Pentetrationstests verursachen Aufwände im Bereich von ein- bis dreistelligen Personentagen. Dabei gibt es im wesentlichen zwei Faktoren, die dafür verantwortlich sind. Die Kritikalität der Systeme und die Komplexität der Systeme im jeweiligen Scope. Je komplexer und kritischer die Anwendung durch deren Daten ist, z.B. digitaler Menüplan der Kantine versus Finanztransaktionsdaten, desto höher sollte das (Zeit-)Budget für ein einzelnes oder wiederholtes Pentesting im Projekt eingeplant werden.
SEC Consult führt jährlich über 600 Pentests weltweit durch. Als besonders heikle aber wiederkehrende Fehlerquellen gelten zum Beispiel Datenbankanbindungen, Login-Prozeduren, Einbindung von externen Quellen, zentrale Input- und Output-Validierung.
Zeit und Geld
Je komplexer und kritischer die Anwendung, desto höher sollte das Zeit- und Finanzierungsbudget für den Pentest sein. Beachten Sie bei der Festlegung Ihres Budgets außerdem, dass ein solches Projekt einen gewissen Konfigurations- und Koordinationsaufwand erfordert, bevor der eigentliche Test beginnen kann.
Für ein System das geschäftsrelevante Finanzdaten verwaltet, sollte (hoffentlich) ein größeres Budget für Sicherheitsüberprüfungen zur Verfügung stehen als für die statische HTML-Website der Kantine.
Fachwissen
Jeder erfahrene Angreifer würde all seine Bemühungen und sein Fachwissen einsetzen, um die schwächste Stelle im System zu finden. Im Durchschnitt kann der Pentest einer Web-App in ein paar Tagen durchgeführt werden, während z.B. das Testing eines Kundendienst-Helpdesks eines großen Telekommunikationsunternehmens Wochen dauern kann. Ein 360°-Pentest für ein DAX-Unternehmen kann leicht bis zu einer dreistelligen Anzahl von Tagen dauern. Es hängt tatsächlich vom Unternehmen und dem Projekt selbst ab: berücksichtigen Sie die Kritikalität Ihrer Anwendung, rechnen Sie mit den in der IT-Branche lokal üblichen Tagessätzen und Sie haben eine grobe Einschätzung, was Sie finanziell erwartet.