Unternehmen haben Daten unzureichend gesichert

Penetrationstest
Viele Unternehmen gehen mit all den Kundendaten viel zu schludrig um. Sie meinen zwar, dass sie gesichert sind, doch gegen echte Hacker haben sie meist keine Chance.

Unternehmen haben Daten unzureichend gesichert

Sucht man bei Google nach Begriffen, wie Datenleak oder Hackerangriff auf Unternehmen, wird man zahlreiche Suchergebnisse vorfinden. Nicht zuletzt gab es einen großen Skandal um das Punkteprogramm von Mastercard, wo sämtliche Daten im Netz geleaked wurden, was natürlich für Empörung sorgte.
Viele Unternehmen gehen mit all den Kundendaten viel zu schludrig um. Sie meinen zwar, dass sie gesichert sind, doch gegen echte Hacker haben sie meist keine Chance.

Aus dem Grunde sollte einmalig Geld investiert werden in z. B. ein Penetrationtesting Unternehmen, welches das Unternehmen und dessen Schwachstellen auf Herz und Nieren untersucht. Wurde man einmal gehacked, kann dies bedeutend teurer werden.

 

Abhilfe schaffen mittels eines Penetrationstest

Mit einem Penetration Test wird das Ziel verfolgt, die eigene IT Sicherheit im Unternehmen auf Schwachstellen zu untersuchen sowie darin angelegte persönliche Daten und Kundendaten. Das beauftragte Unternehmen beschäftigt Hacker und simuliert damit einen realen Angriff von der Außenwelt.
Ob es sich bei dem Test um einen Blog, einen Onlineshop oder ein komplexes Netzwerk handelt, ist irrelevant. Die Art des Angriffes, welche Informationen das Ziel sind können vorab ausführlich definiert werden.

 

Der Ablauf während des Hackerangriffs

Sind die Formalien alle geklärt, kann es zum eigentlichen Auftrag kommen: Dem Angriff. Im ersten Schritt geht es um die Informationsbeschaffung. Dazu machen sich die Angreifer öffentliche Seiten sowie soziale Netzwerke und Co zu Nutze und sammeln sämtliche Informationen über das Unternehmen, die öffentlich einsehbar sind.
Die gesammelten Daten aus der Informationsbeschaffung werden genutzt, um Einstiegspunkte für die zweite Phase zu definieren.

Aus der Theorie wird nun Praxis und die ersten Recherchen über praktische Anwendungsfälle, wie beispielsweise dem Testen von Netzwerken findet statt. Hierbei können bereits einzelne Komponenten analysiert werden, welche Schwachstellen aufweisen können.

In der vorletzten Phase müssen die aufgedeckten Schwachstellen nun verifiziert werden. Dies geschieht, in dem für die aus Phase 2 entdeckten Schwachstellen gezielt Exploits entwickelt werden, um detaillierte Informationen zu beschaffen. Ist dieser Schritt geschafft, ist das Haupttor geöffnet und viele kleine weitere Türen öffnen sich eventuell, die den Angreifern Zugriff in weitere Systeme verschaffen.

Im letzten Schritt werden dann alle gefundenen Schwachstellen ausführlich dokumentiert und wie diese Schwachstellen ausgenutzt werden können. Diese Dokumentation muss bereits während dem Angriff zeitnah erstellt werden, damit sämtliche Einzelheiten im Nachhinein mit dem Kunden besprochen werden können. Zusätzlich wird noch ein Bericht erstellt, welcher zu jeder Sicherheitslücke und insgesamt Maßnahmen vorschlägt, wie diese geschlossen werden können.