Ein Pentest für Bauunternehmen zeigt, welche Zugänge in Baustellennetz, Projektdatenraum und Gebäudeautomation ein Angreifer nutzen kann.
In Bau und Immobilien entsteht IT projektweise. Eine ARGE bringt Konten aus mehreren Unternehmen zusammen, jede Baustelle bekommt ein eigenes Netz, Planer und Nachunternehmer arbeiten in gemeinsamen Datenräumen. Am Projektende bleiben viele dieser Zugänge bestehen, weil niemand mehr eindeutig zuständig ist.
Nach der Übergabe verlagert sich die Angriffsfläche ins Gebäude selbst. Gebäudeautomation, Zutrittskontrolle, Aufzugs- und Energiemanagement sind vernetzt und werden aus der Ferne gewartet. In unseren Tests sehen wir, dass diese Systeme in der IT-Inventur von Bestandshaltern und Projektentwicklern nicht immer erfasst sind, obwohl sie über den gesamten Lebenszyklus erreichbar bleiben.
Manipulierte Bankverbindungen in Abschlags- und Nachtragsrechnungen können zu Zahlungen an Angreifer und damit zu direktem finanziellem Schaden führen. Mit Phishing- und Vishing-Szenarien prüfen wir, wie leicht ein Angreifer an Postfächer und Freigabewege gelangt.
Container-Büros, Mobilfunkrouter und Kameras werden schnell aufgebaut und selten gehärtet. Über sie kann ein Angreifer ins Firmennetz und an Projekt- und Finanzdaten gelangen. Wir suchen diese Systeme in der Außensicht und prüfen, was sie öffnen.
Gastkonten und Freigaben aus ARGE und Nachunternehmerschaft bleiben oft bestehen, wenn niemand mehr zuständig ist. Sie können Pläne, Leistungsverzeichnisse und Rechnungsdaten offenlegen. Wir prüfen Projektdatenräume, SharePoint und Teams auf Freigaben, Rechte und Übernahmepfade.
Ist die Gebäudeautomation aus Mieter- oder Gastnetz erreichbar, kann ein Angreifer Zutritt, Aufzüge oder Energiemanagement beeinflussen. Die Verantwortung bleibt in der Regel beim Eigentümer. Wir prüfen Anlage und Fernwartungszugänge aus Sicht von Eigentümer und Betreiber.
Öffentliche Bauherren, Betreiber kritischer Anlagen und institutionelle Investoren verlangen zunehmend Nachweise zur Informationssicherheit ihrer Partner. Wer sie nicht vorlegen kann, riskiert Nachteile bei der Vergabe. Die Prüfbescheinigung dokumentiert Umfang, Zeitraum und Methodik unserer Tests.
Bau und Immobilien sind als Branche kaum eigens reguliert. Der Bedarf entsteht über Auftraggeber, Investoren und Mieter. Wir richten Test und Bericht deshalb an den Regelwerken aus, nach denen Ihre Partner Sie bewerten.
Wir bereiten die Ergebnisse so auf, dass Sie Lieferantenbewertungen regulierter Auftraggeber nach Art. 21 NIS2 beantworten können, ohne Befunddetails offenzulegen. Die Prüfbescheinigung belegt dafür Umfang, Zeitraum und Methodik.
Gebäudeautomation und Zutrittskontrolle betrachten wir als Automatisierungssysteme mit Zonen und Übergängen. Befunde ordnen wir in diesem Rahmen ein, damit Sie sie gegenüber Dienstleistern vertraglich adressieren können.
Für Mieterportale und Zutrittssysteme mit personenbezogenen Daten kann der Test Teil Ihres Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit Ihrer technischen und organisatorischen Maßnahmen sein.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Bauunternehmen und Projektentwickler, die ihren Stand gegenüber Auftraggebern und Investoren belegen wollen.
Pentest von außen einschließlich der Baustellennetze und Test von Microsoft 365 mit Blick auf Gastkonten und Projektdatenräume. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Geschäftsführung.
Eine priorisierte Maßnahmenliste und ein Beleg, den Sie Auftraggebern und Investoren vorlegen können.
Bestandshalter mit vernetzter Gebäudetechnik und Unternehmen, die viele Abschlags- und Nachtragsrechnungen freigeben.
Pentest von Gebäudeautomation und Zutrittskontrolle, Phishing und Vishing auf Freigabe- und Rechnungsprozesse sowie ein Zutrittstest an Baustelle oder Objekt, abgestimmt mit dem Betreiber.
Belegte Angriffswege in Gebäude und Zahlungsprozesse, mit Maßnahmen für eigene Teams und Dienstleister.
Unternehmen mit vielen parallelen Projekten, laufend neuen Baustellennetzen und mehreren Gesellschaften in der Gruppe.
Suche nach Schatten-IT und vergessenen Systemen aus abgeschlossenen Projekten, dazu laufende Beobachtung neuer Baustellen. Bei mehreren Gesellschaften als Programm für die ganze Gruppe.
Sie behalten Projektzugänge und Baustellennetze über den gesamten Zyklus im Blick, bis zur Abschaltung.
Für Bau und Immobilien richten wir die Tests an Projektzyklus und Gebäudebestand aus.
Baustellenrouter, Kameras, Fernzugänge und vergessene Systeme aus abgeschlossenen Projekten zeigen sich in der Außensicht zuerst. Wir prüfen, was davon erreichbar ist.
Baustellen- und Projektsysteme entstehen oft außerhalb der zentralen IT. Wir machen sie sichtbar, damit Sie sie vor einem Angreifer kennen.
Wir zeigen, was Gastkonten aus ARGE und Nachunternehmerschaft in Microsoft 365 erreichen und wo sich Konten übernehmen lassen.
Wir prüfen Gebäudeautomation mit BACnet, KNX oder Modbus, Zutrittskontrolle und Energiemanagement samt der Fernwartungszugänge Ihrer Dienstleister.
Über Zahlungsfreigaben und Rechnungsprozesse lässt sich Geld umleiten. Phishing- und Vishing-Szenarien zeigen, wie belastbar die Freigabewege sind.
Wir prüfen an Baustelle und Bestandsgebäude, ob sich Container-Büro, Technikraum und Netz unbefugt erreichen lassen und ob das jemandem auffällt.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Wir klären gemeinsam, welche Projekte, Gebäude und Partnerzugänge in den Scope gehören.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Ja, wenn alle beteiligten Partner zustimmen und die Zuständigkeiten klar sind. Häufig beginnen wir mit Ihrer Seite: Gastkonten, Freigaben und Zugänge, die Sie für die ARGE bereitstellen.
Die Verantwortung bleibt in der Regel beim Eigentümer oder Betreiber. Der Dienstleister handelt in dessen Auftrag. Wir prüfen Anlage und Fernwartungszugänge und dokumentieren Befunde so, dass Sie sie gegenüber dem Dienstleister vertraglich adressieren können.
Ja, denn Gebäudeautomation mit BACnet, KNX oder Modbus ist vernetzt, wird ferngewartet und ist nicht selten aus Mieter- oder Gastnetzen erreichbar. Ein Test zeigt, ob ein Angreifer Zutritt, Aufzüge oder Energiemanagement beeinflussen kann. Aktive Prüfungen stimmen wir mit Betreiber und Dienstleister ab, damit der Gebäudebetrieb weiterläuft.
Wirksam ist ein Freigabeprozess, der jede Änderung einer Bankverbindung über einen zweiten, unabhängigen Kanal bestätigt. Ob dieser Weg im Projektalltag hält, zeigt ein Social-Engineering-Test mit Phishing- und Vishing-Szenarien auf Ihre Rechnungs- und Freigabeprozesse. Zusätzlich prüfen wir, wie leicht ein Angreifer an die Postfächer gelangt, über die solche Rechnungen laufen.
Die Branche ist als solche kaum eigens reguliert. NIS2 erreicht Bauunternehmen aber häufig über die Lieferkette. Regulierte Auftraggeber müssen die Sicherheit ihrer Dienstleister bewerten und fragen deshalb Nachweise an. Ob Ihr Unternehmen selbst unter das BSIG fällt, klärt unsere Schwestermarke ProSec Governance mit Ihnen.
Am wirksamsten über die Außensicht und ein laufendes Monitoring, das neue Baustellenrouter, Kameras und Fernzugänge erkennt, sobald sie aus dem Internet erreichbar sind. Für größere Projekte ergänzen wir einen Test vor Ort im Container-Büro. Wie wir Baustellen einbinden, legen wir im Scoping fest.
Für den Cloud-Test in der Regel ja: ein Standardkonto und für die Konfigurationsprüfung einen lesenden Zugang, den wir mit Ihnen abstimmen. Damit prüfen wir Freigaben, Gastkonten aus ARGE und Nachunternehmerschaft sowie mögliche Übernahmepfade. Umfang und Rechte legen wir im Scoping fest.
Die Prüfung selbst dauert je nach Umfang wenige Tage bis einige Wochen. Den Umfang bestimmen vor allem die Zahl der Baustellen und Gesellschaften, der Umfang von Microsoft 365 und Projektdatenräumen und ob Gebäudetechnik, Social Engineering oder Tests vor Ort dazugehören. Ein Lagebild zu Unternehmen und Projekten ist deutlich kleiner als ein Test von Gebäuden und Zahlungswegen.
