IT-Prüfung mit Zugang

Warum von außen nicht genügt

Ein Scan von außen sieht, was der Server nach draußen gibt: Verschlüsselung, Kopfzeilen, Cookies, Pflichtangaben. Das ist prüfbar und es ist wichtig. Die Fehler, die einen Betrieb wirklich treffen, liegen aber innen — und dort sieht kein Scanner hin.

Dies ist deshalb keine Prüfung gegen Ihr System, sondern eine Prüfung in Ihrem System: mit Zugängen, lesend, ohne eine einzige Änderung.

Was geprüft wird

• Aktualität: Fassungsstände von CMS, Erweiterungen, Bibliotheken und Laufzeitumgebung. Wer aktualisiert, in welchem Takt, und was hängt seit Jahren?
• Sicherung: Gibt es eine? Wie oft, wie lange aufbewahrt, wo gespeichert, verschlüsselt? Und die Frage, an der es meistens scheitert: Wurde sie jemals zurückgespielt? Eine Sicherung, die nie zurückgespielt wurde, ist keine.
• Konten: Wer hat Zugang — auch ausgeschiedene Mitarbeiter, frühere Agenturen, geteilte Zugänge ohne Namen? Gibt es eine Zwei-Faktor-Anmeldung?
• Rechte: Ist jeder Redakteur Administrator? Läuft die Anwendung mit einem Datenbankbenutzer, der alles darf?
• Protokollierung: Wird aufgeschrieben, wer sich anmeldet und was geändert wird — und sieht das jemand an? Ohne Protokolle bleibt ein Einbruch unbemerkt.
• E-Mail: SPF, DKIM und DMARC. Fehlen sie oder stehen sie auf wirkungslos, kann jeder in Ihrem Namen schreiben.
• DNS: CAA, DNSSEC, verwaiste Einträge — und wer eigentlich Zugang zum Registrar hat.
• Trennung: Laufen Test und Produktion auf derselben Maschine? Liegen echte Kundendaten im Entwicklungssystem?
• Zuständigkeit: Wer administriert den Server? Das ist der häufigste Befund von allen — und der, der alle anderen erklärt.

Was dabei nicht geschieht

Dies ist kein Penetrationstest. Es gibt keine Eingaben in Formulare, kein Einschleusen von Zeichenketten, keine Anmeldeversuche, kein Durchprobieren von Pfaden, kein Fuzzing, keine Lasttests und kein Ausnutzen einer gefundenen Schwäche. Geändert wird nichts.

Das ist kein Mangel, sondern der Grund, warum die Prüfung ohne Wartungsfenster, ohne Risiko für den Betrieb und ohne Abstimmung mit Ihrem Hoster läuft. Wer einen Penetrationstest braucht, braucht eine andere Leistung mit anderem Vertrag — und wir sagen das, statt sie mitzuverkaufen.

Wie wir arbeiten

• Eigene, personenbezogene Zugänge, die Sie nachher entziehen — keine geteilten Kennwörter.
• Verschwiegenheit schriftlich. Wo personenbezogene Daten Ihrer Kunden sichtbar werden können, kommt ein Vertrag über die Auftragsverarbeitung dazu.
• Lesend. Wo etwas zu ändern wäre, steht es im Bericht — geändert wird es nur, wenn Sie es gesondert beauftragen.

Was Sie bekommen

• Einen Bericht, geordnet nach Auswirkung, mit konkreter Abhilfe je Punkt — geschrieben für die Geschäftsführung und für die Technik, in zwei Auflösungen.
• Eine Liste der Sofortmaßnahmen: das, was diese Woche passieren sollte.
• Eine Zuständigkeitsübersicht: welches System bei wem liegt, welche Zugänge existieren und welche gekündigt werden sollten.
• Eine Besprechung des Berichts.

Aufwand

Abgerechnet wird nach Aufwand. Für einen gewöhnlichen Auftritt mit einem CMS, einer Domain und einem Hoster:

• Zugänge, Abstimmung, Vorbereitung — 1 bis 2 Stunden
• Bestandsaufnahme: Fassungen, Erweiterungen, Konten, Rechte — 2 bis 4 Stunden
• Sicherung und Rückspielfähigkeit — 1 bis 2 Stunden
• Protokollierung, E-Mail-Authentisierung, DNS — 2 bis 3 Stunden
• Trennung der Umgebungen, Zuständigkeiten — 1 bis 2 Stunden
• Bericht und Besprechung — 3 bis 4 Stunden
• Zusammen 10 bis 17 Stunden.

Auf Anfrage: jede weitere Domain, jeder weitere Hoster, ein eigener Server statt eines Webhostings, mehr als ein CMS — und vor allem angemeldete Bereiche und Kundenbereiche. Dort ist der Aufwand ohne Blick hinein nicht abschätzbar, und eine Zahl wäre geraten.

Sie bekommen ein verbindliches Angebot, sobald der Umfang feststeht. Alle Beträge netto, zuzüglich 19 % Umsatzsteuer.