Ja, die Webanwendung Ihrer Firma braucht Cybersicherheit vom ersten Tag an
Wenn Ihr Geschäft auf eine Webanwendung setzt, ist die Antwort klar: Sicherheit für Webanwendungen sorgt dafür, dass Ihre Anwendung nicht ausfällt und die Daten Ihrer Kunden nicht gestohlen werden. Eine Webanwendung ist ein Programm, das im Browser läuft, zum Beispiel ein Onlineshop, ein System für Terminbuchungen oder ein Portal, in dem sich Schüler anmelden. Dieses Programm ist den ganzen Tag im Internet erreichbar, und jeder mit einer Verbindung kann an seine Tür klopfen. Cybersicherheit ist eine Reihe von Maßnahmen, die Fremde draußen hält, ihre Versuche erkennt und den Betrieb schnell wieder zum Laufen bringt, wenn etwas schiefgeht.
Unsere Meinung ist eindeutig: Warten Sie nicht auf einen Angriff, bevor Sie an Schutz denken. Ein Angriff bedeutet, dass jemand ohne Erlaubnis in Ihr System eingedrungen ist und Daten gelesen, verändert oder lahmgelegt hat. Den Schaden danach zu beheben, kostet Tage oder Wochen Stillstand, und manche Kunden vertrauen Ihnen nie wieder. Schutz, der von Anfang an eingebaut ist, arbeitet dagegen still im Hintergrund, und Ihre Kunden spüren ihn nur als Gefühl von Sicherheit.
Es spielt keine Rolle, ob Ihr Betrieb klein ist. Der Apotheker, der über seine Website verkauft, die Leiterin einer Praxis mit Patientenakten und der Schulleiter, der Noten online stellt: Sie alle haben Daten, die für Angreifer einen Wert haben. Der Unterschied zwischen denen, die Schaden nehmen, und denen, die verschont bleiben, liegt oft in einfachen Schritten zur richtigen Zeit: ein sicherer Login, Updates nach Plan und eine getestete Datensicherung. Die folgenden Abschnitte erklären diese Schritte in einfachen Worten, und wenn Ihnen ein Begriff fremd ist, finden Sie die Erklärung in unserem Glossar.
Warum greifen Hacker auch kleine Unternehmen an?
Viele Unternehmer glauben, dass Angreifer nur Banken und große Konzerne suchen. Dieser Gedanke lässt sie den Schutz Jahr für Jahr verschieben. In Wahrheit ist eine kleine Firma ein bequemes Ziel, weil ihr Schutz meist schwächer ist und der Inhaber nicht im Blick hat, was in seinem System passiert.
Stellen Sie sich eine Straße mit zehn Läden vor. Der Dieb wählt nicht den reichsten Laden, sondern den, dessen Tür offen steht. Im Internet ist es genauso, nur dass der Dieb hier Tausende Türen in kurzer Zeit ausprobiert.
Angriffe laufen automatisch und suchen ihr Opfer nicht nach Namen aus
Die meisten Angriffe kommen nicht von einer Person, die gezielt vor Ihrer Website sitzt. Sie kommen von automatischen Programmen, sogenannten Bots, die eine Website nach der anderen abklappern. Diese Programme suchen eine Login-Seite, die einfache Passwörter annimmt, oder eine alte Software mit einer bekannten Schwachstelle.
Finden sie eine offene Tür, gehen sie hinein, ohne nach Größe oder Namen der Firma zu fragen. Deshalb erlebt eine kleine Praxis in einem ruhigen Viertel dieselben Versuche wie eine große Website. Die richtige Frage ist nicht, ob jemand versucht hereinzukommen, sondern ob er die Tür verschlossen findet, wenn er es versucht.
Ihre Daten sind für andere etwas wert
Vielleicht sehen Sie in Ihrer Kundenliste nichts Besonderes, aber ein Angreifer sieht einen Schatz. Namen, Telefonnummern und Adressen von Kunden werden verkauft und für Betrugsnachrichten genutzt. Patientenakten, Schülernoten und Mitarbeiterdaten sind sensible Informationen, mit denen man ihren Besitzer erpressen kann.
Es gibt noch eine andere Art von Angriff, die gar nichts stiehlt. Sie sperrt Ihre Dateien und verlangt eine Zahlung, um sie wieder freizugeben. Das nennt man Ransomware, und sie trifft Firmen, die keine saubere Datensicherung haben. Dann ist jeder Tag Stillstand ein direkter Verlust, auch wenn keine einzige Datei gestohlen wurde.
Das sind die Schäden, die ein Angriff hinterlässt
Über Angriffe zu reden, bleibt abstrakt, bis man sieht, was am nächsten Morgen passiert. Der Schaden betrifft nicht nur ein Gerät oder eine Datei, sondern auch Kunden, Mitarbeiter und den Ruf. Wer diese Schäden genau kennt, kann den Wert von Schutz realistisch einschätzen.
Die folgenden Beispiele sind nicht übertrieben. Sie zeigen, was ein Unternehmer erlebt, wenn seine Anwendung ohne Vorbereitung angegriffen wird. Jeder dieser Schäden lässt sich mit bekannten Schritten verhindern oder verringern, die wir weiter unten zeigen.
Kundendaten geraten in fremde Hände
Meist passiert zuerst ein Datenleck, das heißt, Daten gelangen an Personen, die sie nicht sehen dürfen. In einem Onlineshop können Adressen, Telefonnummern und Einkaufsverläufe der Kunden abfließen. Danach bekommen Ihre Kunden gefälschte Nachrichten im Namen Ihres Shops, die nach ihren Kartendaten oder einem Code vom Handy fragen.
Der Kunde kann den Angreifer nicht von Ihnen unterscheiden, denn er sieht Ihren Namen in der Nachricht. Deshalb muss schon das Shopsystem selbst gut geschützt sein, wie das Shop-Verwaltungssystem Storek, das Verkäufe, Lager und Kundendaten an einem geschützten Ort bündelt.
Der Betrieb steht im ungünstigsten Moment still
Ein Angriff wählt keinen ruhigen Tag. Ihre Website kann in der Feiertagssaison ausfallen, in der Anmeldewoche der Schule oder an einem vollen Praxistag. Einer der bekanntesten Angriffe überflutet die Website mit so vielen Anfragen, dass sie nicht mehr antwortet und echte Kunden sie nicht mehr erreichen.
Während des Ausfalls kommen keine neuen Bestellungen, verärgerte Kunden rufen an und das Team ist mit Entschuldigungen statt mit Arbeit beschäftigt. Ist das Problem ein Einbruch und nicht nur eine Überlastung, kann das System tagelang geschlossen bleiben, bis untersucht, bereinigt und sicher neu gestartet wurde.
Vertrauen geht verloren, und rechtliche Folgen können kommen
Ein Kunde, dem auf Ihrer Website Daten gestohlen wurden, erinnert sich lange daran. Manche Kunden gehen still, andere schreiben über ihre Erfahrung in sozialen Netzwerken. Auch Suchmaschinen können neben einer gehackten Website eine Warnung anzeigen, und neue Besucher zögern, bevor sie klicken.
In vielen Ländern verpflichten Gesetze Firmen dazu, die Daten von Menschen zu schützen, etwa die europäische Datenschutzverordnung, international bekannt als GDPR. Eine Firma, die den Schutz vernachlässigt, muss unter Umständen erklären, was passiert ist, die Betroffenen informieren und nachweisen, dass sie die nötigen Maßnahmen getroffen hat. Das sind Papiere, Aufwand und Zeit, die sich hätten vermeiden lassen.
Wo verstecken sich Schwachstellen in Webanwendungen meistens?
Eine Schwachstelle oder Sicherheitslücke ist ein kleiner Fehler im System, der jemandem erlaubt, etwas zu tun, das er nicht darf. Sie sehen ihn nicht, wenn Sie täglich mit dem System arbeiten, denn alles wirkt normal. Wer aber danach sucht, findet ihn schnell.
Nach unserer Erfahrung tauchen Lücken immer wieder an ein paar bekannten Stellen auf. Wenn Sie diese kennen, können Sie Ihr Team oder Ihren Anbieter gezielt danach fragen.
Anmelden nur mit Passwort
Die Login-Seite ist die Haustür Ihrer Anwendung. Hängt der Zugang nur an einem Passwort, genügt ein gestohlenes Passwort, um die Tür zu öffnen. Mitarbeiter wählen oft einfache Passwörter oder nutzen dasselbe auf mehreren Websites, und wird es dort gestohlen, öffnet es auch Ihr System.
Die bekannte Lösung ist die Anmeldung in mehreren Schritten. Nach dem Passwort verlangt das System einen Code, der auf das Handy des Mitarbeiters oder in eine App darauf kommt. Selbst wenn der Angreifer das Passwort kennt, kommt er ohne das Handy nicht hinein. Zusätzlich sperren wir das Konto nach mehreren Fehlversuchen für eine Weile, damit Bots nicht Tausende Passwörter ausprobieren können.
Software und Erweiterungen ohne Updates
Jede Webanwendung baut auf anderer Software auf: dem Betriebssystem des Servers, der Programmiersprache, der Datenbank und fertigen Erweiterungen. Der Server ist der Rechner, auf dem Ihre Website im Internet läuft. Findet jemand eine Lücke in dieser Software, veröffentlicht der Hersteller ein Update, das sie schließt, und die Beschreibung der Lücke wird öffentlich, auch für Angreifer.
Genau hier liegt die echte Gefahr. Eine Website, die seit Monaten nicht aktualisiert wurde, trägt veröffentlichte Lücken in sich, die Angreifer schon auszunutzen wissen. Updates müssen daher eine feste Aufgabe mit Termin und Verantwortlichem sein, nicht etwas, woran man erst bei einem Problem denkt. Ein verwaltetes und überwachtes Hosting wie das Hostrena Hosting nimmt Ihnen diese Last auf Serverebene ab.
Zu offene Formulare und Berechtigungen
Das Suchfeld, das Kontaktformular und das Feld für Datei-Uploads sind alles Stellen, an denen Besucher eingeben können, was sie wollen. Prüft das System die Eingaben nicht, kann ein Angreifer Befehle statt Text eintippen und die Datenbank lesen oder ändern. Das ist einer der bekanntesten Fehler auf der Liste OWASP Top 10, einer weltweit anerkannten Liste der gefährlichsten Schwächen von Webanwendungen.
Zu offene Berechtigungen sind ein ähnliches Risiko. Die Empfangskraft in der Praxis muss keine Patientenakten löschen, und wer im Shop Artikel einpflegt, muss nicht die Preise des ganzen Sortiments ändern. Hat jedes Konto mehr Rechte, als seine Arbeit braucht, wird der Diebstahl eines beliebigen Kontos zur Katastrophe statt zu einem begrenzten Problem.
Die Grundschichten, die wir in jede Anwendung einbauen
Guter Schutz verlässt sich nie auf ein einziges Schloss. Er besteht aus Schichten übereinander: Kommt ein Angreifer an einer vorbei, steht die nächste vor ihm. Wie ein Haus mit verschlossener Tür, einer Kamera und einem Tresor darin.
Bei Linkysoft bauen wir diese Schichten schon in der Planungsphase in Webanwendungen und Verwaltungssysteme ein, nicht erst nach dem Programmieren. Der Grund ist einfach: Schutz nachträglich in ein fertiges System einzubauen, ist schwieriger und dauert länger, als ihn von Anfang an mitzubauen.
Verschlüsselung macht gestohlene Daten wertlos
Verschlüsselung heißt, Daten in Zeichen umzuwandeln, die nur lesen kann, wer den richtigen Schlüssel hat. Wir verschlüsseln Daten unterwegs, also während sie zwischen dem Gerät des Kunden und dem Server reisen, damit niemand sie im Internet mitlesen kann. Und wir verschlüsseln sie auch, während sie in der Datenbank gespeichert sind.
Der Nutzen zeigt sich am schlimmsten Tag. Gelangt jemand an die Dateien der Datenbank, findet er sinnlose Zeichen statt Kundennamen und Telefonnummern. Die Schlüssel bewahren wir in eigenen Tresoren auf, getrennt von den Daten, damit Schlüssel und Daten nicht zusammen gestohlen werden können.
Jeder Mitarbeiter sieht nur, was er braucht
Wir verteilen die Rechte nach Aufgabe. Die Ärztin sieht die Akten ihrer Patienten, der Buchhalter sieht die Rechnungen und der Empfang sieht die Termine. Diese Methode heißt rollenbasierter Zugriff, und sie hält jeden Fehler oder Kontodiebstahl auf einen kleinen Teil des Systems begrenzt.
Das ist besonders wichtig bei Systemen mit sensiblen Daten, etwa dem Praxis- und Klinikverwaltungssystem Docmz oder Schulsystemen mit Daten von Kindern. Dazu kommt die Anmeldung in mehreren Schritten für wichtige Konten, vor allem für Konten von Leitern mit weiteren Rechten.
Getestete Datensicherungen und ein Protokoll jeder Aktion
Eine Datensicherung ist eine Kopie Ihrer Daten an einem anderen Ort, auf die Sie zurückgreifen, wenn das Original verloren geht. Doch eine Sicherung, die nie getestet wurde, kann Sie genau dann im Stich lassen, wenn Sie sie brauchen. Deshalb verschlüsseln und schützen wir Sicherungen und testen die Wiederherstellung wirklich, damit wir wissen, dass sie funktioniert, bevor es ernst wird.
Die letzte Schicht ist das Audit-Protokoll, ein Protokoll, das festhält, wer wann was getan hat. Verschwindet eine Bestellung oder ändert sich ein Preis, zeigt das Protokoll, welches Konto es war und zu welcher Uhrzeit. Es hilft, einen Angriff aufzudecken, und auch, alltägliche Unstimmigkeiten im Team zu klären.
Wie deckt ein Penetrationstest auf, was Ihr Team nicht sieht?
Der Entwickler, der das System gebaut hat, weiß, wie es funktionieren soll, und kann sich deshalb schwer jeden Weg vorstellen, es zu knacken. Der Penetrationstest löst dieses Problem. Er ist ein sicherer, vereinbarter Angriff durch einen Experten, der wie ein Angreifer denkt, dessen Ziel aber ist, die Lücken zu finden und sie Ihnen zu übergeben, bevor andere sie finden.
Wir finden, dass jede Anwendung mit Kundendaten oder Zahlungen diesen Test vor dem Start durchlaufen sollte. Er ist ein zentraler Teil der Cybersecurity-Dienstleistungen, die wir anbieten, für neue und bestehende Systeme gleichermaßen.
Was passiert während des Tests?
Zuerst legt der Experte mit Ihnen die Grenzen des Tests fest: welche Teile des Systems, an welchen Tagen und was nicht berührt werden darf. Dann probiert er, was ein echter Angreifer probieren würde, an den Webseiten, der mobilen App, dem Netzwerk und den Schnittstellen zwischen den Systemen. Er kombiniert automatische Werkzeuge, die schnell prüfen, mit menschlicher Analyse, die Fehler findet, die Werkzeuge übersehen.
Der Test folgt weltweit anerkannten Methoden wie OWASP und NIST, damit er nicht von Laune oder Zufall abhängt. Und er ist sicher: Er löscht keine Daten und stoppt nicht Ihren Betrieb, denn sein Ziel ist zu beweisen, dass eine Lücke existiert, nicht sie auszunutzen, um Schaden anzurichten.
Was erhalten Sie am Ende, und wann sollte der Test wiederholt werden?
Am Ende erhalten Sie eine schriftliche Liste in klarer Sprache mit jeder gefundenen Lücke. Zu jeder gibt es eine einfache Erklärung, was passieren könnte, wie ernst sie ist und wie man sie behebt. Nach den Korrekturen testen wir erneut, um sicherzugehen, dass jede Lücke wirklich geschlossen ist und nicht nur auf dem Papier.
Ein einziger Test reicht nicht für immer. Jede größere Erweiterung, etwa ein neues Zahlungssystem oder eine neue mobile App, kann eine Tür öffnen, die es vorher nicht gab. Deshalb empfehlen wir, den Test nach jeder größeren Änderung zu wiederholen und auch regelmäßig, wenn sich nichts geändert hat, denn in Software werden ständig neue Lücken entdeckt.
Der Schutz geht nach dem Starttag weiter
Viele Systeme werden gut gebaut und dann sich selbst überlassen. Nach einigen Monaten tauchen neue Lücken in der Software auf, Mitarbeiter wechseln und Funktionen werden schnell und ohne Prüfung ergänzt. Ein System, das am Starttag sicher war, bleibt nicht von allein sicher.
Deshalb behandeln wir Schutz als laufende Arbeit mit eigenen Werkzeugen und Verantwortlichen. Die nächsten Abschnitte erklären, was jeden Tag und jede Woche passieren sollte und was geschehen muss, wenn wirklich ein Vorfall eintritt.
Laufende Prüfung und Überwachung rund um die Uhr
Laufende Prüfung bedeutet, dass Werkzeuge Ihr System regelmäßig nach bekannten Lücken durchsuchen und das Team warnen, sobald sie eine finden. Das ist wie die regelmäßige Inspektion Ihres Autos, statt auf die Panne an der Straße zu warten. Die Prüfung entdeckt veraltete Software und falsche Einstellungen, bevor andere sie finden.
Die Überwachung ist ein Auge, das Tag und Nacht offen bleibt. Versucht jemand Hunderte Anmeldungen in wenigen Minuten, oder meldet sich das Konto eines Leiters mitten in der Nacht aus einem ungewöhnlichen Land an, kommt sofort eine Warnung. Einen Angriff nach einer Stunde statt nach Wochen zu entdecken, ist der Unterschied zwischen einem kleinen Problem und einer Katastrophe.
Ein Schild vor der Anwendung
Eine Web Application Firewall ist ein Schild zwischen dem Internet und Ihrer Anwendung. Jede Anfrage an Ihre Website läuft zuerst durch sie: Normale Anfragen lässt sie durch, schädliche hält sie auf. Sie stoppt zum Beispiel Versuche, Befehle in Formulare einzugeben, und Bots, die Passwörter ausprobieren.
Dieser Schild hilft auch gegen Anfragefluten, denn er unterscheidet zwischen echtem Kundenandrang an einem Aktionstag und einem Angriff, der Ihre Website lahmlegen will. Er ersetzt nicht das Schließen der Lücken in der Anwendung selbst, aber er verschafft Ihnen Zeit und hält die meisten automatischen Angriffe schon vorher ab.
Ein fertiger Plan für den Ernstfall
Egal wie gut der Schutz ist, Sie müssen wissen, was zu tun ist, wenn etwas passiert. Eine Firma ohne Plan verliert die ersten Stunden in Verwirrung und Telefonaten. Eine vorbereitete Firma geht klare Schritte, die alle kennen:
- Eindämmen: den betroffenen Teil abschotten, damit sich der Schaden nicht auf das restliche System ausbreitet.
- Untersuchen: herausfinden, wie der Angreifer hineinkam, wann und was er angefasst hat.
- Bereinigen: jede Spur entfernen, die er hinterlassen hat, und die Daten aus einer sauberen Kopie wiederherstellen.
- Lücke schließen: die Tür reparieren, durch die er kam, damit er nicht auf demselben Weg zurückkehrt.
Ihre Mitarbeiter sind die erste Verteidigungslinie
Die erfolgreichsten Angriffe beginnen nicht mit einer Lücke im Code, sondern mit einer Nachricht. Ein Mitarbeiter bekommt eine E-Mail, die scheinbar von der Bank oder vom Chef stammt, und soll auf einen Link klicken und sein Passwort eingeben. Diese Methode heißt Phishing, und sie überwindet die besten Systeme, wenn ein einziger Mitarbeiter darauf hereinfällt.
Eine Schulung zum Sicherheitsbewusstsein zeigt Mitarbeitern die Merkmale einer gefälschten Nachricht und bringt ihnen bei, einen Anmeldecode niemals weiterzugeben, egal was jemand behauptet. Sie lernen auch, verdächtige Nachrichten sofort zu melden, statt sich für einen Fehler zu schämen. Wenige Stunden Schulung können den gefährlichsten Angriff stoppen, dem Ihr Betrieb begegnen kann.
Was bestimmt den Aufwand für den Schutz und seine Kosten?
Es gibt kein Angebot, das für jede Firma passt, denn der Aufwand unterscheidet sich von System zu System. Eine Firmenwebsite mit fünf Seiten braucht viel weniger Arbeit als eine Plattform mit Zahlungen und Tausenden Nutzern. Wenn Sie wissen, was den Aufwand erhöht oder senkt, verstehen Sie jedes Angebot besser.
Die Grundregel: Je mehr Türen ein System hat und je sensibler sein Inhalt ist, desto mehr Arbeit braucht sein Schutz. Die folgenden Punkte sieht sich jedes seriöse Team an, bevor es den Umfang einschätzt.
Größe der Anwendung und Sensibilität ihrer Daten
Die Zahl der Seiten, die Arten von Nutzern und die Zahl der angebundenen Systeme vergrößern alle den Prüfbereich. Ein System mit Kundenportal, Mitarbeiterportal, mobiler App und Anbindung an ein Zahlungssystem muss in all diesen Teilen geprüft werden. Ein System mit einer einzigen Login-Seite für wenige Mitarbeiter ist viel einfacher.
Die Sensibilität der Daten verändert die Lage. Patientenakten, Schülernoten und Zahlungsdaten brauchen eine strengere Verschlüsselung, ein umfassenderes Audit-Protokoll und manchmal Unterlagen zur Einhaltung von Gesetzen. Eine Lernplattform wie das Lernmanagementsystem Acad enthält Schülerdaten und braucht deshalb mehr Sorgfalt als eine Website, die eine Speisekarte zeigt.
Neue Anwendung oder bestehende, die ein anderes Team gebaut hat?
Eine neue Anwendung lässt sich leichter schützen, weil die Schichten von Anfang an im Plan mitgebaut werden. Eine bestehende Anwendung muss man erst verstehen, vor allem wenn das Team, das sie gebaut hat, nicht mehr da ist. Der Code ist vielleicht nicht dokumentiert, die Software veraltet und die Berechtigungen durcheinander.
In diesem Fall beginnen wir mit einer Prüfung, die das wahre Bild zeigt, und ordnen die Korrekturen nach Risiko. Zuerst schließen wir, was zu einem Datenleck oder einem Stillstand führen könnte, dann folgen die kleineren Risiken in Etappen. So läuft Ihr Betrieb weiter, und Sie stecken keine Mühe in Nebensachen, bevor das Ernste erledigt ist.
Fragen, die Sie jedem Anbieter vor dem Auftrag stellen sollten
Ein gutes Angebot beantwortet klare Fragen, ein schwaches weicht ihnen aus. Bevor Sie einem Sicherheitsdienst zustimmen, verlangen Sie schriftliche Antworten auf diese Fragen:
- Was genau umfasst die Prüfung: nur die Website, oder auch die Anwendung, die mobile App und die Schnittstellen?
- Bekommen Sie einen schriftlichen Bericht in verständlicher Sprache, mit der Lösung für jede Lücke?
- Ist der erneute Test nach den Korrekturen im Vertrag enthalten oder kommt er extra?
- Wer überwacht das System nachts und an Feiertagen, und wie schnell wird auf eine Warnung reagiert?
- Was passiert in den ersten Stunden eines Vorfalls, und wer ruft wen an?
- Bleiben Code und Daten vollständig Ihr Eigentum, wenn Sie die Zusammenarbeit beenden?
Fragen, die Unternehmer zum Schutz ihrer Anwendungen stellen
Hier haben wir Fragen gesammelt, die wir oft von Ladeninhabern und von Leitern von Praxen und Schulen hören. Die Antworten sind kurz und direkt, damit Sie ohne technisches Vorwissen entscheiden können.
Wenn Ihre Frage nicht dabei ist, finden Sie weitere in der Fragenliste am Ende des Artikels und im Hilfecenter auf unserer Website.
Reicht ein gutes Hosting, um meine Anwendung zu schützen?
Gutes Hosting schützt den Server, auf dem Ihre Anwendung läuft, und das ist wichtig, aber nicht alles. Hat die Anwendung selbst eine Lücke, etwa ein Formular, das Befehle annimmt, oder offene Berechtigungen, hält auch der beste Server einen Angreifer nicht davon ab, sie auszunutzen. Echter Schutz verbindet einen geschützten Server mit einer sicher gebauten Anwendung. Denken Sie an ein Haus in einer sicheren Gegend: Die eigene Tür müssen Sie trotzdem abschließen.
Woran erkenne ich, dass meine Anwendung gehackt wurde?
Manche Zeichen sind deutlich, etwa Seiten mit verändertem Inhalt, Konten, die niemand kennt, oder Kunden, die sich über seltsame Nachrichten in Ihrem Namen beschweren. Andere sind unauffällig, wie eine unerklärliche Langsamkeit oder Besucher, die auf fremde Websites umgeleitet werden. Das Problem ist, dass viele Angriffe wochenlang ohne jedes Zeichen bleiben. Deshalb sind laufende Überwachung und ein Audit-Protokoll der einzige Weg, es früh zu erfahren.
Steht mein Betrieb während eines Penetrationstests still?
Nein, in den meisten Fällen steht nichts still. Der Experte vereinbart mit Ihnen vorab, welche Teile er testet und zu welchen Zeiten, und vermeidet jeden Schritt, der den Betrieb stören oder Daten löschen könnte. Bei sensiblen Systemen kann der Test auf einer exakten Kopie laufen statt auf dem System, das Ihre Kunden nutzen. So bekommen Sie die Ergebnisse, ohne dass Ihre Kunden etwas merken.
Wie lange dauert es, eine bestehende Anwendung abzusichern?
Das hängt von Größe und Zustand der Anwendung ab. Die erste Prüfung einer kleinen Anwendung kann in wenigen Tagen fertig sein, große Plattformen mit vielen Teilen brauchen Wochen. Nach der Prüfung folgen die Korrekturen, sortiert nach Schwere: Die ernsten Lücken werden meist zuerst und innerhalb weniger Tage geschlossen, der Rest folgt in Etappen.
Brauche ich ein eigenes Sicherheitsteam in meiner Firma?
Die meisten kleinen und mittleren Firmen brauchen kein vollständiges eigenes Team. Oft reicht eine verantwortliche Person im Haus und ein spezialisierter externer Partner, der Prüfung, Überwachung und Reaktion übernimmt. Wichtig ist, dass die Zuständigkeiten schriftlich und klar sind, damit keine Seite denkt, die andere kümmere sich darum. Je größer das System und je sensibler seine Daten, desto enger muss die Betreuung sein.
Beginnen Sie diese Woche mit diesen drei Schritten
Sie brauchen keinen großen Plan, um anzufangen. Erster Schritt: Schreiben Sie alles auf, was Ihr Betrieb im Internet hat, die Website, den Shop, das Buchungssystem, die mobile App, und wer sich jeweils anmelden darf. Zweiter Schritt: Schalten Sie für jedes Leiterkonto die Anmeldung in mehreren Schritten ein und löschen Sie die Konten ausgeschiedener Mitarbeiter. Dritter Schritt: Stellen Sie der Person, die Ihr System betreut, eine einzige Frage: Wann haben wir zuletzt wirklich getestet, ob sich die Datensicherung wiederherstellen lässt?
Danach kommt die fachliche Prüfung. Bei Linkysoft bieten wir einen kostenlosen Sicherheitscheck und eine Beratung an, bei denen wir Ihre Anwendung prüfen und Ihnen ein klares Bild der ernstesten Schwachstellen geben und zeigen, was zuerst behoben werden muss, egal ob wir das System gebaut haben oder ein anderes Team. Sie können ihn über unsere Kontaktseite anfragen, und wenn Sie vor Ihrer Entscheidung mehr lesen möchten, finden Sie praktische Antworten in unserem Hilfecenter.
