AutomatedPentesting.
Automated Pentesting führt freigegebene Prüfungen wiederholbar aus und dokumentiert, ob aus mehreren Schwächen ein nutzbarer Angriffsweg entsteht.
Marktbild: Der Markt ist kleiner als derjenige für klassische Vulnerability Scanner. Entscheidend ist nicht die Zahl der Tests, sondern sichere Ausführung, belastbare Nachweise und ein Retest nach der Korrektur.
Prüfen, was
tatsächlich wirkt.
Für wiederkehrende Prüfungen interner und externer Angriffsflächen, besonders wenn derselbe Scope zwischen manuellen Pentests verändert wird.
Ein autonomer Test ersetzt weder die kreative Prüfung von Geschäftslogik noch einen sauber beauftragten manuellen Pentest. Ein Scan ohne sichere Ausnutzung ist kein Pentest.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| Pentera · Pentera Platform | Autonome Angriffssimulation | Interne Netze, Identitäten und Cloud-Umgebungen | Ausführungsgrenzen und genehmigte Zielbereiche |
| Horizon3.ai · NodeZero | Autonomous Pentesting | Wiederkehrende interne, externe und Cloud-Tests | Konnektivität der Runner und Testfreigaben |
| Ridge Security · RidgeBot | Automatisierte Pentest-Appliance | Netzwerk-, Web- und Cloud-Scopes | Tiefe der Tests je Zieltechnologie |
| Cobalt · Pentest as a Service | Plattform mit menschlichem Testing | Anwendungen, APIs und Infrastrukturen | Abgrenzung zwischen Plattformautomatisierung und Expertenleistung |
| NetSPI · PTaaS | Kontinuierliches Pentesting mit Experten | Breite Enterprise- und Cloud-Scopes | Wiederholungsrhythmus und feste Testteams |
| Invicti · Invicti | Automatisiertes Web- und API-Testing | Webanwendungen und APIs | Keine Gleichsetzung mit Infrastruktur-Pentest |
Sicher ausführen,
Pfade schliessen.
- Sicherheitsgrenzen technisch hinterlegen: ausgeschlossene Systeme wie OT oder fragile Altsysteme, verbotene Techniken wie Denial of Service, Zeitfenster und Abbruchkontakt.
- Umgang mit erbeuteten Zugangsdaten und Hashes regeln: Speicherort, Löschfrist und Rücksetzung der betroffenen Konten.
- SOC und Betrieb vorab informieren, die Erkennung aber nicht unterdrücken; ob der Test entdeckt wird, ist selbst ein Befund.
- Angriffspfade nach Ziel priorisieren (Domain-Admin, Backup, Kronjuwelen) und zuerst die Schwachstelle schliessen, über die die meisten Pfade laufen.
- Anzahl Pfade zu Domain-Admin oder gleichwertigen Tier-0-Rechten je Testlauf
- Zeit vom nachgewiesenen kritischen Pfad bis zum bestandenen Retest
- Anteil Testläufe, die das SOC erkannt und korrekt eingestuft hat
Security beauftragt und steuert die Tests, der IT-Betrieb gibt Zeitfenster und Ausschlüsse frei. Die System-Owner schliessen die Pfade; die Freigabe für produktive Systeme erteilt die Linie, die das Betriebsrisiko trägt.
ISO/IEC 27001:2022 Annex A 8.8 (Management technischer Schwachstellen) und 8.34 (Schutz der Informationssysteme während Audittests), der für Tests an produktiven Systemen Planung und Abstimmung zwischen Tester und Management verlangt.
FINMA-RS 2023/1 erwartet regelmässige Verwundbarkeitsanalysen und Penetrationstests durch qualifiziertes Personal, einschliesslich aller aus dem Internet erreichbaren IKT-Bestandteile; DORA Art. 25 nennt Penetrationstests im Testprogramm. Ob automatisierte Tests dafür allein genügen, ist mit Prüfgesellschaft oder Aufsicht zu klären.
Mehr Testläufe bringen nichts, wenn Pfade offen bleiben. Findet der monatliche Lauf zum dritten Mal denselben Weg zum Domain-Admin, misst er den Behebungsprozess, nicht die Abwehr.
Vom Test
zum Nachweis.
- Ein produktives Zielsystem und erlaubte Techniken schriftlich eingrenzen.
- Einen nachgewiesenen Angriffspfad mit Owner und Behandlung an die Fachverantwortung übergeben.
- Nach der Korrektur denselben Pfad erneut ausführen und den Restbefund dokumentieren.
Penetration Testing · Vulnerability Management · Attack Path Management
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.