Penetrationstest

Der Betreiber der Anwendung und der Anbieter der Infrastruktur. Eine Einwilligung deckt nur, was dem Einwilligenden gehört; bei gemieteten Servern trifft der Testverkehr fremde Systeme mit. Der PCI Security Standards Council verlangt in seinem Leitfaden zum Penetrationstest die vorherige Freigabe des Hosters, sobald dessen Vertrag sie vorsieht, und nimmt die vom Anbieter gestellte Infrastruktur samt Verwaltungsoberflächen ausdrücklich aus dem Umfang heraus. Ohne diese zweite Freigabe bleibt der Zugriff dort unbefugt im Sinne von § 202a StGB.

PCI DSS ja, NIS2 nein. Wer Kartendaten verarbeitet, muss laut PCI Security Standards Council mindestens jährlich und nach jeder bedeutenden Änderung testen lassen; ein Schwachstellenscan ist dort vierteljährlich fällig (Penetration Testing Guidance v1.1, September 2017). Das deutsche NIS2-Recht zählt in § 30 Absatz 2 BSIG zehn Maßnahmen auf – der Penetrationstest ist keine davon, verlangt sind nur Verfahren zur Bewertung der Wirksamkeit. Anordnen kann das Bundesamt eine Prüfung trotzdem, § 61 BSIG.

Dass im vereinbarten Umfang, mit der vereinbarten Tiefe und im vereinbarten Zeitfenster nichts gefunden wurde – mehr nicht. Der Leitfaden des PCI Security Standards Council führt sogar ausdrücklich auf, dass eine ausbleibende Kompromittierung der Zielsysteme ein zulässiges Erfolgskriterium sein kann; der Test endet also an einem vorher gesetzten Punkt. Die Infrastruktur des Hosters, nicht beauftragte Schnittstellen und alles außerhalb des Umfangs bleiben ungeprüft. Die Pflicht zu angemessenen Schutzmaßnahmen trägt weiterhin der Betreiber, Artikel 32 DSGVO.

Abschalten nicht – die Quelladressen des Prüfers freistellen. Bleibt die Filterung scharf, messen Sie die Wirkung der Firewall und nicht die Widerstandsfähigkeit der Anwendung dahinter; genau deshalb rät der PCI Security Standards Council, aktive Schutzsysteme für die Testdauer entsprechend zu konfigurieren. NIST hält in Special Publication 800-115 fest, dass die Prüfadressen in den Prüfplan gehören, damit Administratoren Testverkehr von einem echten Angriff unterscheiden. Beide Fragen sind berechtigt, nur nicht im selben Durchgang.