Das interne Netz prüfen
Aus der Sicht von jemandem, der schon drin ist: ein Standardkonto, ein Netzanschluss und die Frage, wie weit das trägt.
Angenommen, jemand ist bereits im Netz
Ein interner Test beginnt dort, wo die Abwehr nach außen bereits umgangen wurde: über eine Phishing-Mail, ein Gerät im Besprechungsraum, einen Dienstleisterzugang. Wie er hineingekommen ist, klammern wir aus, weil die Antwort darauf an anderer Stelle geprüft wird.
Geprüft wird, was danach möglich ist. Mit einem gewöhnlichen Benutzerkonto, manchmal auch ohne, nur mit einem Netzanschluss.
Geprüft wird die Infrastruktur: Server und Dienste, der Verzeichnisdienst und die Übergänge zwischen den Netzen. Webserver, Mailserver, Datenbanken, Dateiserver, VPN-Gateways, Firewalls, Virtualisierung, Active Directory oder Entra ID. Dieselbe Prüfung heißt an anderer Stelle Infrastruktur-Pentest; wir benennen sie nach dem Angriffspunkt, nicht nach dem Zielobjekt.
Verzeichnisdienst, Server, Segmentierung
Der Verzeichnisdienst ist der Kern, aber nicht alles. Die Systeme daneben liefern oft den ersten Schritt.
Verzeichnisdienst
Active Directory oder Entra ID: Rechtevergabe, verschachtelte Gruppen, Dienstkonten mit alten Passwörtern, Delegierungen und die Frage, welche Konten sich für Angriffe auf Kerberos eignen.
Server und Dienste
Web-, Mail-, Datei- und Datenbankserver, VPN-Gateways, Verwaltungs- und Sicherungssysteme. Aktualisierungsstand, Konfiguration und Zugänge, die aus dem Netz ohne Anmeldung erreichbar sind.
Segmentierung
Was erreicht ein Arbeitsplatz, was ein Besprechungsraum, was das Gastnetz. Und ob zwischen Büro und Produktion eine Grenze liegt oder nur ein Netzplan, der eine behauptet.
Die Freigabe, auf der das Kennwort liegt
Eine Dateifreigabe, die jeder im Netz lesen darf, weil sie einmal für alle gedacht war. Darin ein Ordner mit Skripten aus der Systemverwaltung und in einem davon steht ein Kennwort im Klartext, damit der geplante Lauf nachts ohne Nachfrage durchgeht.
Das Konto gehört keinem Menschen, sondern einem Dienst und weil niemand weiß, wo es überall eingetragen ist, wurde sein Kennwort seit Jahren nicht geändert. Dasselbe Kennwort liegt auf drei weiteren Systemen.
Kein Schritt darin ist ein Angriff im technischen Sinn. Es ist eine Freigabe, ein Skript und eine Gewohnheit. Gefunden wird so etwas, indem man die Freigaben des Netzes durchsieht; ein Scanner meldet die Freigabe als Hinweis niedriger Schwere und liest nicht, was darin steht.
Der Weg entsteht aus Kleinigkeiten
Die Befunde eines internen Tests stehen einzeln selten weit oben: eine lesbare Freigabe, ein Kennwort, das an zwei Stellen gilt, eine Gruppe mit einem Recht, das einmal sinnvoll war. Jeder Punkt für sich rechtfertigt keinen Aufwand.
Der Weg entsteht aus der Reihenfolge. Aus der Freigabe kommt das Kennwort, mit dem Kennwort ein Konto, über das Konto eine Gruppe, über die Gruppe ein Recht am Domänencontroller. Erst am Ende steht etwas, das eine Geschäftsführung interessiert.
Diese Verkettung leistet kein Werkzeug. Es bewertet jeden Fund für sich und die Verbindung dazwischen ist der Teil, für den ein Mensch am Test sitzt. Deshalb endet unser Bericht mit einem Pfad und seinen Zwischenschritten, nicht mit einer Liste von Servern und Versionsnummern.
Wie ein interner Test abläuft
Der Aufwand richtet sich nach der Zahl der Standorte und der Größe der Domäne. Geprüft wird nach dem BSI-Praxis-Leitfaden für IS-Penetrationstests, PTES und OSSTMM; jeder Bericht durchläuft eine Zwei-Augen-Qualitätssicherung.
Umfang und Zugang festlegen
Welche Standorte, welche Netzbereiche, welches Zeitfenster. Wir klären, ob mit oder ohne Benutzerkonto geprüft wird und wer im Haus erreichbar ist, wenn etwas auffällt.
Aufnahme
Erreichbare Systeme und Dienste, Freigaben, Netzübergänge. Dazu die Gruppen-, Rechte- und Vertrauensstruktur des Verzeichnisdienstes.
Prüfung
Aktualisierungsstand, Konfiguration, Kennwörter und Rechtevergabe, System für System. Jeder Befund wird nachgewiesen, nicht aus einer Versionsnummer abgeleitet.
Verkettung
Was sich verbinden lässt: vom offenen Dateiserver zum Kennwort, vom Kennwort in den Verzeichnisdienst und die Frage, ob die Segmentgrenze das aufhält.
Bericht und Nachtest
Befunde mit Reproduktionsschritten und Risikobewertung, auf Wunsch die Gegenprobe, ob die Behebung greift.
Ein Bericht, mit dem Ihr Team weiterarbeiten kann.
Jeder Befund kommt eingeordnet: mit Risiko, Aufwand und dem Weg zur Behebung.
Management Summary
Die Lage auf einer Seite, verständlich für Geschäftsführung und Aufsicht.
Technische Findings
Jeder Befund mit eindeutiger Befund-ID, Nachweis und Reproduktionsschritten.
Risikobewertung nach BSI
Eine nachvollziehbare Einstufung jedes Funds nach anerkanntem Schema.
Priorisierte Empfehlungen
Konkrete Handlungsempfehlungen in der Reihenfolge, in der sie wirken.
Abschlussgespräch
Auf Wunsch eine gemeinsame Durchsprache der Ergebnisse mit Ihren Fachteams.
Retest
Auf Wunsch die erneute Prüfung der behobenen Schwachstellen, mit Bestätigung des Stands.
Was wir brauchen und was nicht dazugehört
Von Ihnen brauchen wir einen Netzanschluss im geprüften Bereich, auf Wunsch ein gewöhnliches Benutzerkonto, einen Ansprechpartner für die Dauer des Tests und eine schriftliche Freigabe. Mehr nicht: Zugangsdaten mit erhöhten Rechten sind gerade das, was der Test erreichen soll.
Nicht enthalten sind Angriffe auf Menschen und Verfügbarkeit. Social Engineering und Phishing-Simulationen sind eigene Leistungen mit eigener Abstimmung, Denial-of-Service-Tests führen wir nicht durch und Produktions- und Leittechnik gehört in den OT-Penetrationstest, weil dort andere Regeln gelten. Wer über Wochen prüfen lassen will, ob Erkennung und Reaktion greifen, ist beim Red Teaming richtig.
Häufige Fragen zum internen Test
Beides ist üblich. Ohne Konto prüfen wir, wie weit jemand mit reinem Netzzugang kommt, mit Konto den weit häufigeren Fall nach einer Phishing-Mail. Der zweite liefert meistens mehr.
Nicht zwingend. Wir arbeiten über ein Gerät, das Sie in Ihr Netz hängen, oder über einen bereitgestellten Zugang. Vor Ort ist sinnvoll, wenn gleichzeitig die physische Seite geprüft wird.
Sie werden im Bericht nicht im Klartext genannt, sondern nur so weit, dass Sie das betroffene Konto zuordnen können. Nach Abschluss werden die Daten gelöscht und das steht im Auftrag.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.