführt wird, welche Sicherheitsstandards zur Anwendung kommen und wie sich der Prüfumfang an Veränderungen der IT-Umgebung anpassen lässt.

Weitere Kriterien sind die Nachprüfung behobener Schwachstellen, die Priorisierung und Bereinigung von Befunden sowie die Frage, ob die bereitgestellten Nachweise den jeweiligen Compliance-Anforderungen genügen. Letztlich ist nicht die Bezeichnung des Testmodells entscheidend, sondern seine tatsächliche Abdeckung. Während jährliche Penetrationstests für stabile Umgebungen weiterhin zweckmässig sein können, bieten kontinuierliche Prüfungen bei dynamischen IT-Landschaften die Möglichkeit, Sicherheitslücken zeitnäher zu identifizieren.