Erst kürzlich ging es in unserer IT Security Signal Gruppe rund. Grund zur Aufregung war der LinkedIn Post eines Ethical Hackers im DACH Raum. Dieser wies auf die neue NIS 2 Richtlinie für Betreiber kritischer Infrastruktur hin und bewarb kostenfreie Penetration Tests für diese. Und das in nur 30 Minuten! Seiner Meinung nach genüge dieser Zeitraum, um kritische Sicherheitslücken aufzudecken. Nicht nur, dass so etwas ohne den konkreten Testumfang zu kennen schwierig zu beurteilen scheint, ist diese Aussage auch bei nur minimalem Testumfang als höchst unseriös zu betrachten. Sich selbst als Ethical Hacker zu bezeichnen, scheint in diesem Zusammenhang alles andere, als ethisch oder integer. In diesem Talk wird darauf eingegangen, wie man zu so einer Schlussfolgerung kommen könnte und warum es grob fahrlässig wäre, sich mit 30-minütigen "Penetration Tests" zufriedenzugeben. Zuerst werden Werkzeuge für Vulnerability Management und Penetration Tests vorgestellt, sowie die üblichen Vorgehensweisen erläutert. Anhand von praktischen Beispielen aus realen Assessments soll dann gezeigt werden, warum es sich bei Penetration Tests um mehr als nur das Ausführen von Schwachstellenscannern handelt. Denn: Komplexe Schwachstellen lassen sich oft nicht alleine durch automatisierte Tools aufdecken.