Penetrationstest-Kosten für Start-ups

Was den Kauf tatsächlich auslöst

Bevor es ums Budget geht, lohnt sich Klarheit darüber, warum Sie kaufen - das bestimmt Scope und damit Preis. In der Praxis gibt es vier Auslöser.

• Die Sicherheitsprüfung eines Enterprise-Kunden. Ein Einkaufs- oder Lieferantenrisiko-Fragebogen verlangt einen aktuellen unabhängigen Penetrationstest. Das ist der häufigste Auslöser und der zeitkritischste, weil ein Vertrag dahintersteht.
• Eine Finanzierungsrunde. Technische Due Diligence ab Series A fragt häufig, welche unabhängigen Tests stattgefunden haben und was daraus folgte.
• Ein Framework. SOC 2, PCI DSS oder ein regionales Regime setzt eine Anforderung mit Datum. Die Compliance-Seiten behandeln, was die einzelnen erwarten.
• Ein Vorfall. Etwas ist passiert, und Sie müssen wissen, was sonst noch exponiert ist.

Nur der vierte ist offen. Die anderen drei haben eine konkrete externe Partei, deren Anforderung sich nachlesen lässt, und diese Anforderung ist meist enger als die Panik vermuten lässt. Holen Sie sie zuerst schriftlich ein.

Realistische Budgets nach Phase

Das sind die Scopes, die typischerweise sinnvoll sind, keine Behauptung darüber, was Sie ausgeben müssen.

Pre-Seed und Seed

Scopen Sie auf das eine Produkt, das Sie verkaufen, authentifiziert, mit seiner API falls vorhanden. Das ist ein Webanwendungsauftrag ab 500 $, typischerweise drei bis fünf Arbeitstage. In dieser Phase brauchen Sie fast nie Netzwerk- oder Active-Directory-Tests, weil Sie mit hoher Wahrscheinlichkeit keine angreifenswerte Unternehmensdomäne haben. Stecken Sie die Differenz in die Behebung der Befunde.

Series A

Das Produkt ist größer, es gibt meist mehrere Benutzerrollen, und die Mandantentrennung ist eine echte Frage geworden, weil Sie nun Kunden haben, denen das wichtig ist. Weiterhin ein Anwendungs-Scope, aber gescopt an Rollenzahl und API-Oberfläche statt am kleinstmöglichen Fußabdruck. Sind Sie in eine Cloud-Umgebung mit nennenswerter Infrastruktur umgezogen, kommen Cloud-Tests ab 1.500 $ hinzu.

Series B und danach

Spätestens jetzt haben Sie typischerweise ein Unternehmensnetzwerk, einen Identity Provider und Mitarbeitende mit Laptops - die Angriffsfläche ist also nicht mehr nur das Produkt. Netzwerk- und Active-Directory-Tests ab 1.500 $ werden wirklich relevant, und ein jährliches Programm über Produkt und Infrastruktur ergibt mehr Sinn als ein Einzelauftrag. In dieser Phase beginnt auch Phishing und Social Engineering eine Rolle zu spielen, weil Sie genug Menschen haben, um ein Ziel zu sein.

Einen ersten Test so scopen, dass er den Deal freigibt

Ein unter Dealdruck gekaufter erster Test hat eine Aufgabe: Nachweise zu produzieren, die der Kunde akzeptiert. Drei Dinge entscheiden darüber.

Der Scope muss dem entsprechen, was gefragt wurde. Kauft der Kunde Ihr SaaS-Produkt, testen Sie das SaaS-Produkt, authentifiziert, einschließlich der Grenze zwischen zwei Kundenkonten. Ein Test Ihrer Marketing-Website stellt niemanden zufrieden, und das Attestierungsschreiben wird es offenlegen.

Die Nachweise müssen vollständig sein. Die meisten Prüfungen wollen einen gescopten Bericht, nach Schwere bewertete Befunde, dokumentierte Behebung, Nachtest-Nachweise und ein Schreiben, das bezeugt, was wann getestet wurde. Ist eines davon ein separater Kauf, merken Sie es im schlechtesten Moment. Bei mir sind alle vier standardmäßig enthalten.

Das Timing muss von der Frist rückwärts gerechnet werden. Testen dauert bei einer kleinen Anwendung drei bis fünf Arbeitstage, danach brauchen Ihre Entwickler Zeit für die Behebung, und erst dann folgt der Nachtest. Zwei Wochen von Anfang bis Ende sind ein realistisches Minimum. Das Gespräch einen Monat vorher zu beginnen kostet dasselbe wie eine Woche vorher und führt zu einem weit besseren Ergebnis.

Was Sie vorher tun sollten, um mehr herauszuholen

Jede Stunde, die der Tester mit etwas verbringt, das Sie in zehn Minuten hätten beheben können, ist eine Stunde weniger für die interessanten Teile Ihrer Anwendung. Vor einem ersten Test lohnt es sich, Mehr-Faktor-Authentifizierung für administrative Zugänge zu aktivieren, Konten ausgeschiedener Personen zu entfernen, Abhängigkeiten mit bekannten kritischen Schwachstellen zu aktualisieren und sicherzustellen, dass Test- und Staging-Daten keine Produktionsdaten sind. Nichts davon ist glamourös, und alles davon erhöht den Wert dessen, was Sie kaufen. Eine längere Liste steht in wie Sie sich auf Ihren ersten Penetrationstest vorbereiten.

Entscheiden Sie außerdem vorab, wer die Befunde behebt. Der häufigste Fehlschlag beim ersten Test eines Start-ups ist nicht ein schlechter Bericht, sondern ein guter Bericht, für den niemand Zeit hat - am Ende haben Sie Belege für Probleme und keine Belege für Behebung. Das liest sich für einen Kunden schlechter, als gar nicht getestet zu haben.

Was es bei mir kostet

Anwendungstests ab 500 $, Netzwerk und Active Directory oder Cloud ab 1.500 $, zum Festpreis gegen schriftlichen Scope ohne Stundenabrechnung. Remediation-Unterstützung, Nachtest und Attestierungsschreiben sind enthalten. Sie haben durchgehend mit einem OSCP+-Tester zu tun, was in dieser Größenordnung meist ein Vorteil ist: Die Person, die den Auftrag gescopt hat, kennt Ihr Produkt, wenn der Bericht geschrieben wird.

Das allgemeine Preismodell steht auf der Seite zu Penetrationstest-Kosten, der Musterbericht zeigt das Ergebnis, und wenn die Preisspanne anderswo verwirrt, erklärt was billige Penetrationstests bringen die Streuung.