Physische Sicherheit prüfen
Zutritt, Gebäude und was danach im Netz erreichbar ist. Im vereinbarten Rahmen, mit schriftlicher Beauftragung und ohne Bewertung von Personen.
Die Netzwerkdose im Besprechungsraum
Ein Test der physischen Sicherheit endet nicht an der Tür. Er fragt, was jemand erreicht, der drin ist: eine aktive Netzwerkdose im Besprechungsraum, ein unbeaufsichtigter Arbeitsplatz, ein Serverschrank ohne Schloss, Unterlagen im Altpapier.
Deshalb prüfen wir Zutritt und Netz zusammen. Der Weg über das Gebäude ist für viele Angreifer der kürzere und er umgeht jede Firewall.
Durch die Tür ins Netz
Ein Leser an der Tür, dahinter ein Besprechungsraum, in dem eine Dose aktiv ist. Wer an der Tür vorbeikommt, steht in einem Netz, das für Gäste nicht gedacht war.
An der Tür vorbeizukommen ist der einfachere Teil. Mitgehen hinter einer Person mit vollen Händen, eine geklonte Karte, ein Bügel unter der Tür, oder die Anmeldung als Techniker mit einem Auftrag, den niemand prüft. Was danach im Netz möglich ist, entscheidet über die Bewertung des Befundes.
Womit gearbeitet wird
Was zum Einsatz kommt, legen wir vorher gemeinsam fest. Manches schließen Auftraggeber aus und das ist Teil der Vereinbarung.
Zutritt
Mitgehen hinter Berechtigten, Karten auslesen und klonen, mechanische Umgehung von Schlössern und Riegeln, Prüfung von Schleusen und Notausgängen.
Vorwand
Angemeldeter Techniker, Lieferant, neuer Kollege. Der Vorwand wird vorher abgestimmt, damit niemand in eine Lage kommt, die er nicht einordnen kann.
Was danach kommt
Aktive Dosen, offene Arbeitsplätze, Serverschränke, Unterlagen in Papierkorb und Drucker. Und die Frage, ob die Videoanlage den Weg aufgezeichnet hat.
Wie ein Test abläuft
Zwei bis fünf Tage vor Ort, je nach Anzahl der Standorte.
Rahmen festlegen
Ziele, Standorte, erlaubte Methoden, Ausschlüsse und Abbruchkriterien. Dazu die schriftliche Beauftragung, die unsere Tester mitführen.
Aufklärung
Öffentlich verfügbare Informationen, Beobachtung von Zugängen und Abläufen, Lieferzeiten, Schichtwechsel. Ohne Kontakt zu Mitarbeitenden.
Durchführung
Der Versuch, hineinzukommen und weiterzukommen. Jeder Schritt wird protokolliert und fotografiert, soweit vereinbart.
Auswertung
Bericht mit Weg, Zeitpunkten und Bewertung. Beschrieben werden Abläufe und Vorkehrungen, keine Personen.
Was schriftlich feststeht, bevor wir kommen
Ein Test der physischen Sicherheit berührt Hausrecht, Arbeitsrecht und den Datenschutz. Deshalb steht vor dem ersten Schritt eine Beauftragung, aus der hervorgeht, wer den Test angeordnet hat, welcher Zeitraum gilt und welche Standorte betroffen sind. Unsere Tester führen sie mit.
Der Betriebsrat gehört an den Tisch, bevor etwas beginnt. Wir werten nicht auf Personen aus und diese Zusage steht im Auftrag. Ein Notfallkontakt auf Ihrer Seite ist während des Tests erreichbar, damit ein Wachdienst innerhalb von Minuten klären kann, wen er vor sich hat.
Häufige Fragen zur physischen Sicherheit
Dann weisen sich unsere Tester aus und legen die Beauftragung vor. Ihr Notfallkontakt bestätigt sie telefonisch. Genau dafür gibt es diese Vereinbarung und dass jemand die Polizei ruft, ist ein gutes Ergebnis.
So wenige wie möglich, damit die Reaktion echt ist. Üblich sind Geschäftsführung, ein Notfallkontakt und der Betriebsrat. Empfang und Wachdienst wissen nichts, weil sie geprüft werden.
Für Betriebe mit Publikumsverkehr, mehreren Standorten oder Fremdfirmen im Haus und überall dort, wo im Gebäude etwas steht, das aus dem Netz nicht erreichbar sein soll: Leitstände, Labore, Serverräume.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.