Penetrationstest · Bericht

Pentest-Bericht Musterfirma GmbH

Auftraggeber: Musterfirma GmbH (fiktiv)
Umfang: Interner Test, Gast-WLAN, Cloud-Mandant
Dauer: zwei Wochen (fiktiv)
Einstufung: Vertraulich, nur für den vereinbarten Personenkreis

Dieses Dokument zeigt Aufbau und Sprache unserer Berichte. Echte Berichte geben wir ausschließlich an den Auftraggeber weiter.

1 Management Summary

Die Musterfirma GmbH hat einen internen Test, das Gast-WLAN und ihren Cloud-Mandanten prüfen lassen. Der Test lief zwei Wochen im laufenden Betrieb.

Wichtigstes Ergebnis: Aus dem Gast-WLAN führt ein Weg ins Betriebsnetz. Der Befund ist bestätigt und als schwerer Fehler eingestuft.

Im Cloud-Mandanten fanden wir verwaiste Gastkonten. Das Risiko ist mittel und mit wenig Aufwand zu beheben.

Positiv: Die Anmeldung am Cloud-Mandanten verlangt einen zweiten Faktor. Unsere Versuche, ihn zu umgehen, scheiterten.

Übersicht der Befunde
Nr.	Befund	Klasse	Status
M-01	Gast-WLAN erreicht die Druckerverwaltung im Betriebsnetz	Schwerer Fehler · hoch	bestätigt
M-02	Gastkonten im Cloud-Mandanten ohne Ablaufdatum	Achtung · mittel	stark belegt
P-01	Zweiter Faktor bei der Cloud-Anmeldung wirksam	Information	positive Kontrolle

2 Was in der ersten Woche zu tun ist

Gastverkehr ins Betriebsnetz per Firewall-Regel sperren (M-01).
Werkskennwort des Netzwerkdruckers ändern (M-01).
Ungenutzte Gastkonten im Cloud-Mandanten entfernen (M-02).
Verantwortliche für die Gastkonten-Überprüfung benennen (M-02).

Alle vier Punkte lassen sich ohne neue Hardware umsetzen. Die längerfristigen Maßnahmen stehen in Kapitel 9.

3 Rahmen und Vorgehen

Vorgehen

Wir arbeiten nach OWASP- und OSSTMM-Grundsätzen in Runden. Die Schritte lauten: erkunden, aufzählen, kontrolliert bestätigen, Wirkung analysieren, aufräumen, zusammenführen.

Angriffswege verfolgen wir nur so weit, wie es für den Beweis nötig ist.

Rückwirkungsarm

Keine echten Daten nach außen, nur Zählwerte und synthetische Marker.
Keine dauerhaften Zugänge, kein Schadcode, keine Phishing-Mails ohne Auftrag.
Social Engineering gegen Beschäftigte, Lasttests und zerstörende Tests: ausgeschlossen.
Eingriffe mit Betriebswirkung: im Muster keine.

Beweisregel und Belegstatus

Behauptet wird nur, was Rohbeleg, Konfiguration oder kontrollierte Wiederholung decken. Gescheiterte Versuche und positive Kontrollen bleiben sichtbar. „Nicht gefunden“ heißt nicht „existiert nicht“.

Belegstatus
bestätigt	Kontrolliert nachgestellt und belegt.
stark belegt	Durch Konfiguration oder Protokoll gedeckt, nicht ausgenutzt.
bedingt	Gilt unter der Annahme eines bereits befallenen Geräts.
potenziell	Hinweis vorhanden, Beleg fehlt noch.
offen	Im Prüfzeitraum nicht abschließend klärbar.
positive Kontrolle	Eine Schutzmaßnahme hat nachweislich gewirkt.

Einstufung

Vier Klassen
Sofort handeln · kritisch	Belegter Weg zu Kernsystemen oder Daten.
Schwerer Fehler · hoch	Deutliche Schwäche, mit wenig Aufwand ausnutzbar.
Achtung · mittel	Begrenzte Wirkung oder besondere Voraussetzungen.
Information	Hinweis ohne direkte Gefahr.

CVSS nutzen wir nur als Orientierung. Die Priorität richtet sich zusätzlich nach Geschäftswirkung, Beweiswert und regulatorischen Folgen.

4 Angriffsszenarien

Szenario A: Besucher im Gast-WLAN

Ein Besucher meldet sich im Gast-WLAN an. Er sucht nach erreichbaren Geräten und findet die Druckerverwaltung. Mit dem Werkskennwort meldet er sich an.

Ergebnis im Muster: bestätigt, siehe M-01.

Szenario B: Übernommenes Partnerkonto

Bei einem Geschäftspartner wird ein Postfach übernommen. Der Angreifer nutzt das alte Gastkonto im Mandanten der Musterfirma. Er öffnet freigegebene Projektordner.

Ergebnis im Muster: stark belegt, siehe M-02. Das Szenario wurde nicht real ausgeführt.

Szenario C: Anmeldung ohne zweiten Faktor

Wir versuchten, uns mit einem Testkonto ohne zweiten Faktor anzumelden. Die Anmelderichtlinie hat das verhindert.

Ergebnis im Muster: positive Kontrolle P-01.

5 Wirkungsanalyse

Die Wirkungsanalyse übersetzt Befunde in Folgen für den Betrieb.

Befund	Geschäftswirkung	Beweiswert	Regulatorik
M-01	Einblick in Druckaufträge, Sprungbrett ins Betriebsnetz	hoch	Datenschutz bei vertraulichen Ausdrucken
M-02	Fremdzugriff auf Projektdokumente möglich	mittel	Zugriffskontrolle nachweisen

Zusammen ergeben beide Befunde kein Szenario bis zu Kernsystemen. Einzeln sollten sie dennoch zügig behoben werden.

6 Befundkatalog

Jeder Befund folgt denselben fünf Feldern. So lässt er sich ohne Fachwissen lesen.

M-01 Gast-WLAN erreicht die Druckerverwaltung im Betriebsnetz

Schwerer Fehler · hochStatus: bestätigt

Worum es geht: Gäste sollen nur ins Internet. Das Gast-WLAN der Musterfirma soll deshalb vollständig vom Betriebsnetz getrennt sein.
Was wir gefunden haben: Vom Testgerät im Gast-WLAN war die Weboberfläche eines Netzwerkdruckers erreichbar. Die Anmeldung gelang mit dem Werkskennwort. Als Beleg dient ein Bildschirmfoto der Startseite, ohne Änderungen.
Was das bedeutet: Ein Besucher könnte Druckaufträge einsehen und den Drucker als Sprungbrett nutzen. Damit ist die Trennung der Netze an dieser Stelle aufgehoben.
Was wir nicht behaupten: Wir behaupten nicht, dass weitere Systeme aus dem Gast-WLAN erreichbar sind. Getestet wurden nur die vereinbarten Adressbereiche.
Was zu tun ist: Regel in der Firewall ergänzen, die Gastverkehr ins Betriebsnetz sperrt. Werkskennwort des Druckers ändern. Danach Trennung erneut prüfen.

M-02 Gastkonten im Cloud-Mandanten ohne Ablaufdatum

Achtung · mittelStatus: stark belegt

Worum es geht: Externe Partner erhalten Gastkonten für gemeinsame Dokumente. Diese Konten sollten nach Projektende verfallen.
Was wir gefunden haben: Im Mandanten der Musterfirma gibt es Gastkonten ohne Ablaufdatum und ohne Überprüfung. Einige wurden laut Anmeldeprotokoll seit über einem Jahr nicht genutzt.
Was das bedeutet: Vergessene Gastkonten behalten ihre Freigaben. Wird ein solches Konto beim Partner übernommen, öffnet es Dokumente der Musterfirma.
Was wir nicht behaupten: Wir behaupten nicht, dass eines dieser Konten missbraucht wurde. Dafür gab es im Prüfzeitraum keinen Hinweis.
Was zu tun ist: Regelmäßige Zugriffsüberprüfung für Gäste einrichten. Ungenutzte Gastkonten entfernen. Ablaufdatum für neue Einladungen festlegen.

7 Register offener Punkte

Punkt	Status	Nächster Schritt
Weitere Geräte im Gast-WLAN sichtbar?	offen	Nach Behebung von M-01 erneut prüfen
Gastkonten mit Schreibrechten	potenziell	Freigaben je Projektordner auswerten

8 Glossar

Assume Breach: Annahme, dass ein Gerät bereits befallen ist.
CVSS: Gängige Punkteskala für Schwachstellen, hier nur Orientierung.
Gastkonto: Konto einer externen Person im eigenen Cloud-Mandanten.
Mandant: Abgegrenzter Bereich eines Unternehmens in einem Cloud-Dienst.
Positive Kontrolle: Nachweis, dass eine Schutzmaßnahme gewirkt hat.
Werkskennwort: Vom Hersteller voreingestelltes Kennwort eines Geräts.

9 Sicherheitskonzept und Maßnahmenplan

Der Plan ordnet jede Maßnahme einem System und einer verantwortlichen Rolle zu.

System	Maßnahme	Verantwortlich	Frist
Firewall	Gastnetz vom Betriebsnetz trennen	IT-Leitung	erste Woche
Netzwerkdrucker	Werkskennwörter ersetzen, Verwaltung nur aus dem Admin-Netz	IT-Leitung	erste Woche
Cloud-Mandant	Zugriffsüberprüfung für Gäste, Ablaufdatum	Verantwortliche Zusammenarbeit	ein Monat
Gesamt	Nachtest der Befunde, sofern gebucht	Geschäftsführung	nach Behebung

Ende des Musters. Einen echten Bericht erhalten Sie nur nach einem beauftragten Test. Zurück zum Penetrationstest