„Penetrationstests sind wie die rote Pille in Matrix“

… richtig, ich habe die SySS GmbH vor mittlerweile 27 Jahren gegründet, im Sommer 1998. Aktuell beschäftigen wir 178 Mitarbeitende. Unser Kerngeschäft sind simulierte Cyberangriffe auf Unternehmen aller Art. Das heißt, meine Mitarbeitenden greifen IT-Systeme an, identifizieren Schwachstellen und erstellen im Anschluss einen Bericht. Die Kunden beheben daraufhin die Schwachstellen und haben am Ende ein sicheres Netzwerk.

Das ist tatsächlich eine Herausforderung. Wie halte ich 178 Mitarbeitende fit? Wie bleiben wir den echten Angreifern einen Schritt voraus? Wir investieren daher stark in Forschung und Entwicklung – das ist essenziell.

Im Moment eher nicht. Viele Unternehmen entlassen Mitarbeitende – das kommt uns zugute. Wer bei Europas innovativster und coolster Hackerbude arbeiten will, kommt zu uns. Zudem haben wir Lehraufträge und halten regelmäßig Vorlesungen an Hochschulen. Wir sind da sehr aktiv.

Am Anfang steht ein sogenannter Scoping Call. Dabei definieren wir die Szenarien: Wer ist der potenzielle Täter? Kommt er von außen? Ist er bereits im Firmennetzwerk? Hat er z. B. einen verloren gegangenen Laptop gefunden? Und was genau ist das Zielobjekt? Diese beiden Komponenten – Angreiferprofil und Prüfgegenstand – bestimmen den Ablauf. Dann wird Schritt für Schritt getestet.

Einerseits die formelle Korrektheit der Projektbeschreibung, andererseits die kreative Freiheit der Mitarbeitenden innerhalb dieses Rahmens. Nur so erzielen wir echte Erkenntnisse.

Überraschend schlecht. Obwohl das Thema seit 20 Jahren an Bedeutung gewinnt, haben unsere Mitarbeitenden oft schon in den ersten Minuten Erfolg – die Systeme sind angreifbar. Das ist für unsere Kunden sehr aufschlussreich.

Nach dem Auftragseingang erfolgt die Bestätigung, dann die Terminierung mit dem Kunden. Anschließend stellen wir das Testteam zusammen, planen den Personaleinsatz, führen ein Kick-off-Gespräch – und dann beginnt der eigentliche Test. Danach folgt die Berichtserstellung, Qualitätssicherung, Übergabe und eine Abschlusspräsentation. Wir arbeiten dabei sehr arbeitsteilig und effizient.

Immer dann, wenn sich etwas ändert – sei es die IT-Infrastruktur oder die externe Bedrohungslage. Ansonsten regelmäßig, etwa im Jahresrhythmus. Das empfehlen wir auch so in unseren Berichten.

KI hilft uns, schneller Angriffstools und Phishing-Kampagnen zu entwickeln. Dadurch können wir innerhalb der Projektlaufzeit mehr prüfen. Aber natürlich profitieren auch die Angreifer – wir denken und handeln ja wie sie.

Oft glauben Unternehmen, sie seien bereits gut aufgestellt – und sind dann überrascht, wie viele Schwachstellen wir finden. Das ist wie in Matrix, wenn man die rote Pille nimmt: Die vertraute Realität löst sich auf. Viele denken: Meine Mitarbeitenden machen keine Fehler, mein Dienstleister auch nicht – das stellt sich oft als Trugschluss heraus.

Natürlich. Manchmal glauben wir, ein System sei schnell zu knacken – und liegen daneben. Oder wir erwarten große Hürden und sind nach einer Stunde schon durch. Das macht die Arbeit so spannend.

Sie sollten wachsam sein, aber nicht paranoid. Diese Balance ist schwierig, denn Angriffe werden immer glaubwürdiger. Früher fielen nur sehr naive Menschen auf Phishing-Mails herein. Heute können auch kluge Köpfe getäuscht werden – die Qualität der Mails ist enorm gestiegen.

Behörden sind besonders träge. Sie arbeiten mit vielen Altsystemen und können durch Ausschreibungsverfahren nicht flexibel reagieren. Das macht die Situation schwieriger als in der Privatwirtschaft. Dennoch zählen viele Behörden zu unseren Kunden – aber der Großteil unserer Umsätze kommt von privatwirtschaftlichen Unternehmen weltweit.

Nein, das ist im Cyberspace irrelevant. Hacker greifen dort an, wo sie gerade eine Schwachstelle finden – unabhängig von Ländergrenzen. Und genau deshalb ist es auch so schwierig, die Täter strafrechtlich zu verfolgen.

Klare, verbindliche Absprachen. Nur so laufen Projekte reibungslos. Und wie gesagt: kontinuierliche Forschung – wer hier nicht investiert, bleibt zurück.