Der Sicherheitsaudit: Vertrauen ist gut, Hacken ist besser

Sie haben eine Firewall. Sie nutzen SSL. Sie machen Backups. Sie glauben, Sie sind sicher. Ein Hacker glaubt nicht. Er probiert es aus. Und meistens findet er eine kleine Lücke, die Sie übersehen haben (z.B. das vergessene Test-System dev.firma.de).

Ein Sicherheitsaudit ist der Prozess, bei dem Sie (oder Profis) versuchen, sich selbst zu hacken. Bevor es die Bösen tun.

Featured Snippet: Ein Sicherheitsaudit ist eine systematische Überprüfung der IT-Infrastruktur auf Schwachstellen. Man unterscheidet zwei Hauptarten: 1. Vulnerability Scan (Automatisiert, billig, findet bekannte Lücken wie alte Software). 2. Penetration Test (Manuell, teuer, simuliert einen intelligenten Angreifer, der Logikfehler findet). Best Practice ist ein Mix: Wöchentliche Scans + Jährliche Pentests.

---

The Cost of Inaction: Die "stille Lücke"

Software altert wie Milch, nicht wie Wein. Was heute sicher ist, ist morgen unsicher ("Zero Day Exploit in Apache gefunden"). Wenn Sie nur einmal beim Launch testen, sind Sie nach 3 Monaten offen wie ein Scheunentor. Regelmäßige Audits schließen das Zeitfenster, in dem Sie verwundbar sind.

---

Die Methoden: Roboter vs. Mensch

Vulnerability Scanning (Der Roboter)

Tools wie Nessus, OpenVAS oder Detectify. Sie scannen Ihre IP-Adressen und vergleichen sie mit einer Datenbank bekannter Lücken (CVEs).

• "Du nutzt PHP 7.4. Das hat Lücke CVE-2023-XYZ."
• Vorteil: Schnell, billig, kann täglich laufen.
• Nachteil: Dumm. Findet keine Logikfehler ("Ich kann den Preis im Warenkorb auf 0€ setzen").

Penetration Testing (Der Mensch)

Sie bezahlen einen "Ethical Hacker" (White Hat). Er versucht mit allen Mitteln, einzubrechen. Er nutzt Social Engineering, schreibt eigene Exploits, kombiniert kleine Lücken zu einer großen.

• Vorteil: Realistisch. Findet die wirklich gefährlichen Business-Logic-Bugs.
• Nachteil: Teuer (Tagessätze 1.500€+), Momentaufnahme.

Bug Bounty Programm (Die Crowd)

Sie sagen öffentlich (z.B. auf HackerOne): "Wer einen Fehler findet, kriegt 500€."

• Vorteil: Tausende Augen schauen drauf. Sie zahlen nur für Erfolg.
• Nachteil: Sie ziehen Aufmerksamkeit auf sich. Man braucht ein Team, um die Reports zu triagieren (viele Fehlalarme).

---

Audit-Arten: Black, White, Grey Box

• Black Box: Der Tester weiß nichts. Er simuliert einen externen Angreifer.
• White Box: Der Tester hat Source Code, Zugangsdaten und Netzwerkpläne. Er simuliert einen böswilligen Insider (oder einen Hacker, der schon tief drin ist). Viel effizienter (Time-Boxing).
• Grey Box: Ein Mix (User-Rechte).

---

Myth-Busting: "Einmal im Jahr reicht"

Für Compliance (ISO/PCI): Ja. Für Sicherheit: Nein. In modernen CI/CD Pipelines (wo man 10x am Tag deployt) kann jeder Commit eine Lücke reißen. Nutzen Sie DAST (Dynamic Application Security Testing) in Ihrer Pipeline. Jedes Mal, wenn Entwickler Code pushen, wird automatisch gescannt.

---

Unasked Question: "Was mache ich mit dem Report?"

Der Audit-Report ist wertlos, wenn er in der Schublade liegt. Oft finden Audits 50 Lücken. Das Team ist überfordert. Remediation (Behebung):

1. Priorisieren: Fixen Sie Kritische und Hohe Lücken sofort (innerhalb 48h).
2. Akzeptieren: Mittlere/Niedrige Lücken können geplant werden. Manchmal akzeptiert man das Risiko ("Risk Acceptance"), weil ein Fix zu teuer wäre. Dokumentieren Sie diese Entscheidungen!

---

FAQ: Security Audits