Für unsere Kunden, die oft über keinen tiefgreifenden technischen Hintergrund verfügen, kann der im Bereich Ethical Hacking verwendete Jargon wie ein unüberschaubares Labyrinth wirken. Das Verständnis von Begriffen wie Vulnerabilität (Schwachstelle), Exploit, Payload und TTPs erleichtert nicht nur die Kommunikation mit unseren Sicherheitsexperten, sondern schärft auch Ihr Bewusstsein für die Risiken und die angewandten Verteidigungsstrategien.

Dieser Leitfaden wurde mit dem Ziel erstellt, die gängigsten Fachbegriffe im Bereich Ethical Hacking zugänglich zu machen und die Kommunikationslücke zwischen Ihnen und den Anbietern von Sicherheitsdienstleistungen zu schließen.

Lesen Sie weiter, und in wenigen Minuten wird dieser ‘mysteriöse Jargon’ zu einem Verbündeten für Ihre Sicherheit!

---

Wir analysieren einige der grundlegenden Begriffe, denen Sie am häufigsten begegnen werden: Wir versuchen, sie einfach und intuitiv zu erklären und verwenden dabei Analogien, um das Verständnis zu erleichtern.

A

Brute-Force-Angriff: Ein Versuch, ein Passwort oder einen Verschlüsselungsschlüssel zu erraten oder eine versteckte Webseite zu finden, indem systematisch alle möglichen Kombinationen ausprobiert werden. Ethische Hacker verwenden automatisierte Tools, um Brute-Force-Angriffe auf Passwörter und andere Authentifizierungsmechanismen zu simulieren und deren Robustheit zu bewerten.

Active Directory (AD): Ein von Microsoft entwickelter Verzeichnisdienst für Domänennetzwerke. Er ist ein kritisches Ziel für Angreifer und oft Gegenstand spezifischer Ethical-Hacking-Techniken. Für einen tieferen Einblick in die gängigsten Angriffstechniken lesen Sie den Leitfaden zu Active Directory und Ethical-Hacking-Techniken.

Advanced Persistent Threat (APT): Ein raffinierter und lang anhaltender Angriff, der von einem Akteur (oft staatlich oder gut organisiert) durchgeführt wird, mit dem Ziel, in ein System einzudringen, dort über einen langen Zeitraum verborgen zu bleiben und sensible Informationen zu entwenden. Spezifische Schulungen zu APTs sind eine wichtige Sicherheitsmaßnahme.

AS-REP Roasting: Ein Angriff, der darauf abzielt, die Passwörter von Benutzern zu erhalten, die keine Kerberos-Vorauthentifizierung erfordern. Ethische Hacker suchen nach falsch konfigurierten Benutzern, um zu versuchen, deren Passwörter offline zu entschlüsseln.

Audit: Ein systematischer und unabhängiger Prozess zur Bewertung der Wirksamkeit der Sicherheitskontrollen einer Organisation. Auditing ist entscheidend bei der Analyse der Ergebnisse von Ethical Hacking, um Angriffspfade zu rekonstruieren.

Authentifizierung: Der Prozess der Überprüfung der Identität eines Benutzers, Geräts oder einer Anwendung, bevor Zugriff auf Ressourcen oder Dienste gewährt wird. Die Out-of-Band-Authentifizierung nutzt zwei getrennte Kommunikationskanäle für eine höhere Sicherheit.

B

Backdoor: Eine geheime Methode, um normale Authentifizierungsverfahren zu umgehen und auf ein System oder eine Anwendung zuzugreifen. Sie kann absichtlich für legitime Zwecke (z. B. Wartung) oder böswillig von einem Angreifer eingefügt werden, um zukünftigen Zugriff zu gewährleisten.

Blue Team: Das interne Verteidigungsteam einer Organisation, das für die Aufrechterhaltung der Systemsicherheit und die Reaktion auf Vorfälle verantwortlich ist. Während eines TIBER-EU-Tests erstellt das Blue Team einen Bericht über seine eigenen Maßnahmen.

Botnet: Ein Netzwerk aus Computern (oder anderen mit dem Internet verbundenen Geräten), die mit Malware infiziert sind und von einem einzelnen Angreifer (dem “Bot-Herder”) ohne Wissen der Eigentümer kontrolliert werden. Botnetze werden häufig für DDoS-Angriffe oder zur Verbreitung von Spam und Malware verwendet.

Bug Bounty: Ein Programm, das von einigen Organisationen angeboten wird und ethische Hacker dafür belohnt, dass sie Schwachstellen in ihren Systemen entdecken und melden.

Business Continuity Plan (BCP): Ein dokumentierter Plan, der beschreibt, wie eine Organisation im Falle einer erheblichen Unterbrechung weiterarbeiten wird, einschließlich Naturkatastrophen, Cyberangriffen oder anderen Notfällen.

C

Certified Ethical Hacker (CEH): Eine in der Branche anerkannte Zertifizierung für Ethical Hacking, die das Wissen über die von Angreifern verwendeten Techniken und Tools bescheinigt.

Kompromittierung: Das Ergebnis eines erfolgreichen Cyberangriffs, bei dem auf ein System, ein Konto oder Daten zugegriffen, diese geändert oder von unbefugten Personen gestohlen wurden. Das Ziel des Ethical Hackings ist es, die Pfade zu identifizieren, die ein Angreifer nehmen könnte, um eine Kompromittierung zu erreichen.

Continuous Monitoring: Der Prozess der ständigen Überwachung der Sicherheit eines Systems oder Netzwerks, um verdächtige Aktivitäten oder Schwachstellen zu erkennen. Eine Strategie zur kontinuierlichen Überwachung ist für die Sicherheit unerlässlich.

Zugriffskontrolle: Die Mechanismen und Richtlinien, die implementiert wurden, um den Zugriff auf Ressourcen und Informationen nur auf autorisierte Benutzer zu beschränken.

Control Team (CT): Bei einem TIBER-EU-Test ist das CT für die Überwachung und Kontrolle des gesamten Testprozesses verantwortlich. Die Control Team Guidance (CTG) bietet Anleitungen für die Einrichtung und den Betrieb des CT.

Kryptographie: Der Prozess der Umwandlung von Informationen in ein unleserliches Format (Chiffrat), um deren Vertraulichkeit zu schützen. Kryptographie ist eine grundlegende Sicherheitsmaßnahme, die im Kontext der IKT-Sicherheitsanforderungen erwähnt wird.

Cybersecurity: Die Gesamtheit der Praktiken und Technologien, die darauf abzielen, Computersysteme, Netzwerke, Programme und Daten vor unbefugtem Zugriff, Schäden, Änderungen oder Zerstörung zu schützen. Ethical Hacking ist ein integraler Bestandteil einer umfassenderen Cybersecurity-Strategie.

Cyber Threat Intelligence (CTI): Die Gesamtheit der gesammelten, verarbeiteten und analysierten Informationen über bestehende und potenzielle Cyber-Bedrohungen, einschließlich der Bedrohungsakteure, ihrer Motivationen, ihrer Fähigkeiten und ihrer TTPs. CTI ist grundlegend für Ethical Hacking, das auf realen Bedrohungen basiert, wie z. B. TLPT (Threat-Led Penetration Testing).

D

Data Breach (Datenpanne): Ein Sicherheitsvorfall, bei dem sensible, vertrauliche oder geschützte Informationen von unbefugten Personen kopiert, übertragen, eingesehen, verwendet oder gestohlen werden. Die aus Sicherheitsvorfällen oder Verletzungen gewonnenen Erfahrungen müssen in die Schulung integriert werden. Indikatoren für eine Kompromittierung (IOCs) können auf einen Data Breach hinweisen.

Designschwächen: Mängel in der Logik eines Systems, die missbraucht werden können.

Defense in Depth (Tiefenverteidigung): Eine Sicherheitsstrategie, die mehrere Ebenen von Sicherheitskontrollen implementiert, sodass bei Ausfall einer Kontrolle die anderen weiterhin Schutz bieten können.

Denial of Service (DoS): Eine Art von Angriff, der darauf abzielt, ein System, einen Dienst oder eine Netzwerkressource für legitime Benutzer unzugänglich zu machen, indem es mit Datenverkehr überlastet oder Schwachstellen ausgenutzt werden.

Digitale operationelle Resilienz: Die Fähigkeit einer Organisation, ihre digitale operationelle Integrität aufzubauen, zu sichern und zu überprüfen und dabei die Fähigkeit aufrechtzuerhalten, Dienste während und nach Unterbrechungen bereitzustellen. Der Digital Operational Resilience Act (DORA) ist ein relevanter regulatorischer Rahmen.

DORA (Digital Operational Resilience Act): Eine europäische Verordnung zur Stärkung der digitalen operationellen Resilienz des Finanzsektors. Die TLPT-Anforderungen von DORA können mit dem TIBER-EU-Framework erfüllt werden.

E

Konfigurationsfehler: Nicht korrekt konfigurierte Systeme oder Anwendungen, die Zugriffstore offen lassen oder unsichere Standardeinstellungen verwenden.

Programmierfehler: Fehler im Softwarecode, die ausgenutzt werden können, um beliebigen Code auszuführen.

Ethical Hacking: Der Akt der Simulation von Cyberangriffen, um Schwachstellen in einem System oder Netzwerk zu identifizieren, mit der Erlaubnis des Eigentümers und mit dem Ziel, die Sicherheit zu verbessern. Ethical Hacking zeichnet sich durch seinen proaktiven Charakter aus. Wenn Sie verstehen möchten, wie ein strukturierter Ethical-Hacking-Service auf Ihre Organisation angewendet werden kann: Das ISGroup-Team arbeitet mit einem Tiger-Team, das Infrastruktur, Verfahren und physische Sicherheit durch die Simulation realistischer Szenarien analysiert.

Exploit: Ein Exploit ist ein Stück Code, eine Befehlsfolge oder eine Technik, die eine spezifische Schwachstelle in einem Computersystem, einer Softwareanwendung oder Hardware ausnutzt. Stellen Sie sich ein defektes Schloss (die Schwachstelle) an einer Tür vor. Bei einer Ethical-Hacking-Aktivität ist das Ziel oft, Schwachstellen zu identifizieren und in einigen Fällen deren Ausnutzbarkeit durch die Erstellung oder Verwendung von Exploits zu demonstrieren. Dies ermöglicht es dem Kunden, die tatsächlichen Auswirkungen zu verstehen, die eine bestimmte Schwachstelle haben könnte, wenn sie von einem böswilligen Angreifer ausgenutzt würde.

F

Firewall: Ein Sicherheitssystem, das den ein- und ausgehenden Netzwerkverkehr überwacht und kontrolliert und unbefugte Kommunikation basierend auf vordefinierten Regeln blockiert.

Follow-up: Der Begriff ‘Follow-up’ bezieht sich auf Maßnahmen, die nach einem anfänglichen Ereignis, einer Bewertung, einer Rückmeldung oder einer Empfehlung ergriffen werden, um sicherzustellen, dass notwendige Maßnahmen abgeschlossen, Probleme gelöst und die erwarteten Ergebnisse erreicht werden.

Framework: Eine konzeptionelle Struktur oder eine Reihe von Richtlinien, die einen strukturierten Ansatz zur Lösung eines Problems oder zur Implementierung eines Prozesses bieten. Beim Ethical Hacking gibt es verschiedene Frameworks wie MITRE ATT&CK, TIBER-EU, NIST SP 800-53 und CBEST, die die Test- und Sicherheitsbewertungsaktivitäten leiten.

G

GDPR (Datenschutz-Grundverordnung): Dies wird im Kontext der Sicherstellung erwähnt, dass der Beschaffungsprozess von Anbietern für Bedrohungsinformationen den Datenschutzbestimmungen entspricht.

Golden Ticket: Ein gefälschtes Kerberos-Ticket, das es dem Angreifer ermöglicht, sich bei jedem Dienst innerhalb der Active-Directory-Domäne zu authentifizieren. Ethische Hacker suchen nach Wegen, diese Tickets zu erstellen oder zu stehlen, um die Robustheit des Authentifizierungssystems zu bewerten.

H

Hacker (Ethisch/White Hat): Ein Experte für Cybersicherheit, der seine Fähigkeiten nutzt, um mit Erlaubnis des Eigentümers Schwachstellen in Computersystemen zu identifizieren und auszunutzen, um die Sicherheit zu verbessern. Er unterscheidet sich von “Black Hat”-Hackern (Cyberkriminelle) und “Grey Hat”-Hackern (die in einer Grauzone zwischen Ethik und Illegalität agieren).

HUMINT (Human Intelligence): Informationen, die aus menschlichen Quellen gesammelt werden. Beim Ethical Hacking kann dies die Analyse von Social-Engineering-Interaktionen oder Informationen von Branchenexperten umfassen.

I

Incident Response: Die Gesamtheit der Verfahren und Maßnahmen, die ergriffen werden, um einen Cybersicherheitsvorfall zu identifizieren, einzudämmen, zu beseitigen und sich davon zu erholen. Ein formeller Follow-up-Prozess ist beim IKT-Vorfallmanagement erforderlich.

Indicator of Compromise (IOC): Ein Artefakt oder Signal, das darauf hinweist, dass ein System oder Netzwerk möglicherweise durch einen Cyberangriff kompromittiert wurde. IOCs können bösartige IP-Adressen oder verdächtige Verkehrsmuster umfassen.

Informationssicherheit: Der Schutz von Informationen und Computersystemen vor unbefugtem Zugriff, Nutzung, Offenlegung, Unterbrechung, Änderung oder Zerstörung. Ein Informationssicherheitsplan ist ein Schlüsselelement.

Social Engineering: Die Kunst, Menschen zu manipulieren, um vertrauliche Informationen zu erhalten oder sie zu Handlungen zu bewegen, die die Sicherheit gefährden könnten. Phishing-Angriffe sind ein häufiges Beispiel für Social Engineering. Ethische Hacker simulieren diese Techniken, um die “menschliche Firewall” einer Organisation zu bewerten. Um zu verstehen, wie sehr der menschliche Faktor die Angriffsfläche beeinflusst, lesen Sie den vertiefenden Artikel über die Rolle von Social Engineering beim Ethical Hacking.

K

Kerberoasting: Eine Angriffstechnik, die auf Service Principal Names (SPN) im Active Directory abzielt, um die Passwörter von Dienstkonten zu erhalten.

Keylogger: Eine Software oder Hardware, die heimlich die auf einer Tastatur eingegebenen Tastenanschläge aufzeichnet, was es einem Angreifer ermöglicht, Passwörter, persönliche Informationen oder andere sensible Daten zu stehlen.

L

Lateral Movement (Seitwärtsbewegung): Die Techniken, die ein Angreifer nach der Kompromittierung eines ersten Systems verwendet, um sich durch das Netzwerk zu bewegen und auf andere wertvolle Systeme zuzugreifen. Ethische Hacker simulieren Lateral Movement, um zu bewerten, wie einfach es für einen Angreifer ist, seine Präsenz innerhalb der Infrastruktur auszuweiten.

Logging: Die detaillierte Aufzeichnung von Ereignissen, die in einem Computersystem oder Netzwerk auftreten. Logs sind entscheidend für die Analyse der Ergebnisse von Ethical Hacking und für die operationelle Resilienz. Der Schutz von Audit-Informationen ist eine Sicherheitskontrolle.

M

Malware: Software, die darauf ausgelegt ist, einem Computersystem Schaden zuzufügen, Informationen zu stehlen oder unbefugten Zugriff zu erlangen. Dazu gehören Viren, Würmer, Trojaner, Ransomware und Spyware. Ethical Hacking zielt darauf ab, Schwachstellen zu identifizieren, die zur Installation von Malware ausgenutzt werden könnten.

Man-in-the-Middle (MitM)-Angriff: Ein Angriff, bei dem sich ein Angreifer heimlich zwischen zwei kommunizierende Parteien schaltet, die ausgetauschten Informationen abfängt und möglicherweise verändert. Ethische Hacker suchen nach Schwachstellen, die die Durchführung von MitM-Angriffen ermöglichen könnten, um die Sicherheit der Netzwerkkommunikation zu bewerten. Out-of-Band-Authentifizierung ist eine Technik, die diese Angriffe abschwächen kann.

Mitigation (Abschwächung): Die Gesamtheit der Maßnahmen, die ergriffen werden, um die Auswirkungen oder die Wahrscheinlichkeit einer Bedrohung oder Schwachstelle zu verringern.

N

NIST SP 800-53: Eine Reihe von Standards und Richtlinien, die vom US-amerikanischen National Institute of Standards and Technology (NIST) veröffentlicht wurden und einen Katalog von Sicherheits- und Datenschutzkontrollen für Computersysteme und Bundesbehörden bereitstellen. Dieses Framework unterstützt das Risikomanagement und die Compliance.

O

OSINT (Open Source Intelligence): Informationen, die aus öffentlich zugänglichen Informationsquellen wie Webseiten, sozialen Medien und Nachrichtenartikeln gewonnen werden. OSINT wird in der Aufklärungsphase des Ethical Hackings und in der Threat Intelligence verwendet.

P

Password Spraying: Ein “leichter” Brute-Force-Angriff, der darin besteht, eine kleine Anzahl gängiger Passwörter auf eine große Anzahl von Konten auszuprobieren. Ethische Hacker simulieren diesen Angriff, um zu überprüfen, ob die Passwortrichtlinien des Unternehmens wirksam sind, um Kompromittierungen zu verhindern.

Payload: Der Payload ist der Teil eines Exploits, der den bösartigen Code oder die Anweisungen enthält, die der Angreifer auf dem Zielsystem ausführen möchte, nachdem er es erfolgreich kompromittiert hat (nehmen wir zum Beispiel ein Schloss: Der Exploit ist der Dietrich, während der Payload das ist, was der Dieb tut, sobald er eingedrungen ist, d. h. Informationen stehlen, schädliche Software installieren oder die Kontrolle über das System übernehmen).

Im Rahmen des Ethical Hackings ist der während der Tests verwendete Payload in der Regel sicher und kontrolliert und darauf ausgelegt, die erfolgte Kompromittierung zu demonstrieren, ohne echten Schaden anzurichten. Das Ziel ist es, dem Kunden zu zeigen, welche Aktionen ein Angreifer unternehmen könnte, sobald er Zugriff auf das System erlangt hat.

Penetration Testing (Pentest): Ein aktiver Sicherheitstest, bei dem ethische Hacker versuchen, Schwachstellen eines Systems oder Netzwerks auszunutzen, um dessen Sicherheit zu bewerten. Penetration Testing ist eine Kernmethodik des Ethical Hackings.

Phishing: Eine Art von Social-Engineering-Angriff, bei dem Angreifer betrügerische E-Mails, Nachrichten oder Telefonanrufe senden, um Opfer zu täuschen und sie dazu zu bringen, sensible Informationen preiszugeben oder schädliche Aktionen auszuführen.

Privilege Escalation (Rechteausweitung): Eine Technik, die von Angreifern verwendet wird, um ein höheres Zugriffsniveau als das ursprünglich kompromittierte zu erlangen, was es ihnen ermöglicht, schädlichere Aktionen durchzuführen.

Provenienz: Die Chronologie des Ursprungs, der Entwicklung, des Eigentums, des Standorts und der Änderungen an einem System oder einer Komponente. Provenienz ist ein wichtiger Aspekt des Supply-Chain-Risikomanagements.

R

Red Team: Ein Team von Cybersicherheitsexperten, das die Angriffstaktiken und -techniken realer Gegner simuliert, um die Verteidigungsfähigkeit einer Organisation (das Blue Team) zu testen. Red-Teaming-Übungen sind komplexere und realistischere Angriffssimulationen als einfache Penetrationstests. Der Red Team Test Plan (RTTP) beschreibt die operativen Vorgehensweisen des Red Teams in einem TIBER-EU-Test, während der Red Team Test Report (RTTR) deren Aktivitäten und Ergebnisse dokumentiert.

Remediation (Behebung): Der Prozess der Korrektur identifizierter Schwachstellen, um das Risiko einer Ausnutzung zu verringern. Ein Remediation Plan (RP), wie er im TIBER-EU-Framework vorgesehen ist, skizziert die notwendigen Maßnahmen zur Behebung der festgestellten Schwächen.

Digitale operationelle Resilienz: Die Fähigkeit einer Organisation, ihren Betrieb aufrechtzuerhalten und sich schnell von Cybervorfällen zu erholen. Ethical Hacking trägt zur Verbesserung der operationellen Resilienz bei, indem es Schwächen identifiziert und hilft, diese zu korrigieren. Der Digital Operational Resilience Act (DORA) ist eine europäische Verordnung, die darauf abzielt, die digitale operationelle Resilienz im Finanzsektor zu stärken.

Risiko (Cyber): Die Wahrscheinlichkeit, dass eine Bedrohung eine Schwachstelle ausnutzen könnte, was zu negativen Auswirkungen auf die Organisation führt. Ethical Hacking hilft dabei, Cyberrisiken besser zu bewerten und zu verstehen.

Risikomanagementstrategie: Ein umfassender Plan zur Identifizierung, Bewertung und Minderung von Risiken. Ethical Hacking liefert wertvolle Informationen, um die Risikomanagementstrategie einer Organisation zu informieren.

S

SIEM (Security Information and Event Management): Ein Softwaresystem, das Sicherheitsprotokolle aus verschiedenen Quellen (wie Betriebssystemen, Anwendungen und Netzwerkgeräten) sammelt und analysiert, um Bedrohungen und Anomalien zu identifizieren.

Silver Ticket: Ein gefälschtes Kerberos-Ticket, das es dem Angreifer ermöglicht, auf einen bestimmten Dienst innerhalb der Active-Directory-Domäne zuzugreifen (im Gegensatz zum Golden Ticket, das für alle Dienste gültig ist). Ethische Hacker suchen nach Schwachstellen, die die Erstellung von Silver Tickets ermöglichen, um die Sicherheit einzelner Dienste zu bewerten.

Supply-Chain-Angriff: Ein Cyberangriff, der auf Lieferanten, Partner oder andere Elemente der Lieferkette einer Organisation abzielt, um das Hauptziel zu kompromittieren. Das Supply-Chain-Risikomanagement wird immer wichtiger.

Systeminventar: Eine vollständige Liste aller Hardware-, Software- und anderer IT-Komponenten einer Organisation. Ein Systeminventar ist eine grundlegende Sicherheitskontrolle.

T

Bedrohungsakteur (Threat Actor): Eine Einzelperson oder eine Gruppe mit der Absicht und der Fähigkeit, einen Cyberangriff durchzuführen. Das Verständnis von Bedrohungsakteuren und ihren TTPs ist entscheidend für ein effektives Ethical Hacking.

Threat Intelligence: Siehe Cyber Threat Intelligence (CTI).

Threat-Led Penetration Testing (TLPT): Ethische Hacker simulieren während eines Threat-Led Penetration Testing (TLPT) Angriffe basierend auf Threat Intelligence, d. h. Informationen über reale Bedrohungen und TTPs, die von spezifischen Angreifergruppen verwendet werden. Es ist eine fortschrittliche Ethical-Hacking-Methodik, die Threat Intelligence nutzt, um realistische Angriffe zu simulieren, die auf den wahrscheinlichsten Bedrohungen für eine spezifische Organisation basieren.

TTPs (Taktiken, Techniken und Verfahren): Die spezifischen Verhaltensweisen und Methoden, die Angreifer während eines Cyberangriffs verwenden. Das Verständnis der TTPs von Bedrohungsakteuren ist unerlässlich, um realistische Angriffe beim Ethical Hacking zu simulieren.

V

Vulnerabilität (Schwachstelle): Eine Schwachstelle ist ein Mangel, ein Designfehler oder ein Implementierungsfehler in einem Computersystem, einer Softwareanwendung, Hardware oder sogar einem Sicherheitsverfahren, der von einem Angreifer ausgenutzt werden könnte, um die Vertraulichkeit, Integrität oder Verfügbarkeit dieses Systems oder dieser Anwendung zu gefährden.

Vulnerability Assessment: Der Prozess der Identifizierung, Quantifizierung und Klassifizierung von Sicherheitslücken in einem System oder Netzwerk. Im Gegensatz zum Penetration Testing beinhaltet das Vulnerability Assessment nicht immer die aktive Ausnutzung der Schwächen.

Menschliche Schwachstellen: Fehler, die von Benutzern begangen werden, wie z. B. das Opfer von Social-Engineering-Angriffen (psychologische Manipulation, um Informationen oder Zugriff zu erhalten) wie Phishing zu werden.

Z

Zero-Day-Schwachstelle: Eine Softwareschwachstelle, die entdeckt wurde, aber noch nicht durch einen Patch des Herstellers behoben wurde. Exploits, die auf Zero-Day-Schwachstellen abzielen, können besonders gefährlich sein, da keine sofortigen Abwehrmaßnahmen verfügbar sind.

Ethical Hacking: Warum die Kenntnis der Begriffe den Unterschied macht

Ein besseres Verständnis des technischen Jargons ermöglicht es Ihnen, informierter an Diskussionen teilzunehmen, Risiken besser einzuschätzen und fundiertere Entscheidungen bezüglich Ihrer Sicherheitsstrategie zu treffen.

In das Verständnis dieser Begriffe zu investieren, ist nicht nur eine akademische Übung. Eine solide Wissensbasis über die Sprache der Cybersicherheit ermöglicht es Ihnen:

• Die Kommunikation zu verbessern: Dies erleichtert den Informationsaustausch zwischen Kunden und Dienstleistern und reduziert Missverständnisse und Ineffizienzen.
• Risiken zu verstehen: Das heißt, ein größeres Bewusstsein für Cyber-Bedrohungen und Schwachstellen zu erlangen, die Ihre Organisation gefährden können.
• Ergebnisse zu bewerten: Ethical-Hacking-Berichte korrekt zu interpretieren und die Auswirkungen der identifizierten Schwachstellen zu verstehen.
• Aktiv teilzunehmen: In der Lage zu sein, einen wesentlichen Beitrag zu Entscheidungen bezüglich der Sicherheitsstrategie und der Behebungspläne zu leisten.
• Das Vertrauen zu Cybersicherheitspartnern zu stärken, basierend auf einem gegenseitigen Verständnis der Ziele und Herausforderungen.

Wenn Sie vertiefen möchten, wie diese Konzepte in die Praxis umgesetzt werden, können Sie den realen Fall von Unternehmens-Ethical-Hacking am Beispiel der Acmebank lesen, der zeigt, wie ein strukturiertes Engagement von Anfang bis Ende durchgeführt wird.

Häufig gestellte Fragen zum Ethical Hacking

• Was ist der Unterschied zwischen Ethical Hacking und Penetration Testing?
• Penetration Testing ist eine der Aktivitäten, die unter Ethical Hacking fällt: Es konzentriert sich auf den aktiven Versuch, spezifische Schwachstellen in einem definierten Bereich auszunutzen. Ethical Hacking ist ein breiteres Konzept, das auch Social-Engineering-Simulationen, physische Zugriffsanalysen, Red Teaming und Threat Intelligence umfassen kann, mit dem Ziel, das Verhalten eines realen Angreifers in seiner Gesamtheit zu replizieren.
• Was passiert konkret während eines Ethical-Hacking-Engagements?
• Ein typisches Engagement gliedert sich in mehrere Phasen: Aufklärung (Sammeln von Informationen über das Ziel), Identifizierung von Schwachstellen, kontrollierter Ausnutzungsversuch, Dokumentation der Angriffspfade und Erstellung eines Berichts mit Empfehlungen zur Behebung. Alles geschieht mit der ausdrücklichen Zustimmung der Organisation und in einem vereinbarten Rahmen.
• Wer kann einen Ethical-Hacking-Service anfordern?
• Jede Organisation, die die Robustheit ihrer IT-Infrastruktur, ihrer Anwendungen oder ihrer internen Prozesse proaktiv überprüfen möchte. Es ist nicht nur großen Unternehmen vorbehalten: Auch KMUs mit kritischen Systemen oder sensiblen Daten profitieren von einer Bewertung, die mit kontrollierten offensiven Methoden durchgeführt wird.

[Callforaction-EH-Footer]