Pentest für ISO 27001 –
A.12.6 Anforderungen erfüllen
ISO 27001 Kontrollmaßnahme A.12.6 fordert regelmäßige Penetrationstests. Wir führen audit-konforme Pentests durch – direkt mit Mapping zu allen Kontrollmaßnahmen. Festpreis, zertifiziert, audit-ready.
ISO 27001 A.12.6 – Die Anforderung
Was Auditor*innen von Ihnen für A.12.6 erwarten.
A.12.6 – Technische Schwachstellenanalyse
Es sollten geeignete Verfahren durchgeführt werden, um technische Schwachstellen in IT-Systemen, Anwendungen und Netzwerken zu identifizieren.
Penetrationstests sind die beste Methode, um technische Schwachstellen aktiv zu identifizieren – nicht nur zu scannen, sondern auszunutzen.
Regelmäßigkeit
Mindestens 1x pro Jahr für alle Systeme. Für kritische oder neuentwickelte Systeme 2x pro Jahr oder nach größeren Änderungen.
Die Norm fordert 'regelmäßig'. Das bedeutet: Pentest ist nicht einmalig, sondern Teil des kontinuierlichen Risikomanagements.
Scope
Pentest sollte alle relevanten Systeme abdecken: Netzwerk, Server, Anwendungen, APIs, Cloud-Infrastruktur, Third-Party Integrations.
Auditor*innen prüfen: Habt ihr die ganze Angriffsflächse getestet oder nur eine kleine Auswahl?
Autorisierung & Dokumentation
Pentest ist nur mit schriftlicher Genehmigung durchzuführen. Dokumentation ist Compliance-Nachweis.
Auditor*innen verlangen: Schriftliche Genehmigung, Pentest-Vertrag, Bericht mit Datum und Auditor-Unterschrift.
Was wird bei ISO 27001 Pentests geprüft?
4 Kernbereiche nach ISO 27001 Anforderungen.
Web Application Sicherheit
OWASP Top 10: SQL Injection, XSS, CSRF, Broken Auth, IDOR, Insecure Deserialization – systematische Prüfung.
Netzwerk & Infrastruktur
Port Scanning, Service Enumeration, Privilege Escalation, Lateral Movement – echte Angriffsszenarien.
Access Control & Identity
IAM-Schwächen, Privilege Escalation, Standard-Passwörter, Kerberoasting – Identity-basierte Angriffe.
Datenverschlüsselung
Prüfung von Verschlüsselung in Transit (TLS) und in Rest – inkl. Key Management und Zertifikate.
ISO 27001 konformer Pentest – 6 Phasen
So führen wir einen Pentest durch, der Auditor*innen 100% zufriedenstellt.
Scope & Asset Discovery
Analyse Ihrer Infrastruktur nach ISO 27001 Kontrollen. Was ist zu testen? Welche Assets sind kritisch?
Threat Modeling nach MITRE ATT&CK
Basierend auf ISO 27001 Controls: Welche Angriffsvektoren sind relevant? Risk-basierte Priorisierung.
Manual Penetration Testing
Manueller Test aller Controlpunkte. Automatisierte Scans allein reichen nicht für ISO 27001 Audits.
Control-Mapping
Jeder Finding wird zu ISO 27001 Kontrollmaßnahmen gemappt. So sieht der Auditor sofort: Hier ist was schwach.
Proof-of-Concept & Evidence
Jeder Fund mit Beweis: Screenshots, Logs, Exploit-Code. Für Audits essentiell.
Bericht & Audit-Ready Findings
Pentest-Bericht mit A.12.6 Mapping. Der Auditor versteht sofort: Diese Kontrollen sind nachgewiesen.
Tools & Methodologien
Wir nutzen international anerkannte Frameworks und Standards.
OWASP Testing Guide
Methodologie für Web Application Security Testing – Standard in der Branche.
PTES (Penetration Testing Execution Standard)
7-phasiges Framework für vollständige Penetrationstests – ISO 27001 gerecht.
NIST SP 800-115
US-Standard für Technical Security Testing – auch für deutsche Audits akzeptiert.
MITRE ATT&CK
Threat Intelligence Framework – Mapping von Findings zu realen Angriffstechniken.
BSI C5 / BSI-Grundschutz
Deutsches Äquivalent – zusätzliche Controlpunkte für kritische Infrastrukturen.
CIS Controls
Center for Internet Security – 18 kritische Sicherheitsmaßnahmen als Benchmark.
Findings & Prioritäten
Wie wir Schwachstellen bewerten und Auditor*innen informieren.
RCE (Remote Code Execution), SQL Injection mit Datenzugriff, Authentication Bypass, Privilege Escalation zu Admin
Broken SSL/TLS, Unverschlüsselte Datenübertragung, Fehlende Input Validation, Path Traversal
Weak Encryption Algorithms, Information Disclosure, Weak Password Policy, Unpatched Systeme
Outdated Software, Nicht-optimale Error Handling, Fehlende Security Headers
Audit-Ready Dokumentation
Das erhalten Sie für die ISO 27001 Audits.
Pentest-Bericht
Detaillierter Report mit Findings, Severity, Proof-of-Concept, Business Impact.
Remediation Plan
Maßnahmen zur Behebung – mit Timeline und Verantwortlichkeiten.
Retest Results
Nach Behebung: Retest zeigt, dass Schwachstellen behoben wurden.
Pentest-Vertrag & NDA
Schriftliche Genehmigung des Pentests – Auditor fordert diesen Nachweis.
Audit ohne Pentest-Nachweis = A.12.6 Non-Compliance
Auditor*innen werden fragen: 'Können Sie einen Pentest-Bericht zeigen?' Ohne Nachweis: Major Finding. Jetzt Pentest durchführen.
Häufige Fragen zu ISO 27001 Pentests
ISO 27001 Pentest – Kosten
ISO 27001 Pentest jetzt beauftragen
Audit-konform · Audit-ready Bericht · A.12.6 Mapping · Zertifizierte Pentester