Scope einfach erklärt
Bevor ein Penetrationstest beginnt, muss klar sein, worauf er sich bezieht: auf eine bestimmte Webanwendung, auf alle aus dem Internet erreichbaren Server, auf das interne Netz eines Standorts oder auf den Umgang Ihres Teams mit Phishing-Mails. Diese Festlegung heißt Scope, auf Deutsch Prüfumfang.
Ein Vergleich aus dem Alltag: Wer vor einem Hauskauf ein Gutachten in Auftrag gibt, legt fest, was untersucht werden soll – nur das Dach oder auch Keller, Elektrik und Heizung. Was nicht im Auftrag steht, wird nicht geprüft, und dazu enthält das Gutachten später auch keine Aussage. Genauso ist es beim Pentest: Ein Bericht trifft nur Aussagen über die Systeme, die im Scope lagen.
So funktioniert die Festlegung des Scopes
Der Scope entsteht im sogenannten Scoping, einem Gespräch oder Fragebogen vor dem Angebot. Dabei werden typischerweise diese Punkte geklärt:
- Prüfgegenstände: Welche Anwendungen, Schnittstellen, IP-Adressbereiche, Cloud-Umgebungen, Standorte oder Personengruppen gehören dazu?
- Ausschlüsse: Was wird bewusst nicht getestet – etwa Systeme von Dienstleistern, für die keine Erlaubnis vorliegt?
- Perspektive: Wird von außen getestet, wie durch einen Angreifer aus dem Internet, oder von innen, wie durch einen infizierten Arbeitsplatzrechner?
- Informationsstand: Erhält das Prüfteam kaum Vorabwissen (Black-Box-Test), Testkonten und Dokumentation (Grey-Box-Test) oder umfassenden Einblick bis zum Quellcode (White-Box-Test)?
- Umfang und Tiefe: Wie viele Benutzerrollen, Funktionen oder Systeme werden geprüft, und an welchen Standards orientiert sich der Test?
- Testumgebung: Wird im Live-Betrieb getestet oder in einer separaten Testumgebung, und welche Zugänge werden benötigt?
Der Scope beantwortet die Frage „Was wird geprüft?“. Wie getestet wird – Zeitfenster, erlaubte Techniken, Eskalationswege –, regeln die Rules of Engagement.
Ein Beispiel aus der Praxis
Ein Onlinehändler möchte „den Webshop“ testen lassen. Im Scoping zeigt sich, dass dazu mehr gehört als die Shopseiten: eine App für Stammkunden, eine Schnittstelle, über die der Shop Daten mit dem Warenwirtschaftssystem austauscht, und ein Verwaltungsbereich für den Kundenservice. Der externe Zahlungsdienstleister wird ausgeschlossen, weil sein System nicht dem Händler gehört.
Getestet wird in einer Testumgebung, mit Testkonten für drei Rollen: Kunde, Kundenservice und Administrator. Das Ergebnis ist ein Angebot, das zu den tatsächlichen Risiken passt. Die gravierendste Lücke findet das Prüfteam später ausgerechnet in der Schnittstelle – mit dem ursprünglich gedachten Scope wäre sie unentdeckt geblieben.
Warum ist das für Unternehmen wichtig?
Ein zu enger Scope erzeugt blinde Flecken und trügerische Sicherheit: Der Bericht ist sauber, doch die eigentliche Schwachstelle lag außerhalb des Prüfumfangs. Ein zu weiter Scope verteilt das Budget dagegen auf viele Systeme, sodass für die kritischen zu wenig Prüfzeit bleibt.
Der Scope bestimmt außerdem den Preis. Angebote verschiedener Anbieter lassen sich nur vergleichen, wenn sie denselben Prüfumfang abdecken. Zudem hat er eine rechtliche Seite: Getestet werden darf nur, wofür eine Erlaubnis vorliegt. Und auch Nachweise gegenüber Kunden, Versicherern oder Auditoren gelten immer nur für den geprüften Umfang. Auch ein späterer Retest, also die erneute Prüfung nach der Behebung, bezieht sich auf die Schwachstellen, die in diesem Umfang gefunden wurden.
Worauf Sie achten sollten
- Vom Risiko ausgehen: Fragen Sie zuerst, welche Daten und Abläufe für Ihr Unternehmen am wichtigsten sind, und richten Sie den Scope danach aus.
- Vollständig denken: Beziehen Sie Schnittstellen, Apps, Verwaltungsbereiche, Subdomains – also Unteradressen Ihrer Website – und Cloud-Konten ein, die zur Anwendung gehören.
- Ausschlüsse dokumentieren: Halten Sie schriftlich fest, was nicht getestet wird und warum.
- Eigentum klären: Stellen Sie sicher, dass die genannten Systeme und IP-Adressen Ihnen gehören oder der Betreiber dem Test zustimmt.
- Testkonten vorbereiten: Planen Sie Zugänge für alle relevanten Benutzerrollen ein.
- Angebote fair vergleichen: Achten Sie darauf, dass alle Angebote denselben Prüfumfang beschreiben.
Wie Rootsektor unterstützt
Bei Penetrationstests und Sicherheitsanalysen klären wir den Prüfumfang im Scoping gemeinsam mit Ihnen und schlagen bei Bedarf einen sinnvollen Zuschnitt vor. Innerhalb von 24 Stunden nach dem Scoping (an Werktagen) erhalten Sie ein Festpreisangebot – ohne Nachforderungen für den vereinbarten Umfang. Auf Wunsch unterzeichnen wir vorab eine Vertraulichkeitsvereinbarung. Ihren Prüfumfang können Sie direkt über unser Pentest-Angebot beschreiben.