Seit LLMs und KI-Agenten in der Lage sind, selbstständig Tools auszuführen und ihre eigenen Ergebnisse zu interpretieren, ist ein Narrativ im Markt entstanden, dem ich in Kundengesprächen und vor allem auf LinkedIn immer häufiger begegne: Autonome KI-Pentester. Systeme, die angeblich ohne menschliche Aufsicht eine vollständige Penetrationstest-Phase abbilden können: Von der Enumerierung bis zur Exploitation, autonom, … [Read more…]

In unseren Projekten mit Herstellern von Medizinprodukten rückt das Thema IT-Sicherheit in den letzten Jahren immer stärker in den Fokus. Viele Hersteller stehen vor der Herausforderung, dass Benannte Stellen im Rahmen der Konformitätsbewertung konkrete Nachweise zur Informationssicherheit einfordern. Der Grund dafür liegt in der fortschreitenden Digitalisierung der Medizintechnik. Kaum ein modernes Medizinprodukt kommt noch ohne … [Read more…]

Seit mittlerweile 13 Jahren führe ich ein Pentesting-Unternehmen. Ich habe den Markt von der Pike auf miterlebt – angefangen damals mit der binsec – binary security UG (haftungsbeschränkt) bis hin zur heutigen binsec group GmbH. In über einem Jahrzehnt an der vordersten Front sieht man so ziemlich alles: grandiose technische Durchbrüche, extrem komplexe Infrastrukturen und … [Read more…]

In vielen aktuellen Anfragen und Ausschreibungen für Penetrationstests wird explizit auf „den BSI-Standard“ oder „den NIST-Standard“ verwiesen. Das klingt zunächst nach methodischer Reife und klaren Qualitätsanforderungen. Aus meiner Sicht ist diese Entwicklung aber nicht unproblematisch: Beide Referenzen sind sehr generisch und ersetzen keine konkrete Leistungsbeschreibung für einen modernen Penetrationstest. Mittlerweile würde ich schätzen, dass gut … [Read more…]

Wer sich im Rahmen einer ISO/IEC 27001:2022 Zertifizierung mit dem Thema Penetration Testing auseinandersetzt, merkt schnell: Die Theorie der Norm und die Realität im Audit klaffen oft meilenweit auseinander. Da die Norm Penetrationstests nicht pauschal als Pflichtmaßnahme vorschreibt, sondern einen risikobasierten Ansatz fordert, betreten viele Unternehmen im Audit eine regulatorische Grauzone. Nach über einem Jahrzehnt … [Read more…]

OWASP ZAP gehört zu den bekanntesten Tools im Web-Pentesting. Viele kommen früher oder später damit in Kontakt. In Trainings, Labs oder ersten eigenen Tests ist es oft eines der ersten Werkzeuge überhaupt. Im professionellen Pentesting spielt ZAP dagegen meist eine kleinere Rolle. Was ist OWASP ZAP? OWASP ZAP ist ein Open-Source-Proxy zur Analyse und Manipulation … [Read more…]

Im Umfeld der Anwendungssicherheit tauchen zwei Referenzen besonders häufig auf: die OWASP Top 10 und die CWE Top 25 Most Dangerous Software Weaknesses. Beide Listen werden regelmäßig in Security-Guidelines, Schulungen oder Pentest-Berichten erwähnt und sollen typische Sicherheitsprobleme in Software sichtbar machen. Auf den ersten Blick scheinen beide Listen dasselbe zu behandeln: häufige Schwachstellen in Software. … [Read more…]

Der Penetration Testing Execution Standard (PTES) beschreibt eine strukturierte Methodik für die Durchführung von Penetrationstests. Ziel des Standards ist es, typische Projektphasen eines Pentests zu definieren und damit einen nachvollziehbaren Ablauf von der Planung bis zur Dokumentation der Ergebnisse zu schaffen. Der Standard entstand um 2010 als gemeinschaftliche Initiative von Sicherheitsexperten. PTES wird bis heute … [Read more…]