Penetrationstests in den Vereinigten Arabischen Emiraten
Die VAE haben mehr überlappende Cybersicherheitsregime als fast jedes andere Land - föderal, auf Emiratsebene, sektorspezifisch und in den Freizonen - und fast alle münden in dieselbe Anforderung: ein unabhängiger Penetrationstest, mindestens jährlich, mit Nachweisen. Hier steht, welches für Sie gilt und was der Test umfasst.
Die Regulierungslandschaft der VAE, kurz
Die VAE schichten föderale, Emirats- und Sektorregeln übereinander. Die meisten Unternehmen sind von mehr als einer erfasst, und die nützliche Erkenntnis lautet: Ein einzelner, gut zugeschnittener Test kann mehrere zugleich erfüllen - wenn er bewusst so geplant wird und nicht zufällig.
NESA / UAE Information Assurance Standards
Die föderale Grundlinie, anwendbar auf Behörden und auf als kritische Informationsinfrastruktur eingestufte Organisationen in Energie, Wasser, Verkehr, Telekommunikation, Finanzdienstleistungen und Gesundheitswesen. Das technische Schwachstellenmanagement verlangt, dass Schwachstellenbewertungen und Penetrationstests durchgeführt und nachverfolgt werden - praktisch jährlich. Zwei Anforderungen werden häufig übersehen: Kritische und hohe Befunde brauchen dokumentierte Behebung mit Nachtest-Nachweis innerhalb einer festgelegten Frist, meist 90 Tage; und Prüfer sehen sich die Qualifikation des Testers an, wobei OSCP oder Gleichwertiges die erklärte Erwartung ist. Die NESA-Seite geht ins Detail.
Dubai ISR (DESC)
Die Information Security Regulation des Dubai Electronic Security Centre bindet Dubaier Behörden und die Lieferanten, die sie bedienen. Sie läuft parallel zu NESA statt sie zu ersetzen, und Unternehmen, die für die Dubaier Regierung arbeiten, müssen häufig beides belegen. Die Testanforderung ist inhaltlich ähnlich, ein für beide zugeschnittener Auftrag erzeugt also ein Nachweispaket.
Finanzdienstleistungen: CBUAE, DFSA, ADGM
Die Zentralbank der VAE setzt die Erwartungen für Banken und Finanzierungsgesellschaften onshore; die DFSA reguliert Firmen im DIFC, die FSRA jene im ADGM. Alle drei erwarten regelmäßige unabhängige Sicherheitstests, und alle drei sehen einen als Penetrationstest präsentierten Schwachstellenscan kritisch. Im Detail hier.
VARA: virtuelle Vermögenswerte
Die Virtual Assets Regulatory Authority in Dubai verlangt von jedem lizenzierten VASP mindestens jährlich einen unabhängigen Penetrationstest nach dem Technology and Information Rulebook, dazu intelligence-geführte Tests, wo VARA das für notwendig und angemessen hält. Das Rulebook steht neben Anforderungen an HSM-gestützte Schlüsselverwaltung, Cold-Storage-Mindestwerte und Vorfallmeldungen binnen 24 bis 72 Stunden je nach Schwere.
Gesundheitswesen: ADHICS
Der Abu Dhabi Healthcare Information and Cyber Security Standard gilt für Gesundheitsdienstleister und deren Technologielieferanten im Emirat, mit Anforderungen an Sicherheitstests und Nachweise neben den Kontrollen für klinische Daten. Mehr dazu hier.
Datenschutz
Das föderale PDPL sowie die eigenständigen Datenschutzgesetze von DIFC und ADGM bringen Sicherheitspflichten, wo personenbezogene Daten verarbeitet werden. Sie nennen Penetrationstests nicht ausdrücklich, aber der Maßstab lautet "angemessene technische Maßnahmen", und das nach einem Vorfall zu belegen ist mit einem aktuellen unabhängigen Test erheblich leichter.
Ein Test, mehrere Pflichten
Der teure Fehler in den VAE ist, pro Aufsichtsbehörde eine eigene Prüfung zu kaufen. Meist überschneidet sich der technische Umfang fast vollständig - externe Angriffsfläche, Webanwendungen und APIs, internes Netz und Active Directory, Cloud-Tenant - und was sich unterscheidet, sind Zuordnung und Berichtsform, nicht das Testen.
Der Auftrag wird deshalb einmal gegen alles zugeschnitten, dem Sie unterliegen, und der Bericht ordnet jeden Befund jeder einschlägigen Kontrolle zu. Der praktische Umfang:
- Externes Netz - alles aus dem Internet Erreichbare, einschließlich der Hosts, an deren Veröffentlichung sich niemand erinnert.
- Webanwendungen und APIs - Authentifizierung, Autorisierung, Geschäftslogik, Injection. Die kundenseitige Schicht, nach der jede Aufsichtsbehörde fragt.
- Internes Netz - was ein Fuß in der Tür erreicht und ob Ihre Segmentierung tatsächlich hält.
- Active Directory - ADCS-Missbrauch, Kerberoasting, Delegation und ACL-Pfade zu Domain Admin.
- Cloud - Eskalation in Entra ID und Azure RBAC, offener Speicher, Identitäts-Fehlkonfiguration.
Für VASPs unter VARA kommt die Verwahrungsgrenze hinzu: Wallet-Infrastruktur, Signaturabläufe und die operativen Kontrollen rund um Schlüsselmaterial - dort entsteht der Schaden, nicht im Web-Frontend.
Die Qualifikationsanforderung, konkret
Die meisten Compliance-Seiten übergehen das, aber in den VAE ist es ungewöhnlich konkret: NESA-Prüfer sehen sich an, wer getestet hat, und OSCP oder Gleichwertiges ist die Erwartung. Tests von jemandem ohne anerkannte offensive Zertifizierung werden hinterfragt und bei der Prüfung mitunter zurückgewiesen.
Ich halte OSCP+ - die aktuelle, erneuerte Form der Zertifizierung - dazu eCPPT, eWPT und eCIR auf der offensiven Seite sowie AZ-500, SC-200 und SC-300 auf der Microsoft-Sicherheitsseite, was den Entra-ID- und Azure-Teil der Arbeit belastbar statt generisch macht. Alle sind unabhängig über die OffSec-Credential-Wallet überprüfbar, und dieser Link gehört neben dem Bericht in Ihr Nachweispaket.
Wie der Auftrag abläuft
Zuerst Umfang und Angebot: Sie nennen Pflicht, Umgebung und Frist; Sie erhalten einen Festpreis und einen Starttermin, meist binnen ein bis zwei Wochen. Die Rules of Engagement werden schriftlich vereinbart, einschließlich Testfenstern, Eskalationskontakten und allem, was Ihre Aufsicht zur Verarbeitung oder Speicherung von Nachweisen vorgibt.
Getestet wird je nach Umfang ein bis zwei Wochen, Kritisches wird sofort gemeldet statt für das Abschlussdokument aufgehoben. Der Bericht folgt binnen Tagen: Zusammenfassung, technische Befunde mit Reproduktionsschritten und CVSS-Bewertungen, Kontrollzuordnung und priorisierte Behebung. Danach ein Nachtest des Behobenen und ein Attestierungsschreiben - in den VAE wichtiger als viele erwarten, denn der 90-Tage-Nachtestnachweis ist selbst eine Anforderung, kein Extra.
Ich arbeite remote aus Amman, eine Stunde hinter Dubai, im selben Wochenrhythmus wie die Region, auf Arabisch oder Englisch. Kein lokales Büro, und ich behaupte auch keines - stattdessen bekommen Sie die Person, die die Arbeit macht, direkt und mit überprüfbaren Qualifikationen.
Loslegen
Sagen Sie mir, welcher Aufsicht Sie unterliegen und was im Umfang liegt. Wenn Sie unsicher sind - bei so vielen überlappenden Regimen völlig normal - klärt ein kurzes Gespräch das. Die Compliance-Übersicht vergleicht die Rahmenwerke, der kostenlose Perimeter-Scan zeigt Ihre aktuelle externe Angriffsfläche in wenigen Minuten, und der Musterbericht zeigt genau, was Sie erhalten.
Nehmen Sie Kontakt auf - Anfragen auf Arabisch sind willkommen, und wenn eine Einreichungsfrist den Zeitplan bestimmt, schreiben Sie das in die erste Zeile.
VAE: häufige Fragen
Grob: Bundesbehörden und als kritisch eingestufte Informationsinfrastruktur - Energie, Wasser, Verkehr, Telekommunikation, Finanzdienstleistungen, Gesundheitswesen - fallen unter die Information Assurance Standards der NESA. Dubaier Behörden und ihre Lieferanten unter die ISR des DESC. Banken und Finanzierungsgesellschaften antworten der Zentralbank; DIFC-Firmen der DFSA und ADGM-Firmen der FSRA; Dubaier Dienstleister für virtuelle Vermögenswerte der VARA. Das Gesundheitswesen in Abu Dhabi fällt unter ADHICS. Viele Unternehmen sind von zwei oder drei zugleich erfasst, was normalerweise unproblematisch ist - ein gut zugeschnittener Test kann Nachweise für alle liefern, wenn er von Anfang an so geplant wird.
Ja. Das technische Schwachstellenmanagement der Information Assurance Standards verlangt, dass Schwachstellenbewertungen und Penetrationstests durchgeführt und nachverfolgt werden, praktisch also mindestens jährlich für erfasste Stellen. Zwei Details zählen über den Test hinaus: Kritische und hohe Befunde brauchen dokumentierte Behebung mit Nachtest-Nachweis innerhalb einer festgelegten Frist, typischerweise 90 Tage - ein Test ohne Nachtest ist eine unvollständige Antwort. Und NESA-Prüfer sehen sich die Qualifikation des Testers an, wobei OSCP oder Gleichwertiges erwartet wird.
Ja. Nach dem Technology and Information Rulebook der VARA braucht jeder Dubaier Dienstleister für virtuelle Vermögenswerte mindestens jährlich einen unabhängigen Penetrationstest, und VARA kann zusätzlich intelligence-geführte Tests verlangen, wo sie das für notwendig und angemessen hält. Das Rulebook deckt außerdem Schlüsselverwaltung mit HSMs, Mindestanteile für Cold Storage und Meldefristen von 24 bis 72 Stunden je nach Schwere ab. Für VASPs muss der Testumfang in der Regel über einen Standard-Webtest hinausreichen - Wallet-Infrastruktur, Signaturabläufe und die Verwahrungsgrenze sind die Stellen mit dem tatsächlichen Risiko.
Nein. Externe Tests, Webanwendungen, Cloud und der größte Teil interner Tests werden remote geliefert, was in der Region Standard ist. Interne Netz- und Active-Directory-Arbeit läuft über VPN oder einen Jump-Host in Ihrer Umgebung. Wo eine Aufsichtsbehörde oder Ihre eigene Richtlinie einschränkt, wo Daten verarbeitet oder Nachweise gespeichert werden, geht das schriftlich in die Rules of Engagement, bevor irgendetwas beginnt.
Üblicherweise innerhalb von ein bis zwei Wochen nach Einigung über den Umfang, schneller, wenn eine Einreichungsfrist drängt. Weil Sie den Tester direkt beauftragen, liegt zwischen Unterschrift und Starttermin keine interne Ressourcenwarteschlange. Ein typischer Auftrag aus externem Test und Webanwendungen läuft ein bis zwei Wochen, der Bericht folgt binnen weniger Tage - der Zeitplan im Detail (auf Englisch).
Frist bei NESA, ISR oder VARA?
Nennen Sie mir die Pflicht und den Umfang, und Sie erhalten Festpreis und Starttermin.