Pentest für Dienstleister mit Mandantendaten: Sie beantworten Lieferantenfragebögen und Mandantenaudits mit belegten Testergebnissen statt mit Selbstauskunft.
Beratungs- und Dienstleistungsunternehmen verarbeiten Informationen, die bei ihren Mandanten zu den am besten geschützten gehören: Transaktionsunterlagen, Strategiepapiere, Personaldaten, Kampagnen vor der Veröffentlichung. Beim Dienstleister liegen diese Informationen in Umgebungen, die für Zusammenarbeit gebaut sind, mit gemischten Teams, Gastzugängen und Freigaben über Organisationsgrenzen hinweg.
Für einen Angreifer ist das ein kürzerer Weg zum eigentlichen Ziel: Kommt er an einen Konzern nicht direkt heran, kann ihn ein Beraterkonto mit Zugriff auf den passenden Projektkanal dorthin führen. Deshalb verlangen Mandanten technische Nachweise, bevor sie Aufträge vergeben, meist per Lieferantenfragebogen oder Lieferantenaudit. Ein aktueller Pentest beantwortet dort den technischen Teil. Neben der Infrastruktur gehört vor allem die Frage in den Test, wer auf welche Mandantendaten zugreifen kann.
Freigaben und Gastkonten aus abgeschlossenen Projekten, die noch aktiv sind, können vertrauliche Unterlagen für Unbefugte erreichbar machen. Ein Abfluss kann Mandate und Vertrauen kosten. Wir prüfen Gastzugänge, externe Freigaben und Anwendungsberechtigungen in Microsoft 365.
Wird ein gewöhnliches Beraterkonto übernommen, kann es bis zu administrativen Rechten oder in Projekträume anderer Mandanten führen. Ein Vorfall kann dann mehrere Mandate zugleich betreffen. Wir zeigen diese Angriffspfade in Entra ID und Microsoft 365 auf.
Ein Notebook, das im Zug liegen bleibt, kann über zwischengespeicherte Anmeldedaten und aktive SSO-Sitzungen in Ihre Projekträume führen. Wir prüfen Ihr Standardgerät ohne und mit Anmeldung auf diesen Weg.
Ohne aktuelle Testergebnisse kann ein Lieferantenfragebogen die Auftragsvergabe verzögern oder Sie die Ausschreibung kosten. Unsere Prüfbescheinigung beantwortet den technischen Teil mit Scope, Zeitraum und Methodik. Den Behebungsstand belegt der Retest.
Ein glaubwürdiger Anruf oder eine Mail im Namen eines Mandanten kann genügen, um Zugangsdaten oder Unterlagen zu erlangen. Wir testen Phishing und Vishing gegen öffentlich sichtbare Rollen und prüfen, ob Rückfragewege greifen.
Regulatorik erreicht Beratungsunternehmen meist über ihre Mandanten, in Form von Lieferantenfragebögen, Vertragsklauseln und Audits. Dahinter stehen NIS2 in der Lieferkette, DORA bei Finanzunternehmen und TISAX in der Automobilindustrie. Eigene Pflichten ergeben sich vor allem aus der DSGVO und dem Berufsrecht; einzelne Dienstleister fallen selbst unter NIS2.
Wir richten den Test auf die Systeme aus, in denen personenbezogene Mandanten- und Personaldaten liegen. Methodik und Ergebnis dokumentieren wir als Beleg für die regelmäßige Überprüfung der Wirksamkeit Ihrer Maßnahmen.
Befunde bewerten und beschreiben wir so, dass sie direkt in Ihr Management technischer Schwachstellen nach Anhang A übergehen. Der Retest belegt im Audit, dass die Maßnahmen tatsächlich umgesetzt sind.
Den Scope legen wir auf die Systeme, in denen Sie Informationen Ihrer Automobilkunden verarbeiten. Die Ergebnisse bereiten wir für die Fragen zu Schwachstellenmanagement und zur Prüfung eigener Systeme im Assessment auf.
Den Zuschnitt richten wir an den Anforderungen aus, die regulierte Mandanten in Verträgen und Fragebögen stellen. Die Prüfbescheinigung beantwortet den technischen Teil, ohne dass Sie den Bericht herausgeben.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Häuser, die Sicherheitsfragebögen ihrer Mandanten beantworten oder eine ISO/IEC-27001- oder TISAX-Bewertung vorbereiten.
Pentest von außen und Ihrer Microsoft-365-Umgebung mit Gastzugängen, Freigaben und bedingtem Zugriff. Zum Abschluss erhalten Sie eine Prüfbescheinigung für Ihre Mandanten.
Belegte Antworten auf die technischen Fragen Ihrer Mandanten, ohne dass Sie den vollständigen Bericht herausgeben.
Unternehmen mit vielen mobilen Beratern, die beim Kunden und unterwegs auf sensible Projekträume in der Cloud zugreifen.
Test eines verlorenen Standardgeräts, Angriffspfade vom Beraterkonto in Entra ID und Phishing gegen ausgewählte Rollen. Im Technischen Workshop stellt Ihre IT die Ergebnisse mit uns nach.
Sie wissen, wie weit ein Angreifer mit einem Gerät, einem Konto oder einem Anruf käme und was diese Wege begrenzt.
Dienstleister, deren Mandanten aus Finanzwesen, Automobilindustrie oder NIS2-Sektoren jährlich aktuelle Nachweise erwarten.
Laufende Tests neuer Portale, Überwachung geleakter Zugangsdaten Ihrer Beraterkonten und Nachtests als Behebungsnachweis. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Geschäftsführung.
Ein Nachweiszyklus, der die Anforderungen Ihrer Mandanten mit geringem eigenem Aufwand bedient, mit Belegen zum Behebungsstand.
Der Zuschnitt folgt den Fragen Ihrer Mandanten und dem Weg zu den Mandantendaten: über Identitäten, Geräte und Menschen.
In Teams und SharePoint liegen die Mandantendaten. Wir prüfen, wer von außen darauf zugreifen kann und ob der bedingte Zugriff wirkt.
Ausgehend von einem Beraterkonto ohne besondere Rechte suchen wir die Wege über Gruppen, Rollen und Anwendungen bis zum Global Admin.
Wir prüfen ein Standardgerät auf Verschlüsselung und Boot-Konfiguration und verfolgen den Weg über VPN und SSO in Ihre Cloud.
Wir treten per Mail und Telefon als Mandant oder Partner auf und sehen, ob Ihre Teams Unterlagen herausgeben oder zuerst zurückfragen.
Portale, Remote-Zugänge und E-Mail-Systeme sind das, was Mandanten und Angreifer zuerst sehen, und die Grundlage jedes Lieferantennachweises.
Die Bescheinigung nennt Scope, Zeitraum und Methodik ohne Befunddetails. Sie legen sie dem Fragebogen bei und behalten den Bericht intern.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Wir sehen uns Ihre Mandantenanforderungen an und schlagen einen passenden Testumfang vor.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
In der Regel einen aktuellen Test der externen Infrastruktur und Ihrer Microsoft-365-Umgebung, abgeschlossen mit einer Prüfbescheinigung. Viele Fragebögen fragen nach einem aktuellen Penetrationstest und dem Umgang mit Befunden. Den Umfang legen wir anhand Ihrer Fragebögen im Scoping fest.
Ja, im Lost & Compromised Device Assessment. Sie stellen uns ein Gerät in Ihrer Standardkonfiguration bereit. Wir prüfen es erst ohne und dann mit Anmeldung. Das Ergebnis gilt für alle Geräte, die mit demselben Image ausgerollt werden.
Wir weisen den Zugriff nach, ohne Inhalte auszuwerten oder zu kopieren, und dokumentieren nur, was zur Nachvollziehbarkeit nötig ist. Die Rahmenbedingungen legen wir vorab in den Rules of Engagement fest. Ergebnisdokumente löschen wir nach der vereinbarten Frist, standardmäßig 14 Tage nach Übergabe; bei Retest oder laufendem Programm nach dessen Abschluss.
Die DSGVO nennt den Penetrationstest nicht ausdrücklich. Art. 32 verlangt aber ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit technischer und organisatorischer Maßnahmen. Ein Penetrationstest ist dafür ein etablierter Beleg, weil er die Wirksamkeit der Maßnahmen unter realistischen Angriffsbedingungen prüft. Umfang und Rhythmus richten sich nach dem Risiko der Daten, die Sie verarbeiten.
Ein Pentest liefert den technischen Beleg für die Fragen zum Schwachstellenmanagement und zur Prüfung eigener Systeme. Sinnvoll ist ein Test der Systeme, in denen Sie Informationen Ihrer Automobilkunden verarbeiten, mit genug Vorlauf, um Befunde vor dem Assessment zu beheben. Das Assessment selbst führt ein zugelassener Prüfdienstleister durch. Bei ISMS-Fragen unterstützt unsere Schwestermarke ProSec Governance.
Ein jährlicher Test ist ein sinnvoller Grundrhythmus, weil Mandanten in Fragebögen nach aktuellen Ergebnissen fragen. Dazu kommen Tests nach größeren Änderungen, etwa einer neuen Kollaborationsplattform, neuen Portalen oder einem Wechsel des Identitätsanbieters. Den Rhythmus legen wir im Scoping anhand Ihrer Mandantenanforderungen fest.
Für die externe Infrastruktur nicht, für Microsoft 365 und die Angriffspfade in Entra ID ja: ein gewöhnliches Beraterkonto ohne besondere Rechte. So sehen wir, was ein Angreifer nach einem erfolgreichen Phishing erreichen würde. Für die Prüfung der Konfiguration kommt ein Konto mit globalen Leserechten hinzu.
Für einen fokussierten Test von externer Infrastruktur und Microsoft 365 sollten Sie je nach Umfang wenige Wochen einplanen, einschließlich Scoping und Bericht. Erwartet der Mandant einen Behebungsnachweis, kommt die Zeit bis zum Retest hinzu. Nennen Sie uns im Beratungsgespräch die Frist Ihres Mandanten, dann planen wir rückwärts.
Vor allem die Zahl der extern erreichbaren Systeme, Größe und Verflechtung der Microsoft-365-Umgebung und die Frage, ob Geräte und Social Engineering mitgeprüft werden. Wer nur den technischen Teil eines Fragebogens beantworten muss, kommt mit einem schmaleren Umfang aus als ein Haus, das ein ISO-27001- oder TISAX-Audit vorbereitet. Ihre Fragebögen reichen meist, um den Umfang einzugrenzen.
Die Prüfbescheinigung nennt Scope, Zeitraum und Methodik, aber keine Befunde oder Angriffswege. Den Behebungsstand belegt ergänzend der Retest. Sie können sie dem Fragebogen beilegen, ohne den vollständigen Bericht herauszugeben. Den Bericht behalten Sie intern oder legen ihn nur bei Bedarf und unter Vertraulichkeit vor.
