Fachwissen DORA - Testverfahren gemäß Artikel 25 der DORA-Verordnung

Diese Testverfahren variieren in ihrer Komplexität und sind an die Größe, das Risikoprofil und die organisatorische Komplexität der jeweiligen Institution angepasst.

Das Ziel dieser Tests ist es, eine hohe Qualität, Widerstandsfähigkeit und Sicherheit der IT-Systeme zu gewährleisten, um den Anforderungen an Betriebssicherheit, Stabilität und Resilienz gerecht zu werden, wie in DIN EN ISO 8402 beschrieben.

Die DORA-Verordnung unterteilt die Testverfahren in grundlegende, erweiterte und komplexe Testarten. Jede Kategorie verfolgt spezifische Ziele und erfordert unterschiedliche methodische Ansätze.

Grundlegende Tests bieten eine erste Bewertung der IT-Sicherheitslage und identifizieren potenzielle Schwachstellen:

• Schwachstellenbewertung und -scans
  Automatisierte Scans und manuelle Überprüfungen zur Identifikation bekannter Sicherheitslücken in Systemen, Netzwerken und Anwendungen.
  
  
• Open-Source-Analysen
  Überprüfung von Open-Source-Komponenten auf Sicherheitslücken, Lizenzkonformität und potenziell bösartigen Code.
  
  
• Netzwerksicherheitsbewertungen
  Analyse der Netzwerkarchitektur und der Zugriffskontrollmechanismen, um mögliche Einfallstore für Angriffe zu identifizieren.
  
  
• Lückenanalysen
  Vergleich der bestehenden Sicherheitsmaßnahmen mit etablierten Standards und Best Practices, um Abweichungen zu erkennen.

Erweiterte Tests gehen über die grundlegenden Sicherheitsbewertungen hinaus und prüfen zusätzliche Sicherheitsaspekte:

• Überprüfung der physischen Sicherheit
  Bewertung physischer Zugriffsbarrieren und Sicherheitsmaßnahmen an IT-Standorten.
  
  
• Überprüfungen und Scans von Softwarelösungen
  Analyse eingesetzter Software auf Sicherheitslücken, Konfigurationsfehler und unzureichenden Schutz vor Angriffen.
  
  
• Quellcodeprüfungen
  Überprüfung des Quellcodes auf Sicherheitsprobleme, wie unsichere Funktionen, Schwachstellen oder versteckte Backdoors.
  
  
• Szenariobasierte Tests
  Simulation von realistischen Bedrohungsszenarien, wie Cyberangriffen oder Systemausfällen, um die Reaktionsfähigkeit und Belastbarkeit der Systeme zu testen.

Komplexe Tests umfassen umfangreiche Simulationen und Analysen, die auf die ganzheitliche Prüfung der IT-Resilienz abzielen:

• Leistungstests
  Prüfung der Systemstabilität und -leistung unter hohen Belastungen, beispielsweise während Spitzenlastzeiten.
  
  
• End-to-End-Tests
  Ganzheitliche Tests, die die Funktionalität und Sicherheit aller verbundenen IT-Systeme entlang der gesamten Wertschöpfungskette überprüfen.
  
  
• Penetrationstests
  Simulierte Angriffe auf Systeme, um Schwachstellen und Sicherheitslücken in einer realitätsnahen Umgebung aufzudecken.

Regelmäßige Schwachstellenscans und Bewertungen sind erforderlich, um potenzielle Sicherheitslücken frühzeitig zu identifizieren und zu beheben. Dies gewährleistet die Stabilität und Resilienz der IT-Systeme und schützt sie vor möglichen Angriffen.

Eine umfassende Schwachstellenbewertung umfasst mehrere Schritte, die auf eine systematische Identifikation, Bewertung und Behebung von Schwachstellen abzielen:

• Asset-Erkennung
• • Erfassung und Dokumentation aller IT-Systeme, Anwendungen und Netzwerke, um eine vollständige Übersicht über die Angriffsfläche zu erhalten.
  • Klassifizierung der Assets nach ihrer Kritikalität und Sensibilität, basierend auf ihrer Bedeutung für den Geschäftsbetrieb.
    
    
• Regelmäßige Schwachstellenscans
• • Einsatz automatisierter Tools zur Identifikation bekannter Schwachstellen, Fehlkonfigurationen und fehlender Sicherheitsupdates.
  • Durchführung von Scans in regelmäßigen Abständen sowie nach wesentlichen Änderungen in der IT-Infrastruktur, wie Updates oder Systemerweiterungen.
    
    
• Bewertung und Klassifizierung der Schwachstellen
• • Analyse der identifizierten Schwachstellen anhand von Kritikalitätsskalen, wie dem Common Vulnerability Scoring System (CVSS).
  • Priorisierung der Behebung kritischer Schwachstellen, die ein hohes Risiko für potenzielle Angriffe darstellen.

• Reporting und Maßnahmen
• • Erstellung detaillierter Berichte, die gefundene Schwachstellen, potenzielle Auswirkungen und empfohlene Gegenmaßnahmen dokumentieren.
  • Planung und Umsetzung von Korrekturmaßnahmen, einschließlich Sicherheitsupdates, Konfigurationsanpassungen oder organisatorischen Maßnahmen.

Die Nutzung von Open-Source-Komponenten ist in modernen IT-Systemen weit verbreitet und bietet zahlreiche Vorteile, wie Flexibilität und Kosteneffizienz. Gleichzeitig birgt sie spezifische Sicherheitsrisiken, die im Rahmen der Digital Operational Resilience Act (DORA) proaktiv adressiert werden müssen.

Open-Source-Software wird häufig in Form von Bibliotheken und Frameworks in IT-Systemen integriert. Obwohl diese Komponenten allgemein verfügbar und weit verbreitet sind, bergen sie potenzielle Risiken:

• Sicherheitslücken
  Open-Source-Bibliotheken können Schwachstellen enthalten, die von Angreifern ausgenutzt werden können, wenn sie nicht rechtzeitig erkannt und behoben werden.
  
  
• Lizenzprobleme
  Unzureichend geprüfte Open-Source-Lizenzen können rechtliche Risiken für Unternehmen darstellen, insbesondere wenn sie nicht den Lizenzanforderungen entsprechen.
  
  
• Fehlende Updates
  Ohne regelmäßige Aktualisierungen können veraltete Open-Source-Komponenten zum Einfallstor für Sicherheitsangriffe werden

Eine gründliche Analyse der Open-Source-Komponenten erfolgt in mehreren Schritten, um Sicherheits- und Compliance-Risiken zu minimieren:

• Identifikation der Open-Source-Komponenten
• • Erstellung eines vollständigen Verzeichnisses aller in den Systemen verwendeten Open-Source-Bibliotheken und Frameworks.
  • Einsatz von Software Composition Analysis (SCA)-Tools, um Open-Source-Komponenten und deren Versionen automatisch zu erfassen.
• Überprüfung auf bekannte Schwachstellen
• • Abgleich der identifizierten Komponenten mit Datenbanken wie der National Vulnerability Database (NVD) oder spezifischen Schwachstellendatenbanken für Open-Source-Software.
  • Bewertung von Schwachstellen anhand von Kritikalitätswerten, beispielsweise durch das Common Vulnerability Scoring System (CVSS).
• Lizenzprüfung
• • Analyse der Lizenzen der verwendeten Open-Source-Komponenten, um sicherzustellen, dass sie mit den internen Compliance-Vorgaben und gesetzlichen Anforderungen übereinstimmen.
  • Identifikation potenzieller Risiken, wie Lizenzverletzungen oder verpflichtender Offenlegungspflichten.
• Regelmäßige Updates und Patch-Management
• • Überwachung neuer Versionen und Sicherheitsupdates für alle eingesetzten Open-Source-Komponenten.
  • Planung und Umsetzung regelmäßiger Updates, um bekannte Schwachstellen zu schließen und die Sicherheit der Systeme zu gewährleisten.
• Berichterstattung und Maßnahmenplanung
• • Erstellung von Berichten über identifizierte Schwachstellen, Lizenzrisiken und durchgeführte Maßnahmen.
  • Priorisierung der Behebung kritischer Schwachstellen und Sicherstellung der Umsetzung durch geeignete Teams.

• Automatisierung
  Der Einsatz von SCA-Tools und anderen automatisierten Lösungen ermöglicht eine schnelle und effiziente Analyse großer Mengen von Open-Source-Komponenten.
  
  
• Regelmäßige Überprüfung
  Open-Source-Komponenten sollten kontinuierlich überwacht und bei Änderungen in der Infrastruktur oder Veröffentlichung neuer Sicherheitslücken erneut überprüft werden.
  
  
• Verantwortlichkeiten definieren
  Teams oder Einzelpersonen sollten klar für die Verwaltung und Überprüfung von Open-Source-Komponenten verantwortlich sein.
  
  
• Notfallpläne
  Unternehmen sollten Pläne entwickeln, um schnell auf Sicherheitsvorfälle im Zusammenhang mit Open-Source-Komponenten reagieren zu können.

Eine strukturierte Open-Source-Analyse bietet mehrere Vorteile:

• Reduzierung von Sicherheitsrisiken
  Bekannte Schwachstellen können frühzeitig identifiziert und behoben werden.
  
  
• Compliance-Sicherheit
  Rechtliche und regulatorische Anforderungen, wie die Vorgaben aus DORA, werden eingehalten.
  
  
• Nachhaltige Resilienz
  Durch regelmäßige Analysen und Updates bleiben IT-Systeme widerstandsfähig gegenüber Bedrohungen.

Open-Source-Analysen sind unverzichtbar, um die Sicherheitsrisiken und Compliance-Herausforderungen im Zusammenhang mit der Nutzung von Open-Source-Komponenten zu bewältigen. Die Kombination aus automatisierten Tools, regelmäßigen Überprüfungen und einer klaren Verantwortungsstruktur stellt sicher, dass Schwachstellen frühzeitig erkannt und Lizenzkonflikte vermieden werden.

Die Bewertungen dienen dazu, die Sicherheit der Netzwerkarchitektur und -konfiguration zu überprüfen, um unerlaubte Zugriffe, Angriffe und Datenlecks zu verhindern. Ziel ist es, eine sichere und zuverlässige Netzwerkkommunikation zu gewährleisten und die Resilienz der IT-Systeme zu stärken.

Die Netzwerkinfrastruktur eines Unternehmens ist das Rückgrat seiner IT-Systeme. Schwachstellen in diesem Bereich können schwerwiegende Folgen haben, darunter Datendiebstahl, Betriebsunterbrechungen oder Compliance-Verstöße. Netzwerksicherheitsbewertungen zielen darauf ab:

• Unautorisierte Zugriffe zu verhindern
  Sicherstellung, dass nur autorisierte Benutzer und Systeme Zugriff auf Netzwerkressourcen haben.
  
  
• Angriffsvektoren zu minimieren
  Identifikation und Beseitigung potenzieller Schwachstellen in der Netzwerkinfrastruktur, um Angriffe wie Malware-Infektionen, Man-in-the-Middle-Angriffe oder Denial-of-Service (DoS)-Attacken abzuwehren.
  
  
• Datenintegrität und -vertraulichkeit zu wahren
  Sicherstellung, dass sensible Daten während der Übertragung und Speicherung geschützt bleiben.

Eine Netzwerksicherheitsbewertung umfasst mehrere Schritte und berücksichtigt eine Vielzahl von Netzwerkkomponenten und -aspekten:

• Überprüfung der Netzwerkarchitektur
• • Analyse der Netzwerkstruktur und -segmentierung, um sicherzustellen, dass sensible Daten in separaten und gesicherten Bereichen gespeichert werden.
  • Bewertung der Implementierung von Sicherheitszonen und Zugangskontrollen.
• Sicherheitsprüfung von Netzwerkkomponenten
• • Firewalls
    Überprüfung von Firewall-Regeln und -Protokollen, um sicherzustellen, dass der Datenverkehr nur auf autorisierte Dienste und Ports beschränkt ist.
  • Virtual Private Networks (VPNs)
    Bewertung der Konfiguration und Verschlüsselung von VPN-Verbindungen, um die Vertraulichkeit und Integrität der übertragenen Daten zu gewährleisten.
  • Router und Switches
    Überprüfung der Konfiguration auf Schwachstellen wie Standardpasswörter, ungeschützte Verwaltungszugriffe oder unsichere Protokolle.
• Schwachstellenanalysen
• • Durchführung automatisierter Scans, um potenzielle Schwachstellen in der Netzwerkinfrastruktur zu identifizieren.
  • Manuelle Überprüfung, um komplexe Sicherheitsprobleme aufzudecken, die von automatisierten Tools möglicherweise nicht erkannt werden.
• Überprüfung der Sicherheitsrichtlinien
• • Analyse der bestehenden Sicherheitsrichtlinien und -verfahren für Netzwerke.
  • Sicherstellung, dass alle Richtlinien mit den DORA-Anforderungen übereinstimmen und regelmäßig aktualisiert werden.
• Penetrationstests
• • Simulierte Angriffe auf die Netzwerkinfrastruktur, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu bewerten.
• Logging und Überwachung
• • Überprüfung der Protokollierungs- und Überwachungsmechanismen, um sicherzustellen, dass verdächtige Aktivitäten erkannt und gemeldet werden.

Um die Wirksamkeit von Netzwerksicherheitsbewertungen zu maximieren, sollten folgende Best Practices beachtet werden:

• Regelmäßige Bewertungen
  Netzwerksicherheitsbewertungen sollten in regelmäßigen Abständen und bei wesentlichen Änderungen in der Infrastruktur durchgeführt werden.
  
  
• Automatisierung und manuelle Überprüfung
  Der Einsatz von Tools zur Automatisierung ergänzt durch manuelle Prüfungen ermöglicht eine gründliche Analyse.
  
  
• Zero-Trust-Ansatz
  Implementierung von Zero-Trust-Prinzipien, bei denen jeder Zugriff auf Netzwerkressourcen unabhängig von Standort oder Nutzer privilegiert geprüft wird.
  
  
• Schulung und Sensibilisierung
  Mitarbeiterschulungen zu sicheren Netzwerkpraktiken tragen zur Minimierung menschlicher Fehler bei.

Lückenanalysen dienen dazu, Abweichungen zwischen bestehenden Sicherheitsrichtlinien und tatsächlich implementierten Maßnahmen zu identifizieren. Durch diese Analysen können Sicherheitslücken aufgedeckt werden, die durch unvollständige, inkonsistente oder veraltete Sicherheitsprozesse entstehen.

Lückenanalysen zielen darauf ab, eine umfassende Übersicht über den aktuellen Sicherheitszustand eines Unternehmens zu schaffen und Diskrepanzen zu identifizieren, die potenzielle Risiken für die IT-Sicherheit darstellen. Dabei werden sowohl technische als auch organisatorische Aspekte berücksichtigt. Die Ergebnisse ermöglichen eine gezielte Optimierung der Sicherheitsmaßnahmen und tragen zur Einhaltung regulatorischer Vorgaben bei.

Ziele von Lückenanalysen

• Identifikation von Schwachstellen
  Aufdeckung von Sicherheitslücken, die durch unzureichende Maßnahmen, falsche Konfigurationen oder veraltete Prozesse entstanden sind.
  
  
• Abgleich mit Standards und Richtlininen
  Vergleich der bestehenden Sicherheitsmaßnahmen mit Best-Practice-Standards, regulatorischen Vorgaben (wie DORA) oder internen Richtlinien.
  
  
• Optimierung der Sicherheitsprozesse
  Entwicklung konkreter Maßnahmen, um festgestellte Lücken zu schließen und die Sicherheitsinfrastruktur zu stärken.

ine Lückenanalyse umfasst mehrere Schritte, die systematisch durchgeführt werden, um ein klares Bild der Sicherheitslage zu erhalten:

• Datensammlung und Vorbereitung
• • Erfassung relevanter Informationen über bestehende Sicherheitsmaßnahmen, Richtlinien und Prozesse.
  • Definition der Zielvorgaben und Best-Practice-Standards, die als Vergleichsgrundlage dienen sollen (z.B. ISO 27001, NIST, DORA).
• Bewertung der aktuellen Sicherheitslage
• • Analyse der implementierten Sicherheitsmaßnahmen, einschließlich technischer, organisatorischer und physischer Schutzvorkehrungen.
  • Überprüfung der Dokumentation und Protokolle, um den aktuellen Stand der Sicherheitsmaßnahmen zu erfassen.
• Vergleich mit Standards und Vorgaben
• • Abgleich der bestehenden Maßnahmen mit den definierten Zielvorgaben.
  • Identifikation von Abweichungen, wie fehlenden Sicherheitskontrollen oder unzureichend dokumentierten Prozessen.
• Risikobewertung
• • Bewertung der identifizierten Lücken hinsichtlich ihrer Kritikalität und potenziellen Auswirkungen.
  • Priorisierung der Lücken basierend auf ihrer Relevanz für die IT-Sicherheit und Resilienz.
• Erstellung eines Berichts
• • Dokumentation der identifizierten Lücken, ihrer Ursachen und möglichen Risiken.
  • Vorschläge für konkrete Maßnahmen zur Schließung der Lücken.

Eine Lückenanalyse sollte ganzheitlich erfolgen und sowohl technische als auch organisatorische Aspekte berücksichtigen:

• Technische Aspekte
• • Analyse der Netzwerksicherheit, Konfigurationen und eingesetzten Tools.
  • Überprüfung auf fehlende Sicherheitskontrollen, veraltete Software oder unzureichende Zugriffsbeschränkungen.
• Organisatorische Aspekte
• • Bewertung der Sicherheitsrichtlinien, Mitarbeiterschulungen und Eskalationsprozesse.
  • Analyse der Governance-Strukturen und der Verantwortungsträger im Bereich der IT-Sicherheit.

• Regelmäßigkeit
  Lückenanalysen sollten regelmäßig durchgeführt werden, um auf Veränderungen in der IT-Infrastruktur oder der Bedrohungslage reagieren zu können.
  
  
• Einsatz von Frameworks
  Orientierung an bewährten Sicherheitsstandards wie ISO 27001 oder NIST, um eine fundierte Analyse zu gewährleisten.
  
  
• Einbindung externer Experten
  Ergänzung interner Bewertungen durch externe Audits, um eine objektive Sichtweise zu erhalten.
  
  
• Klare Priorisierung
  Identifizierte Lücken sollten nach ihrer Kritikalität priorisiert und schrittweise geschlossen werden.

Die physische Sicherheit ist ein grundlegender, jedoch oft unterschätzter Aspekt der IT-Sicherheitsstrategie. Gemäß den Vorgaben der Digital Operational Resilience Act (DORA) müssen Finanzinstitute physische Sicherheitsmaßnahmen regelmäßig überprüfen, um sicherzustellen, dass Rechenzentren, Serverräume und andere kritische Einrichtungen effektiv geschützt sind.

Physische Sicherheitsprüfungen zielen darauf ab, sicherzustellen, dass keine unbefugten Personen Zugang zu IT-Systemen oder Netzwerkkomponenten erhalten können. Diese Maßnahmen sind von entscheidender Bedeutung, da physische Sicherheitslücken es Angreifern ermöglichen könnten:

• Systemzugriffe zu erlangen
  Direkter Zugriff auf Server oder Netzwerkgeräte ermöglicht Manipulationen, Diebstahl sensibler Daten oder Sabotage.
  
  
• Sicherheitsmechanismen zu umgehen
  Physische Zugriffe können Sicherheitsmaßnahmen wie Firewalls oder Zugriffsbeschränkungen wirkungslos machen.
  
  
• Den Betrieb zu stören
  Schäden an der Infrastruktur, wie Stromversorgung oder Netzwerkanbindung, können weitreichende Ausfälle verursachen.

Eine umfassende Überprüfung physischer Sicherheitsmaßnahmen umfasst mehrere Aspekte, die regelmäßig evaluiert werden sollten:

• Zugangskontrollen
• • Überprüfung der eingesetzten Zugangskontrollsysteme, wie elektronische Schlüsselkarten, biometrische Scanner oder PIN-Codes.
  • Sicherstellung, dass der Zugang zu kritischen Bereichen auf autorisiertes Personal beschränkt ist.
  • Prüfung auf Protokollierung aller Zugriffsversuche, um unbefugte Aktivitäten nachvollziehen zu können.
• Überwachungssysteme
• • Bewertung der Effektivität von Videoüberwachungskameras (CCTV) zur Abdeckung kritischer Bereiche.
  • Sicherstellung der Speicherung und regelmäßigen Überprüfung der aufgezeichneten Überwachungsdaten.
• Alarme und Sensoren
• • Test der Alarmsysteme auf Funktionalität, einschließlich Einbruchmeldern und Sensoren zur Erkennung von Rauch, Wasserlecks oder Temperaturanstiegen.
  • Überprüfung, ob Alarme direkt an Sicherheitsverantwortliche weitergeleitet werden.
• Sicherheitsbarrieren
• • Prüfung physischer Barrieren wie Zäune, Wände, Türen oder Schließmechanismen auf Robustheit und Widerstandsfähigkeit gegenüber Manipulationen.
  • Sicherstellen, dass kritische Räume gegen unbefugte physische Zugriffe gesichert sind.
• Notfallmaßnahmen
• • Überprüfung der Verfügbarkeit und Funktionalität von Notfallausgängen, Brandschutzeinrichtungen und Stromversorgung (z. B. Notstromaggregate).
  • Sicherstellen, dass Evakuierungspläne aktuell und allen relevanten Mitarbeitern bekannt sind.

• Regelmäßige Überprüfungen
  Physische Sicherheitsmaßnahmen sollten in regelmäßigen Intervallen sowie nach größeren Änderungen in der Infrastruktur geprüft werden.
  
  
• Risikobasierter Ansatz
  Kritische Bereiche wie Serverräume oder Rechenzentren sollten mit höchsten Sicherheitsstandards geschützt werden, während weniger kritische Bereiche mit entsprechend abgestuften Maßnahmen gesichert werden können.
  
  
• Integration von physischen und digitalen Sicherheitsmaßnahmen
  Physische Sicherheitsmaßnahmen sollten eng mit IT-Sicherheitsrichtlinien abgestimmt werden, um ein ganzheitliches Schutzkonzept zu gewährleisten.
  
  
• Schulungen und Sensibilisierung
  Mitarbeiter sollten regelmäßig zu physischen Sicherheitsprotokollen geschult werden, um menschliche Fehler zu minimieren.
  
  
• Externe Audits
  Ergänzend zu internen Überprüfungen können unabhängige Sicherheitsaudits Schwachstellen aufdecken, die intern möglicherweise übersehen wurden.

Die regelmäßige Überprüfung und Analyse von Softwarelösungen ist erforderlich, um Sicherheitsrisiken zu minimieren und die Stabilität kritischer IT-Systeme zu gewährleisten. Eine Kombination aus automatisierten Tools, manuellen Prüfungen und einer klaren Sicherheitsstrategie stellt sicher, dass sowohl intern entwickelte als auch zugekaufte Software den Anforderungen von DORA und den Best Practices der IT-Sicherheit entspricht.

Die Sicherheit von Softwarelösungen ist entscheidend für den Schutz sensibler Daten und die Stabilität kritischer IT-Infrastrukturen. Regelmäßige Überprüfungen verfolgen mehrere Ziele:

• Identifikation von Schwachstellen
  Aufdecken von Sicherheitslücken in Softwarelösungen, die durch fehlerhaften Code, unsichere Konfigurationen oder veraltete Komponenten entstehen können.
  
  
• Prävention von Angriffen
  Reduzierung des Risikos von Cyberangriffen, die Sicherheitslücken in Software ausnutzen könnten.
  
  
• Compliance-Sicherung
  Nachweis der Einhaltung regulatorischer Anforderungen, wie sie in DORA festgelegt sind.
  
  
• Sicherstellung der Softwarequalität
  Gewährleistung, dass eingesetzte Softwarelösungen robust und sicher im Betrieb bleiben.

• Erfassung der eingesetzten Software
• • Erstellung eines Inventars aller eingesetzten Softwarelösungen, einschließlich intern entwickelter und zugekaufter Programme.
  • Identifikation aller Versionen und Abhängigkeiten, um eine vollständige Übersicht zu erhalten.
• Schwachstellenscans
• • Einsatz automatisierter Schwachstellen-Scanner, um bekannte Sicherheitslücken in Software zu identifizieren.
  • Durchführung regelmäßiger Scans, insbesondere nach Updates, Änderungen oder neuen Installationen.
• Manuelle Sicherheitsüberprüfungen
• • Ergänzung automatisierter Scans durch manuelle Analysen, um komplexe Sicherheitsprobleme zu erkennen.
  • Überprüfung kritischer Bereiche wie Authentifizierungsmechanismen, Datenverschlüsselung und Benutzerrechte.
• Quellcodeanalyse
• • Prüfung des Quellcodes auf potenzielle Schwachstellen, insbesondere bei selbst entwickelter Software.
  • Einsatz statischer und dynamischer Analysetools, um Sicherheitsprobleme im Code frühzeitig zu erkennen.
• Testen von Drittanbieter-Software
• • Überprüfung der Sicherheitszertifikate und Berichte von Softwareanbietern.
  • Scans von zugekaufter Software auf mögliche Sicherheitsprobleme oder Integritätsverletzungen.
• Reporting und Maßnahmenplanung
• • Dokumentation aller identifizierten Schwachstellen und Sicherheitsprobleme.
  • Priorisierung und Umsetzung von Maßnahmen zur Behebung kritischer Schwachstellen.

Die Häufigkeit der Überprüfungen sollte an die Art und Nutzung der Software angepasst werden:

• Regelmäßige Scans
  Mindestens vierteljährlich oder nach jeder wesentlichen Änderung an der Software.
  
  
• Ad-hoc-Überprüfungen
  Bei Verdacht auf Sicherheitsprobleme oder nach Bekanntwerden neuer Schwachstellen in genutzten Softwarekomponenten.
  
  
• Versionskontrolle
  Sicherstellung, dass stets aktuelle und unterstützte Versionen der Software genutzt werden.

• Einsatz spezialisierter Tools
  Automatisierte Schwachstellenscanner und statische Codeanalyse-Tools erleichtern die schnelle und präzise Überprüfung.
  
  
• Integration in den Entwicklungszyklus
  Sicherheitsüberprüfungen sollten fester Bestandteil des Softwareentwicklungsprozesses sein (z. B. durch DevSecOps-Ansätze).
  
  
• Verantwortlichkeiten definieren
  Klar zugewiesene Rollen für die Durchführung und Nachverfolgung von Überprüfungen.
  
  
• Drittanbieter-Compliance
  Zusammenarbeit mit Softwareanbietern, um sicherzustellen, dass deren Lösungen Sicherheitsanforderungen erfüllen.
  
  
• Regelmäßige Updates
  Konsequente Aktualisierung der Software, um bekannte Sicherheitslücken zu schließen.

Quellcodeprüfungen sind eine zentrale Maßnahme, um die Sicherheit und Qualität von Software zu gewährleisten. Sie dienen dazu, potenzielle Sicherheitslücken, ineffiziente Programmierpraktiken oder fehlerhaften Code zu identifizieren, bevor diese in produktiven Umgebungen zu Problemen führen können.

Quellcodeprüfungen zielen darauf ab, Sicherheitslücken und Fehler bereits im Entwicklungsprozess zu erkennen und zu beheben. Dies reduziert nicht nur Risiken, sondern spart auch Kosten, da Fehler frühzeitig identifiziert werden, bevor sie sich auf den Betrieb auswirken können.

Hauptziele:

• Identifikation von Sicherheitslücken
  Aufdeckung von Schwachstellen im Code, wie unsicheren Funktionen, ungeschützten Zugriffen oder fehlerhaften Authentifizierungsprozessen.
  
  
• Verbesserung der Softwarequalität
  Sicherstellen, dass der Code effizient, wartbar und gemäß bewährten Entwicklungspraktiken geschrieben ist.
  
  
• Minimierung von Risiken
  Verhindern von Angriffen, die aus fehlerhaftem oder unsicherem Code resultieren könnten.
  
  
• Compliance-Sicherung
  Erfüllung der DORA-Vorgaben durch regelmäßige Prüfung und Dokumentation von Sicherheitsmaßnahmen.

Eine gründliche Quellcodeprüfung kombiniert automatisierte und manuelle Ansätze, um Sicherheitslücken und Qualitätsprobleme effektiv zu identifizieren:

• Code-Analyse-Tools
• • Einsatz automatisierter Tools für statische Codeanalysen, die den Quellcode auf bekannte Sicherheitslücken, unsichere Muster und ineffizienten Code prüfen.
  • Tools wie SonarQube, Checkmarx oder Veracode können schnell und umfassend Schwachstellen erkennen.
    
    
• Manuelle Codeüberprüfung
• • Ergänzung der automatisierten Analyse durch manuelle Prüfungen durch erfahrene Sicherheitsexperten.
  • Fokus auf komplexe oder schwer automatisiert erkennbare Probleme, wie Logikfehler, unsichere Authentifizierungsmechanismen oder Schwächen in der Verschlüsselung.
    
    
• Erstellung von Sicherheitsrichtlinien
• • Definition klarer Standards für sicheres und effizientes Programmieren.
  • Integration dieser Richtlinien in den Entwicklungsprozess und Schulung der Entwickler.
• Integration in den Entwicklungszyklus
• • Automatisierte Codeprüfungen sollten in den Continuous Integration/Continuous Deployment-Prozess integriert werden, um Sicherheitstests bei jedem Build oder Release durchzuführen.
    
    
• Berichterstattung und Maßnahmenplanung
• • Detaillierte Dokumentation aller identifizierten Schwachstellen und Probleme.
  • Erstellung eines Maßnahmenplans zur Priorisierung und Behebung der Schwachstellen

• Regelmäßige Prüfungen
  Quellcodeprüfungen sollten regelmäßig sowie nach wesentlichen Änderungen im Code durchgeführt werden.
  
  
• Sicherheitsorientierte Entwicklung
  Nutzung sicherer Programmierstandards und Frameworks, um Sicherheitslücken bereits bei der Entwicklung zu minimieren.
  
  
• Tool-gestützte Analysen
  Der Einsatz bewährter Code-Analyse-Tools reduziert die Fehlerquote und ergänzt die manuelle Expertise.
  
  
• Schulungen und Sensibilisierung
  Entwicklerteams sollten regelmäßig zu sicheren Programmierpraktiken geschult werden.
  
  
• Priorisierung kritischer Schwachstellen
  Schwachstellen sollten basierend auf ihrer Kritikalität bewertet und priorisiert behoben werden.

Diese Tests simulieren reale Angriffsszenarien, um die Reaktionsfähigkeit von IT-Systemen sowie die Wirksamkeit implementierter Sicherheitsmaßnahmen unter praxisnahen Bedingungen zu bewerten. Durch die regelmäßige Durchführung szenariobasierter Tests können potenzielle Schwachstellen identifiziert und die digitale Resilienz gestärkt werden.

Die Durchführung szenariobasierter Tests

verfolgt mehrere Ziele:

• Identifikation von Schwachstellen
  Aufdecken von Sicherheitslücken, die durch gezielte Angriffe ausgenutzt werden könnten.
  
  
• Bewertung der Reaktionsfähigkeit
  Überprüfung, wie gut Systeme, Sicherheitsmaßnahmen und Mitarbeiter auf verschiedene Bedrohungsszenarien reagieren.
  
  
• Verbesserung der Sicherheitsmaßnahmen
  Optimierung bestehender Sicherheitsstrategien und -protokolle basierend auf den Testergebnissen.
  
  
• Compliance-Erfüllung
  Nachweis, dass die Sicherheitsmaßnahmen und -prozesse den DORA-Vorgaben entsprechen.

Szenariobasierte Tests decken eine Vielzahl möglicher Bedrohungsszenarien ab, die für die jeweilige Organisation relevant sein können. Zu den häufigsten Tests gehören:

• Phishing-Simulationen
  Simulation von Phishing-Angriffen, um die Sensibilität der Mitarbeiter gegenüber Social-Engineering-Angriffen zu testen.
  
  
• Simulation gezielter Angriffe (Targeted Attacks)
  Nachbildung von Angriffen, die auf spezifische Schwachstellen oder Systeme abzielen, um deren Verwundbarkeit zu bewerten.
  
  
• Denial-of-Service (DoS)-Tests
  Simulation von Überlastungsangriffen, um die Belastbarkeit der Systeme und die Fähigkeit zur Aufrechterhaltung des Betriebs zu testen.
  
  
• Datenlecks und Ransomware-Angriffe
  Szenarien, die den Umgang mit Vorfällen wie Datenverlust oder Erpressungssoftware simulieren, um Notfallpläne zu bewerten.
  
  
• Incident-Response-Szenarien
  Überprüfung der Effektivität von Notfallreaktionen und Kommunikationsprozessen im Falle eines Sicherheitsvorfalls.

• Definition der Testszenarien
• • Identifikation relevanter Bedrohungsszenarien, basierend auf der Risikobewertung und den spezifischen Gegebenheiten der Organisation.
  • Erstellung realistischer Szenarien, die verschiedene Angriffsarten und Schwachstellen abdecken.
• Testvorbereitung
• • Festlegung der Testziele und Erfolgskriterien.
  • Einrichtung der Testumgebung, die den produktiven Systemen möglichst nahekommt, ohne den laufenden Betrieb zu beeinträchtigen.
• Durchführung der Tests
• • Simulierung der Szenarien durch spezialisierte Tools oder manuelle Tests.
  • Beobachtung und Protokollierung des Systemverhaltens und der Reaktionsmaßnahmen.
• Analyse der Testergebnisse
• • Bewertung der Wirksamkeit der Sicherheitsmaßnahmen und Reaktionen auf die simulierten Angriffe.
  • Identifikation von Schwachstellen und Verbesserungspotenzialen.
• Berichterstattung und Maßnahmenplanung
• • Erstellung eines detaillierten Berichts über die Testergebnisse, einschließlich identifizierter Schwachstellen, Auswirkungen und Empfehlungen.
  • Entwicklung und Umsetzung eines Maßnahmenplans zur Behebung der festgestellten Schwachstellen.

• Regelmäßigkeit
  Tests sollten in regelmäßigen Abständen durchgeführt werden, um auf neue Bedrohungen und Schwachstellen reagieren zu können.
  
  
• Realistische Szenarien
  Die Tests sollten reale Bedrohungen möglichst genau nachbilden, um die Wirksamkeit der Sicherheitsmaßnahmen unter praxisnahen Bedingungen zu prüfen.
  
  
• Einbindung von Mitarbeitern
  Schulung und Sensibilisierung der Mitarbeiter sind essenziell, um sicherzustellen, dass sie angemessen auf Bedrohungen reagieren können.
  
  
• Externe Expertise
  Einsatz externer Sicherheitsexperten oder spezialisierter Dienstleister, um realistische Angriffsszenarien zu simulieren und eine unabhängige Bewertung zu gewährleisten.
  
  
• Integration in die Sicherheitsstrategie
  Die Testergebnisse sollten genutzt werden, um Sicherheitsrichtlinien und Notfallpläne kontinuierlich zu verbessern.

Leistungstests prüfen, wie gut ein System unter hoher Last funktioniert, und tragen dazu bei, Engpässe in der Systemleistung frühzeitig zu identifizieren und zu beheben.

Leistungstests zielen darauf ab, die Stabilität und Effizienz von IT-Systemen unter realistischen und simulierten Belastungsszenarien zu bewerten. Die wichtigsten Ziele umfassen:

• Identifikation von Engpässen
  Erkennen von Schwachstellen in der Systemarchitektur oder -konfiguration, die zu Leistungseinbußen führen könnten.
  
  
• Optimierung der Systemressourcen
  Sicherstellen, dass vorhandene Ressourcen wie CPU, Speicher und Netzwerkbandbreite effizient genutzt werden.
  
  
• Stabilität bei Spitzenlasten
  Überprüfung der Systemstabilität unter hohen Benutzerzahlen oder erhöhtem Datenverkehr.
  
  
• Vermeidung von Ausfällen
  Reduzierung des Risikos von Systemausfällen durch proaktive Erkennung und Behebung potenzieller Probleme.
  
  
• Einhaltung von Service Level Agreements (SLAs)
  Sicherstellen, dass die vereinbarten Leistungsstandards eingehalten werden.

Leistungstests können in verschiedene Kategorien unterteilt werden, abhängig von den spezifischen Zielen und Anforderungen:

• Lasttests
  Simulation typischer Belastungssituationen, um die Systemleistung unter normalen und leicht erhöhten Anforderungen zu bewerten.
  
  
• Stresstests
  Untersuchung des Systemverhaltens bei extremen Belastungen, um die Grenzen der Belastbarkeit zu identifizieren.
  
  
• Spitzentest (Peak Testing)
  Überprüfung der Systemstabilität und -leistung während kurzfristiger Spitzenlasten.
  
  
• Dauerlasttests
  Analyse der Systemleistung über einen längeren Zeitraum, um sicherzustellen, dass keine Leistungsprobleme oder Speicherlecks auftreten.
  
  
• Skalierungstests
  Bewertung der Fähigkeit des Systems, mit wachsender Benutzerzahl oder steigender Datenmenge umzugehen.

• Testplanung
• • Definition der Testziele und -kriterien, einschließlich der zu überprüfenden Leistungsmetriken (z. B. Antwortzeiten, Durchsatz, Fehlerquote).
  • Identifikation der kritischen Systeme, Anwendungen und Prozesse, die getestet werden sollen.
• Testvorbereitung
• • Einrichtung einer Testumgebung, die die Produktionsumgebung möglichst realistisch nachbildet.
  • Auswahl geeigneter Tools für die Durchführung der Tests (z. B. Apache JMeter, LoadRunner, Gatling).
• Durchführung der Tests
• • Simulation realistischer Lasten und Belastungsszenarien, basierend auf den typischen Nutzungsmustern und erwarteten Spitzenlasten.
  • Überwachung der Systemleistung und -stabilität während der Tests.
• Analyse der Ergebnisse
• • Bewertung der Leistungsmetriken im Vergleich zu den definierten Kriterien und SLAs.
  • Identifikation von Engpässen, Schwachstellen und möglichen Optimierungsmöglichkeiten.
• Maßnahmenplanung
• • Entwicklung und Implementierung von Maßnahmen zur Behebung identifizierter Leistungsprobleme.
  • Wiederholung der Tests, um die Wirksamkeit der Verbesserungen zu validieren.

• Regelmäßige Durchführung
  Leistungstests sollten in regelmäßigen Abständen sowie vor größeren Systemänderungen oder Software-Updates durchgeführt werden.
  
  
• Realistische Szenarien
  Die Tests sollten typische Nutzungsmuster und Belastungsszenarien realistisch nachbilden, um verlässliche Ergebnisse zu erhalten.
  
  
• Skalierbare Testumgebungen
  Eine skalierbare Testumgebung ermöglicht die Simulation von Belastungen, die über das normale Maß hinausgehen.
  
  
• Automatisierung
  Der Einsatz automatisierter Testtools erleichtert die regelmäßige Durchführung und Analyse von Leistungstests.
  
  
• Integration in den Entwicklungsprozess
  Leistungstests sollten in den Entwicklungs- und Bereitstellungsprozess integriert werden, um Probleme frühzeitig zu erkennen.

End-to-End-Tests stellen sicher, dass die gesamte Datenverarbeitungskette – von der Benutzereingabe bis zur Speicherung und Ausgabe der Daten – korrekt funktioniert.

End-to-End-Tests überprüfen die vollständige Funktionalität und Integration der IT-Systeme. Dabei verfolgen sie mehrere Ziele:

• Verifizierung der Systemintegration
  Sicherstellen, dass alle Systeme, Anwendungen und Schnittstellen korrekt zusammenarbeiten.
  
  
• Erkennung von Schwachstellen
  Aufdecken von Problemen oder Sicherheitslücken, die in der Interaktion zwischen verschiedenen Komponenten entstehen können.
  
  
• Prüfung der Datenintegrität
  Gewährleistung, dass Daten korrekt verarbeitet, übertragen und gespeichert werden, ohne dass Fehler oder Verluste auftreten.
  
  
• Simulation realer Benutzerszenarien
  Testen des gesamten Systems unter Bedingungen, die den tatsächlichen Nutzungsanforderungen entsprechen.

End-to-End-Tests decken die gesamte Systemlandschaft ab und berücksichtigen alle relevanten Elemente:

• Benutzerschnittstellen
  Überprüfung, ob Eingaben korrekt verarbeitet und Benutzern die richtigen Ergebnisse angezeigt werden.
  
  
• Datenverarbeitung
  Validierung der korrekten Verarbeitung von Daten entlang der gesamten Verarbeitungskette.
  
  
• Schnittstellen
  Überprüfung der Kommunikation zwischen verschiedenen Systemen, wie APIs, Middleware oder Datenbanken.
  
  
• Speicherung und Ausgabe
  Sicherstellen, dass Daten korrekt gespeichert und bei Bedarf fehlerfrei abgerufen werden können.
  
  
• Sicherheitsprüfungen
  Überprüfung, ob die Sicherheit an allen Interaktionspunkten gewährleistet ist, einschließlich Authentifizierung, Autorisierung und Verschlüsselung.

• Testplanung
  
• • Definition der zu prüfenden End-to-End-Szenarien basierend auf realen Nutzungsmustern.
  • Festlegung der Testziele, Erfolgskriterien und Abdeckung der gesamten Datenverarbeitungskette.
• Vorbereitung der Testumgebung
• • Aufbau einer Umgebung, die die Produktionssysteme möglichst realistisch nachbildet.
  • Sicherstellen, dass alle beteiligten Systeme, Schnittstellen und Datenflüsse korrekt konfiguriert sind.
• Durchführung der Tests
• • Simulierung realer Nutzungsszenarien, einschließlich aller Schritte von der Eingabe bis zur Ausgabe.
  • Überwachung der Systemleistung und -reaktionen während des Tests.
• Ergebnisanalyse
• • Vergleich der tatsächlichen Ergebnisse mit den erwarteten Ergebnissen, um Abweichungen und Fehler zu identifizieren.
  • Analyse von Schwachstellen, die in der Interaktion zwischen Komponenten auftreten.
• Berichterstattung und Maßnahmenplanung
• • Erstellung eines Berichts über die Testergebnisse, einschließlich aller identifizierten Probleme.
  • Entwicklung und Umsetzung eines Maßnahmenplans zur Behebung der Schwachstellen.

• Regelmäßige Durchführung
• • End-to-End-Tests sollten regelmäßig und vor wesentlichen Änderungen an Systemen oder Anwendungen durchgeführt werden.
• Automatisierung
• • Automatisierte Testtools (z. B. Selenium, TestComplete) ermöglichen eine effiziente und wiederholbare Durchführung der Tests.
• Umfassende Szenarien
• • Tests sollten alle kritischen Geschäftsprozesse und technischen Interaktionen abdecken.
• Realistische Testdaten
• • Nutzung von Testdaten, die echten Produktionsdaten entsprechen, um aussagekräftige Ergebnisse zu erzielen.
• Interdisziplinäre Zusammenarbeit
• • Einbindung von Teams aus Entwicklung, IT-Betrieb und Fachbereichen, um sicherzustellen, dass alle relevanten Aspekte abgedeckt werden.

Penetrationstests (auch Pen-Tests) simulieren gezielte Angriffe auf IT-Systeme, um Schwachstellen zu identifizieren und deren Auswirkungen auf die Sicherheit und Resilienz zu bewerten.

Die Durchführung regelmäßiger Penetrationstests verfolgt mehrere wichtige Ziele:

• Identifikation von Schwachstellen
  Aufdecken von Sicherheitslücken, die von Angreifern ausgenutzt werden könnten.
  
  
• Prävention von Angriffen
  Proaktive Behebung von Schwachstellen, bevor sie potenziellen Angreifern zugänglich werden.
  
  
• Bewertung der Widerstandsfähigkeit
  Überprüfung, wie effektiv IT-Systeme Cyberangriffen standhalten können.
  
  
• Einhaltung regulatorischer Anforderungen
  Sicherstellen der Compliance mit DORA und anderen Standards wie DSGVO, ISO 27001, PCI DSS und SOC 2.
  
  
• Schulung und Sensibilisierung
  Verbesserung der Sicherheitskompetenz interner Teams durch realitätsnahe Angriffssimulationen.

• Planung

• • Definition des Umfangs (Scope) des Tests, einschließlich der zu testenden Systeme, Anwendungen und Netzwerke.
  • Festlegung der Testziele und der zu verwendenden Angriffsmethoden.
• Informationssammlung
• • Sammeln von Informationen über die Zielsysteme, wie IP-Adressen, Software-Versionen und bekannte Schwachstellen.
• Angriffssimulation
• • Durchführung gezielter Angriffe unter Verwendung von Techniken, die Hacker tatsächlich einsetzen könnten.
  • Nutzung spezialisierter Tools wie Metasploit, Burp Suite oder Nmap.
• Analyse der Ergebnisse
• • Bewertung der identifizierten Schwachstellen, einschließlich ihrer Kritikalität und potenziellen Auswirkungen.
  • Priorisierung der Schwachstellen basierend auf ihrem Risiko.
• Berichterstattung
• • Erstellung eines detaillierten Berichts, der alle identifizierten Schwachstellen, deren Schweregrad und empfohlene Maßnahmen zur Behebung dokumentiert.
• Behebung und Nachtests
• • Umsetzung der empfohlenen Maßnahmen zur Behebung der Schwachstellen.
  • Durchführung von Nachtests, um sicherzustellen, dass die Probleme erfolgreich behoben wurden.
• Detaillierte Dokumentation
• • Erstellung umfassender Berichte, die nicht nur Schwachstellen aufzeigen, sondern auch klare Handlungsempfehlungen bieten.
• Integration in die Sicherheitsstrategie
• • Penetrationstests sollten fester Bestandteil des IT-Sicherheitsmanagements sein und regelmäßig evaluiert werden.