Günstig · Billig · Der Unterschied

Billige Penetrationstests: Was unter 1.000 $ wirklich bringt

Günstig und billig sind nicht dasselbe, und genau in dieser Lücke verbrennen die meisten Käufer ihr Geld. Ein niedriger Preis kann bedeuten: kein Overhead. Er kann auch bedeuten: kein Test. So erkennen Sie, was Ihnen verkauft wird - mit Fragen, die jeder ehrliche Tester in einem Satz beantwortet.

Günstig ist eine Kostenstruktur. Billig ist eine fehlende Leistung.

Es gibt zwei völlig verschiedene Gründe, warum ein Penetrationstest wenig kosten kann, und sie führen zu gegenteiligen Ergebnissen.

Der erste ist eine niedrige Kostenstruktur. Ein Einzeltester ohne Vertriebsteam, ohne Account Manager, ohne Projektleitung, ohne Räumlichkeiten und ohne zu bedienende Marge kann einen Bruchteil des Beratungspreises verlangen und dabei dieselbe Anzahl Stunden oder mehr tatsächlich mit dem Angriff auf Ihr System verbringen. Vom Test wurde nichts entfernt. Entfernt wurde alles, was sonst darum herum liegt.

Der zweite ist eine fehlende Leistung. Der Preis ist niedrig, weil die Arbeit nicht stattfindet. Ein Scanner läuft, die Ausgabe bekommt Deckblatt und Logo, und auf der Rechnung steht "Penetrationstest". Auch das lässt sich sehr günstig herstellen - genau deshalb wird es als Schnäppchen bepreist.

Von außen, auf einem Angebot, sehen beide ähnlich aus. Die folgenden Fragen trennen sie zuverlässig.

Sieben Fragen, die den Unterschied offenlegen

  • Wie viele Tage manuelles Testen kauft dieser Preis? Die mit Abstand nützlichste Frage. Ein echter Tester nennt sofort eine Zahl, weil er sein Angebot genau so gebaut hat. Ausweichen ist bereits die Antwort.
  • Wer testet, und welche Zertifizierungen hat diese Person? Sie sollten einen Namen bekommen. Wird die Arbeit untervergeben oder von wem auch immer gerade frei ist erledigt, wollen Sie das vor dem Kauf wissen, nicht danach.
  • Enthält der Bericht Reproduktionsschritte für jeden Befund? Ohne sie können Ihre Entwickler nichts bestätigen oder beheben, und der Bericht ist Dekoration. Scanner-Exporte haben für die wichtigen Befunde fast nie brauchbare Reproduktionsschritte.
  • Sind authentifizierte Tests enthalten? Hat Ihre Anwendung Logins und niemand testet dahinter, wurde der gesamte Bereich übersprungen, in dem ernsthafte Befunde liegen. Das ist der häufigste Weg, auf dem ein billiger Test formal ehrlich und praktisch nutzlos ist.
  • Ist ein Nachtest enthalten? Der Nachtest beweist, dass die Korrekturen gewirkt haben. Steht er auf einer eigenen Rechnung, rechnen Sie ihn vor dem Vergleich hinzu.
  • Wie lange dauert der Auftrag? Ein Test einer realen Anwendung, der nach vier Stunden fertig ist, hat nicht stattgefunden. Drei bis fünf Arbeitstage sind ein normales Fenster für eine kleine Anwendung.
  • Kann ich einen geschwärzten Musterbericht sehen? Das klärt die Frage schneller als alles andere. Format, Tiefe, Begründung der Schwere und Qualität der Reproduktionsschritte sind sofort sichtbar. Meiner steht unter Musterbericht.

Was ein wirklich günstiger Test trotzdem enthalten muss

Budget ist eine legitime Grenze, und es sollte den Scope verkleinern, niemals den Standard. Auch am unteren Ende einer vernünftigen Preisspanne gehört all das dazu.

  • Manuelles Testen durch eine benannte, zertifizierte Person, nicht nur Werkzeuge.
  • Authentifizierte Tests für jede Benutzerrolle im Scope.
  • Tests der Geschäftslogik, nicht nur die OWASP-Top-10-Checkliste.
  • Befunde mit begründeter Bewertung, nicht mit einer unerklärten Farbe.
  • Reproduktionsschritte, denen ein Entwickler ohne Rückfrage folgen kann.
  • Sofortige Meldung kritischer Funde während des Tests, nicht erst am Ende.
  • Remediation-Unterstützung während der Behebung und ein Nachtest danach.
  • Ein Attestierungsschreiben, das Sie an Kunden oder Auditoren geben können.

Fehlen in einem Angebot mehrere dieser Punkte, ist es nicht günstiger als die Alternativen. Es ist ein anderes, kleineres Produkt, das zufällig denselben Namen trägt.

Wann sich mehr Geld wirklich lohnt

Das sage ich lieber offen. Es gibt Situationen, in denen ein Auftrag im unteren Preissegment die falsche Entscheidung ist und Sie richtig budgetieren sollten.

Große Landschaften gehören dazu. Bei Tausenden Hosts, mehreren Domänen und einem Jahrzehnt an Zukäufen braucht die Arbeit ein Team, und ein Team kostet, was es kostet. Red-Team-Einsätze ebenfalls: Einen realen Angreifer über Wochen gegen eine ausgereifte Detektionsfähigkeit zu simulieren, ist keine Tätigkeit für kleine Budgets, und diese Arbeit wird ganz anders gescopt und bepreist. Regime, die intelligence-led Testing vorschreiben, und manche regulierten Finanzkontexte erwarten eine Größenordnung, die ein einzelner Tester in kurzer Zeit nicht liefern kann. Und wenn Ihr Käufer eine bestimmte Firma oder eine Akkreditierung verlangt, die es nur an einer Stelle gibt, ist Ihre Einschränkung der Einkauf und nicht die Sicherheit.

Außerhalb dieser Fälle kauft Ihnen das teure Angebot bei einer kleinen bis mittelgroßen Anwendung oder einem Netzwerk meist Overhead statt Tiefe.

Wo meine Preise liegen - und warum

Webanwendungstests beginnen bei 500 $, Netzwerk- und Active-Directory-Arbeit bei 1.500 $, zum Festpreis gegen einen schriftlichen Scope, mit enthaltener Remediation-Unterstützung, Nachtest und Attestierungsschreiben statt getrennter Abrechnung. Das ist nach Marktmaßstäben eine niedrige Zahl, und sie ist aus dem ersten Grund dieser Seite niedrig, nicht aus dem zweiten: Es gibt keine Firma rund um das Testen, die finanziert werden müsste. Die Stunden sind real, der Tester ist namentlich benannt und OSCP+-zertifiziert, und der Musterbericht ist veröffentlicht, damit Sie die Ergebnisse beurteilen können, bevor Sie etwas ausgeben.

Die vollständige Aufschlüsselung steht auf der Seite zu Penetrationstest-Kosten und der Preisseite. Treibt ein Framework Ihren Test, behandelt compliance-getriebenes Testen, welche Nachweise die einzelnen Regime erwarten.

Fragen zu günstigen Tests

Er kann es sein, und er kann auch wertlos sein. Der Preis allein sagt nichts. Entscheidend ist, ob Sie echte Testertage gegen einen kleinen Scope kaufen oder einen automatisierten Scan mit Deckblatt. Ein Auftrag für 500 $, der drei bis fünf Tage manuelles Testen gegen eine kleine Anwendung mit ein bis zwei Rollen bedeutet, ist ehrliche Arbeit zu einem ehrlichen Preis. Ein Auftrag für 500 $, der ein Scannerlauf ist, sind 500 $ zum Fenster hinaus. Fragen Sie, wie viele Tage manuelles Testen der Preis kauft und wer sie leistet.
Weil der Unterschied überwiegend Overhead ist und nicht Testarbeit. Das Angebot einer großen Firma trägt Vertrieb, Account Management, Projektleitung, Räume und Marge, bevor jemand anfängt, und bei kleinen Aufträgen testet häufig ein Junior. Ein Einzeltester ohne Overhead kann einen Bruchteil verlangen und trotzdem dieselben Stunden oder mehr am System selbst verbringen.
Am deutlichsten: ein Angebot ohne angegebene Testertage, ein Bericht ohne Reproduktionsschritte, Befunde ohne Begründung der Schwere, eine Durchlaufzeit von wenigen Stunden, die Weigerung, Tester oder Zertifizierungen zu nennen, keine authentifizierten Tests bei einer Anwendung mit Logins und kein enthaltener Nachtest. Zwei davon zusammen, und Sie kaufen mit hoher Wahrscheinlichkeit Scanner-Ausgaben.
Nur wenn er die geforderten Nachweise liefert. Die meisten Prüfungen wollen einen gescopten Bericht, eine nach Schwere bewertete Befundliste, dokumentierte Behebung und Nachtest-Nachweise, in manchen Regimen zusätzlich die Qualifikation des Testers. Nicht der Preis lässt solche Prüfungen scheitern, sondern fehlende Nachweise. Fragen Sie vor dem Kauf direkt, ob Attestierungsschreiben und Nachtest enthalten sind.
Unbedingt einsetzen, und zwar fortlaufend statt einmal im Jahr. Aber verstehen Sie seine Grenzen. Ein Scanner findet bekannte Schwachstellen in bekannter Software. Er findet keine fehlerhafte Zugriffskontrolle zwischen zwei Kundenkonten, keinen Checkout-Schritt, den man überspringen kann, und keinen Server, der einem vom Browser übermittelten Preis vertraut. Dafür braucht es einen Menschen, und das sind meist die Befunde, auf die es ankommt. Ein ausführlicher Vergleich steht in Penetrationstest gegenüber Schwachstellenscan.

Wollen Sie wissen, ob ein vorliegendes Angebot echt ist?

Bringen Sie es ins Scoping-Gespräch mit. Ich sage Ihnen offen, ob es vernünftig kalkuliert ist - auch wenn die Antwort lautet, dass Sie zugreifen sollten.

Kontakt