Verlangt NIS2 Penetrationstests? Wann und in welchem Umfang?

Was NIS2 wirklich verlangt

Art. 21 Abs. 2 NIS2 listet 11 Mindestmaßnahmen, eine explizite Pen-Test-Pflicht steht nicht darunter. Aber zwei Maßnahmen führen praktisch dorthin:

• lit. e) „Sicherheit beim Erwerb, der Entwicklung und der Wartung von Netz- und Informationssystemen, einschließlich Verwaltung und Offenlegung von Schwachstellen", verlangt strukturiertes Schwachstellen-Management
• lit. f) „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit", verlangt Wirksamkeits-Tests

Beide Pflichten lassen sich ohne strukturierte Sicherheitstests nicht erfüllen. Die EU-Implementing Acts werden voraussichtlich konkretere Anforderungen zu Test-Frequenzen und -Methoden festlegen. Bis dahin gilt: was als „Stand der Technik" für vergleichbare Unternehmen angemessen wäre.

Die Aufsichtspraxis in den EU-Vorreiter-Staaten (FR, IT, AT) erkennt typischerweise an: jährlicher Pen-Test der Internet-Perimeter, alle 2-3 Jahre interne Pen-Tests, anlassbezogene Tests nach Architektur-Änderungen. Wer diese Frequenz hält, ist auf der sicheren Seite.

Pen-Test-Standards im Überblick

Pen-Tests folgen etablierten Methodologien. Die wichtigsten:

OSSTMM (Open Source Security Testing Methodology Manual):

• Sehr breit angelegt, deckt physische und logische Sicherheit ab
• Wissenschaftlich-formaler Ansatz
• Für regulierte Unternehmen mit hohem Audit-Anspruch geeignet

PTES (Penetration Testing Execution Standard):

• Pragmatischer, sieben-Phasen-Ansatz
• Geeignet für kommerzielle Pen-Tests in IT-Umgebungen
• De-facto-Standard für viele Pen-Test-Anbieter

OWASP Testing Guide:

• Spezialisiert auf Web-Anwendungen
• Top-10-Liste der häufigsten Schwachstellen als Mindest-Test-Umfang
• Bei web-basierten Anwendungen Pflicht-Referenz

BSI-Durchführungskonzept Penetrationstests:

• Nationaler Standard, gut dokumentiert
• 5-Phasen-Modell (Vorbereitung, Informationsbeschaffung, Bewertung, Aktive Eindringversuche, Abschluss)
• Wird von deutschen Aufsichtsbehörden als Bezugsdokument akzeptiert

TIBER-EU / TLPT (Threat-Led Penetration Testing):

• EU-/EZB-Standard für Finanzsektor
• Threat-Intelligence-basiert, eng mit Aufsicht koordiniert
• Aufwendig (3-6 Monate pro Test, 6-stellige Kosten)

Das BSI Durchführungskonzept für Penetrationstests ist für deutsche Unternehmen die maßgebliche Referenz.

Test-Arten und Scope-Entscheidungen

Die Scope-Entscheidung ist die wichtigste Vor-Test-Entscheidung. Ein zu enger Scope produziert kosmetische Berichte, ein zu breiter Scope sprengt das Budget. Die BSI-Empfehlung: Scope-Festlegung gemeinsam mit dem Pen-Test-Anbieter, auf Basis der Asset-Liste und der Risikobewertung.

Frequenz und Trigger-Ereignisse

NIS2-konforme Test-Frequenz für KMU:

• Internet-Perimeter, mindestens jährlich, idealerweise gekoppelt mit jährlichem Vulnerability-Scan
• Interne Netzwerke, alle 2-3 Jahre, häufiger bei sicherheits-relevanten Umgebungen (OT, Forschungsumgebung)
• Kritische Web-Anwendungen, vor jedem Major-Release plus jährlich
• Architektur-Änderungen, bei jeder größeren Netzwerk-Umstrukturierung, Cloud-Migration, neuen Standorten
• Nach Vorfällen, Pen-Test als Validierung der Abhilfe-Maßnahmen

Mehrere Vorfall-Ereignisse triggern besonders genauen Nachweis: nach Major-Vorfällen ist ein nachweisbarer Pen-Test eines der zentralen Compliance-Belege.

Auswahl des Pen-Test-Anbieters

Kriterien für die Anbieter-Auswahl:

• Zertifizierungen der Tester, OSCP, CREST, OSCE, GIAC-GPEN gelten als Mindeststandard
• BSI-Anerkennung, der Anbieter sollte in der BSI-Liste IT-Sicherheitsdienstleister gelistet sein
• Methodologie-Anwendung, konkrete Beschreibung, welcher Standard angewendet wird
• Berichts-Qualität, Demo-Berichte einfordern (anonymisiert), Berichtsstruktur prüfen
• Re-Test-Inklusive, ein Folge-Test 4-6 Wochen nach Remediation sollte Standard sein
• Liability und NDA, vertragliche Absicherung im Falle von Schäden während des Tests
• Eskalations-Pfad, was passiert bei kritischen Findings während des Tests?

Preise für KMU: external Pen-Test 5.000-15.000 €, internal Pen-Test 10.000-25.000 €, Web-App-Pen-Test 5.000-20.000 € (je nach Komplexität). Sehr günstige Angebote unter 3.000 € liefern meist nur automatisierte Scans, kein echter Pen-Test.

Praxis: Erste Pen-Test-Wellen für NIS2-Compliance

Erste Test-Welle:

1. External Network Pen-Test, höchste Priorität, geringstes Risiko für Produktivbetrieb
2. Web-App-Pen-Test der wichtigsten Anwendung, typisch Online-Shop, Kundenportal, B2B-Plattform
3. Phishing-Simulation, günstig (1.000-5.000 €), hohe Lernwirkung
4. Cloud-Konfigurations-Review, wenn Cloud-Migration relevant ist
5. Internal Pen-Test, als zweite Welle nach Aufbau der Basis-Maßnahmen (sonst zu viele Findings)

Wichtig: die Test-Wellen über 6-18 Monate verteilen, nicht parallel. Sonst können die internen Teams die Findings nicht abarbeiten und der Effekt verpufft.

FAQ

Reichen automatische Vulnerability-Scans aus?

Nein. Automatische Scans (Tenable, Qualys, OpenVAS) finden bekannte Schwachstellen, aber keine logischen Lücken, keine Geschäftslogik-Fehler, keine kombinierten Angriffe. Sie sind notwendige Grundlage, ersetzen aber keinen Pen-Test. Die BSI-Empfehlung: monatlicher automatischer Scan plus jährlicher Pen-Test.

Müssen Pen-Tester vor Ort sein?

Bei externen Tests in der Regel nicht, sie testen über das Internet. Bei internen Tests ist eine VPN-Anbindung oder ein vor-Ort-Termin mit Test-Laptop üblich. Für sensible Umgebungen (OT, Hochsicherheit) sind vor-Ort-Tests Standard.

Was passiert, wenn der Pen-Test ein produktives System lahmlegt?

Das ist im Pen-Test-Vertrag (typisch „Rules of Engagement") klar zu regeln. Übliche Vereinbarungen: keine destruktiven Tests ohne explizite Zustimmung, keine DoS-Tests im Produktiv-Umfeld, sofortiger Test-Stopp bei kritischen Findings. Trotzdem kann ein Pen-Test unbeabsichtigte Effekte haben, eine Notfall-Eskalationskette muss vorab vereinbart sein.

Wie sehr sollten wir die Tester über unsere Umgebung informieren?

Drei Modelle: Black-Box (Tester kennt nichts, simuliert externen Angreifer), Grey-Box (Tester bekommt Basisinformationen, simuliert Insider mit Vorinformation), White-Box (Tester bekommt alles inkl. Doku und ggf. Code, max. Test-Effizienz). White-Box ist effizientester Einsatz des Budgets, Grey-Box ein guter Kompromiss aus Realismus und Effizienz.

Müssen Pen-Test-Berichte vorgehalten werden?

Ja. Im Rahmen der NIS2-Wirksamkeits-Bewertung (Art. 21 Abs. 2 lit. f) sind die Test-Berichte mindestens 3 Jahre aufzubewahren, in regulierten Branchen (Banken, Versicherungen) länger. Die Berichte sind als „streng vertraulich" zu klassifizieren, sie enthalten oft Angriffspfade, die im falschen Hände-Bereich gefährlich wären.