Sicherheitsbewertung

Eine Sicherheitsbewertung (englisch: Security Assessment) ist eine systematische Analyse der IT-Infrastruktur, um Schwachstellen, Bedrohungen und Risiken zu identifizieren. Unternehmen, die Server, Webhosting oder andere digitale Dienste betreiben, setzen Sicherheitsbewertungen ein, um den tatsächlichen Schutzstatus ihrer Systeme zu ermitteln und gezielt Gegenmaßnahmen einzuleiten. Mit der zunehmenden Regulierung durch die NIS-2-Richtlinie der EU gewinnen strukturierte Sicherheitsbewertungen zusätzlich an Bedeutung, da sie eine wesentliche Grundlage für die geforderte Risikoanalyse bilden.

Welche Methoden umfasst eine Sicherheitsbewertung?

Eine Sicherheitsbewertung setzt sich aus mehreren Prüfverfahren zusammen, die jeweils unterschiedliche Aspekte der IT-Sicherheit abdecken:

• Vulnerability Scan: Ein automatisierter Schwachstellen-Scan durchsucht Systeme, Netzwerke und Anwendungen nach bekannten Sicherheitslücken. Die eingesetzten Werkzeuge vergleichen die vorgefundene Konfiguration mit Datenbanken bekannter Schwachstellen (CVE-Einträge) und liefern eine priorisierte Liste der Befunde. Vulnerability Scans eignen sich besonders gut für regelmäßige Überprüfungen, da sie schnell und weitgehend automatisiert ablaufen.
• Penetrationstest: Im Gegensatz zum automatisierten Scan simuliert ein Penetrationstest einen gezielten Angriff durch spezialisierte Sicherheitsexperten. Diese versuchen, Schwachstellen aktiv auszunutzen, um zu prüfen, wie weit ein Angreifer tatsächlich vordringen könnte. Penetrationstests liefern tiefergehende Erkenntnisse als reine Scans, da sie auch komplexe Angriffsketten und logische Fehler in Anwendungen aufdecken.
• Compliance-Audit: Ein Compliance-Audit prüft, ob die vorhandenen Sicherheitsmaßnahmen bestimmte Normen und Vorschriften erfüllen. Typische Bezugsrahmen sind ISO 27001, der BSI-Grundschutz oder branchenspezifische Vorgaben. Das Audit bewertet nicht nur technische Maßnahmen, sondern auch organisatorische Prozesse wie Zugangskontrollen, Dokumentation und Schulungen.
• Risikoanalyse: Die Risikoanalyse bewertet identifizierte Schwachstellen im Kontext ihrer Eintrittswahrscheinlichkeit und ihres potenziellen Schadens. Sie bildet die Grundlage für die Priorisierung von Sicherheitsmaßnahmen und die Zuweisung von Ressourcen.

Was verlangt die NIS-2-Richtlinie?

Die NIS-2-Richtlinie der Europäischen Union, die in Deutschland durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt wurde, verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zu umfassenden Maßnahmen im Bereich der Cybersicherheit. Artikel 21 der Richtlinie fordert unter anderem, dass betroffene Organisationen angemessene technische und organisatorische Maßnahmen ergreifen, um die Risiken für ihre Netz- und Informationssysteme zu beherrschen.

Regelmäßige Sicherheitsbewertungen sind dabei ein zentrales Element. Die Richtlinie verlangt, dass Penetrationstests von unabhängigen Prüforganisationen durchgeführt werden, die das zu prüfende System nicht selbst betreiben. Für besonders schutzbedürftige Systeme ist ein jährlicher Prüfrhythmus vorgesehen. Hosting-Anbieter und Betreiber von Servern, die unter den Anwendungsbereich der NIS-2 fallen, müssen nachweisen, dass sie ihre Systeme kontinuierlich bewerten und identifizierte Schwachstellen zeitnah beheben.

Wie läuft eine Sicherheitsbewertung ab?

Eine professionelle Sicherheitsbewertung folgt einem strukturierten Ablauf, der typischerweise diese Phasen umfasst:

• Scope-Definition: Zunächst wird festgelegt, welche Systeme, Netzwerke und Anwendungen geprüft werden sollen. Bei Webhosting-Umgebungen umfasst der Scope häufig den Webserver, die Datenbanken, die DNS-Konfiguration und die Netzwerkinfrastruktur.
• Informationssammlung: Die Prüfer erfassen Details zur eingesetzten Software, zu offenen Ports, zu konfigurierten Diensten und zur Netzwerktopologie.
• Durchführung der Tests: Die eigentlichen Prüfungen werden durchgeführt, beginnend mit automatisierten Scans und gegebenenfalls ergänzt durch manuelle Penetrationstests.
• Auswertung und Berichterstellung: Die Ergebnisse werden in einem Bericht zusammengefasst, der die gefundenen Schwachstellen, deren Kritikalität und konkrete Handlungsempfehlungen enthält.
• Nachprüfung: Nach der Umsetzung der empfohlenen Maßnahmen erfolgt eine erneute Prüfung, um die Wirksamkeit der Gegenmaßnahmen zu verifizieren.

Warum sind Sicherheitsbewertungen für Webhosting-Kunden relevant?

Auch wenn Sie selbst keine Sicherheitsbewertung durchführen, profitieren Sie als Kunde eines Hosting-Anbieters davon, dass Ihr Provider seine Infrastruktur regelmäßig prüfen lässt. Ein Hosting-Anbieter, der dokumentierte Sicherheitsbewertungen vorweisen kann, bietet Ihnen eine verlässlichere Grundlage für den Betrieb Ihrer Domain und Ihrer Webanwendungen. Fragen Sie bei der Auswahl eines Hosting-Anbieters gezielt nach vorhandenen Zertifizierungen, dem Prüfrhythmus und den eingesetzten Prüfverfahren.

Betreiben Sie einen eigenen VPS oder dedizierten Server, tragen Sie die Verantwortung für die Sicherheit der darauf installierten Software selbst. In diesem Fall sollten Sie regelmäßige Vulnerability Scans einplanen und bei sicherheitskritischen Anwendungen professionelle Penetrationstests in Betracht ziehen. Ein SSL-Zertifikat schützt dabei die Datenübertragung, ersetzt aber keine umfassende Sicherheitsbewertung der gesamten Serverumgebung.