Security Check oder Penetrationstest: der Unterschied

Wer seine IT prüfen lassen will, stösst schnell auf zwei Begriffe: Security Check und Penetrationstest. Beide suchen nach Schwachstellen, aber sie gehen unterschiedlich weit. Im Kern geht es um eine Frage: Wird nur geprüft, ob eine Tür offen steht, oder geht jemand durch die Tür hindurch?

Was ein Penetrationstest ist

Bei einem Penetrationstest greifen Fachleute Ihre Systeme mit Ihrer Erlaubnis gezielt an. Sie nutzen gefundene Lücken aus, versuchen tiefer ins Netz zu gelangen und zeigen, wie weit ein Angreifer tatsächlich käme. Je nach Auftrag gehören auch Anrufe oder Besuche vor Ort dazu, um Mitarbeitende zu täuschen. Ein solcher Test braucht einen klar abgegrenzten Umfang, sorgfältige Planung und kann laufende Systeme belasten. Er lohnt sich vor allem dort, wo eigene Anwendungen, ein Webshop mit Kundendaten oder die Vorgaben eines Kunden eine tiefe Prüfung verlangen.

Was der OSAL Security Check ist

Der Security Check schaut Ihre Firma so an, wie ein Angreifer sie sieht, aber ohne einzudringen. Er besteht aus vier Teilen:

• Aussensicht: Domain und DNS, SPF, DKIM und DMARC, öffentlich erreichbare Dienste und Ports, TLS und Softwareversionen, Subdomains sowie die Suche nach geleakten Zugangsdaten Ihrer Firmendomain
• Microsoft 365 mit temporärem Leserecht: Secure Score, MFA-Abdeckung, Conditional Access, Admin-Rollen, veraltete Anmeldeverfahren, externe Freigaben, Weiterleitungsregeln, Backup und Defender-Status
• Phishing-Test: eine Test-Mail an alle Mitarbeitenden mit Einwilligung der Geschäftsleitung, eingegebene Passwörter werden nicht gespeichert
• Stichprobe an zwei bis drei Arbeitsplätzen: Windows-Version, Verschlüsselung, lokale Adminrechte, Virenschutz, Updatestand und Bildschirmsperre

Alle Prüfungen sind nicht-invasiv: keine Ausnutzung von Lücken, keine Lasttests, keine Veränderung von Daten. Wir belegen, dass eine Tür offen ist, wir gehen nicht hindurch.

Der Unterschied auf einen Blick

• Ziel: Der Check zeigt, wo Türen offen stehen. Der Penetrationstest zeigt, wie weit ein Angreifer durch eine offene Tür käme.
• Methode: Der Check prüft von aussen, mit Leserecht und mit einer Test-Mail. Der Penetrationstest nutzt Lücken aktiv aus.
• Risiko für den Betrieb: Der Check verändert nichts. Ein Penetrationstest greift in laufende Systeme ein und braucht deshalb Absprachen zu Zeitfenstern und Grenzen.
• Ergebnis: Der Check liefert einen Bericht mit Ampel, den fünf wichtigsten Befunden mit Beleg und einem Massnahmenplan. Ein Penetrationstest liefert einen technischen Bericht über die getesteten Angriffswege.

Der Check ersetzt also keinen Penetrationstest. Er gibt keine Garantie auf Vollständigkeit, prüft keine Branchensoftware, Datenbanken oder Eigenentwicklungen und ist kein Ersatz für ein ISO-27001-Audit oder die Prüfung nach einem Versicherungsfragebogen. Dafür ist er schnell und verständlich: Der Ablauf dauert sieben Tage, von Ihnen braucht er 20 Minuten für den Auftrag und 30 Minuten für die Besprechung.

Beides nur mit Unterschrift

Ob Check oder Penetrationstest: Wer ohne Erlaubnis in fremde Datenverarbeitungssysteme eindringt, macht sich in der Schweiz strafbar. Seriöse Prüfungen beginnen deshalb mit einem schriftlichen Auftrag. Beim Security Check unterschreibt eine zeichnungsberechtigte Person den Prüfauftrag, vorher scannen wir nichts. 30 Tage nach dem Bericht löschen wir die Prüfdaten und entziehen das Leserecht.

Welcher Ansatz passt zu Ihnen?

Ein Security Check passt, wenn:

• Sie keinen aktuellen Überblick über Ihre Sicherheit haben
• Ihre IT vor allem aus Microsoft 365, Arbeitsplätzen und einer Firewall besteht
• Sie eine zweite Meinung zur Arbeit Ihres IT-Partners möchten

Ein Penetrationstest passt, wenn:

• die Grundlagen wie MFA, Updates und Sicherung bereits stehen
• Sie eigene Anwendungen oder einen Webshop betreiben
• ein Kunde oder eine Ausschreibung ihn ausdrücklich verlangt

Für viele KMU ist der Security Check der naheliegende erste Schritt. Bei OSAL zahlen Sie nur pro belegte Schwachstelle: CHF 190 für eine kritische, CHF 90 für eine hohe und CHF 40 für eine mittlere, Hinweise kosten nichts. Der Betrag ist bei CHF 690 gedeckelt, exkl. MwSt., und finden wir nichts, kostet der Check nichts und Sie erhalten ein Zertifikat. Zeigt der Bericht danach Bedarf für einen tieferen Test, wissen Sie genau, wo er ansetzen sollte.