Umfang von Bank-Penetrationstests: Angebote erhalten, die sich wirklich vergleichen lassen

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Ein Angebot für einen Penetrationstest bei einer Bank ist nur dann aussagekräftig, wenn Ziel und Umfang festgelegt sind. Geben Sie die Kundenkanäle, Zahlungsprozesse oder internen Vertrauenspfade an, die geprüft werden sollen, sowie die bereitgestellten Zugänge und die von Ihnen akzeptierten Nachweise. Grenzen Sie routinemäßige Penetrationstests von formellen DORA-TLPT-Anforderungen ab.

Beschreiben Sie das Beauftragungsziel

Formulieren Sie die Entscheidung, die die Bank treffen muss: eine Anwendung freigeben, eine klar definierte Vertrauensgrenze bewerten, eine bekannte Offenlegung untersuchen oder die Behebung validieren. Benennen Sie den Serviceverantwortlichen und die Zielgruppe des Berichts. Verwenden Sie „vollständiger Pentest“ nicht als Ersatz für eine klare Eingrenzung. Anbieter können diesen Ausdruck sehr unterschiedlich auslegen: von einem eng begrenzten Scan ohne Authentifizierung bis hin zu einer umfassenden Prüfung mit privilegiertem Zugriff und Tests der Geschäftslogik.

Unterscheiden Sie routinemäßige Penetrationstests von einer fortgeschrittenen Threat-Led-Übung. Wenn TLPT erforderlich ist, nutzen Sie das dafür geltende Governance- und Beschaffungsverfahren. Der Leitfaden zu den Anforderungen an Anbieter gemäß Artikel 27 der DORA erläutert Aspekte, die nicht auf einen allgemeinen Lieferantenfragebogen reduziert werden sollten.

Systeme anhand von Betriebsabläufen und Rollen beschreiben

Stellen Sie ein Verzeichnis der relevanten Anwendungen, APIs, Identitätsgrenzen, Umgebungen und Integrationen bereit. Ergänzen Sie die wichtigen Abläufe und Rollen: Kunde, Support, Genehmigende, Administrator und gegebenenfalls Workload-Identität. Erläutern Sie, welche Konten und synthetischen Objekte die Bank bereitstellen kann. Eine Anzahl von Endpunkten ohne diesen Kontext bietet eine schlechte Grundlage für die Schätzung der Abdeckung der Geschäftslogik.

Weisen Sie auf Komponenten von Drittanbietern, gemeinsam genutzte Umgebungen und noch ungeklärte Berechtigungen hin. Bitten Sie die Bieter anzugeben, wie sich jede Annahme auf die Abdeckung und Durchführung auswirkt. Halten Sie vertrauliche Architekturdetails im vereinbarten vertraulichen Beschaffungskanal und nicht in einem öffentlichen Anfrageformular.

Betriebliche Einschränkungen sichtbar machen

Geben Sie die genehmigten Umgebungen, Zeitfenster, Anfragelimits und untersagten Methoden an. Benennen Sie Dienste, bei denen selbst ein geringer Nebeneffekt eine gesonderte Entscheidung erfordert. Beschreiben Sie die Befugnis zum Abbruch, das Kommunikationsmodell und die Eskalationswege bei Vorfällen. Falls Tests in der Produktionsumgebung vorgesehen sind, verlangen Sie eine risikobasierte Begründung dafür, welche Nachweise dort erforderlich sind, sowie eine Beschreibung der Schutzmaßnahmen.

Für API-lastige Produkte hilft unser Leitfaden zur Umfangsbestimmung für Fintech-API-Penetrationstests, ein Funktionsinventar in prüfbare Vergleiche zwischen Akteur, Objekt und Vorgang zu überführen. Banken können diesen Ansatz nutzen und zugleich ihre eigenen Änderungsmanagement- und Lieferantenkontrollen anwenden.

Legen Sie fest, welche Angaben ein aussagekräftiger Befund enthalten soll

Bitten Sie um Angaben zur getesteten Ausgangslage, zur betroffenen Grenze, zur reproduzierbaren Beobachtung, zu den technischen Nachweisen, zur Begründung der Auswirkungen und zu den Einschränkungen. Verlangen Sie eine klare Unterscheidung zwischen nachgewiesenen Aktionen und plausiblen, aber nicht getesteten Folgen. Der Bericht sollte neben den Feststellungen auch blockierte und ausgeschlossene Bereiche dokumentieren. Vereinbaren Sie, wie dringende Beobachtungen vor der Übergabe des Abschlussdokuments kommuniziert werden.

Prüfen Sie einen beispielhaften Befund gemeinsam mit technischen Fachleuten und Risikoverantwortlichen. Es sollte nachvollziehbar sein, was fehlgeschlagen ist, welches Team es ändern kann und wie die Bank das Ergebnis überprüfen wird. Eine ansprechende Gestaltung sollte diese Überlegungen unterstützen, nicht ersetzen.

Wiederholungstests festlegen, bevor Sie Preise vergleichen

Den enthaltenen Zeitraum für Wiederholungstests, die Szenariogrenzen und die für den Abschluss erwarteten Nachweise ermitteln. Vereinbaren, was geschieht, wenn eine Behebung die Architektur verändert, neue Angriffswege entstehen oder die erforderliche Testrolle nicht mehr verfügbar ist. Klären, ob der Anbieter nur benannte Feststellungen oder auch vereinbarte angrenzende Fälle überprüft. So wird vermieden, dass eine eng kalkulierte Verifizierungsübung als implizite Wiederholung des gesamten Auftrags verstanden wird.

Legen Sie ein Abnahmekriterium für die Leistung selbst fest: Die Bank erhält verwertbare Nachweise, eine Dokumentation der Abdeckung, eine technische Übergabe und eine verständliche Erklärung zum Retest. Dass eine PDF-Datei fristgerecht eingeht, ist nur ein Teil dieses Ergebnisses.

Normalisieren Sie die Angebote vor der Auswahl

Erstellen Sie eine Vergleichstabelle zu Umfang, Annahmen, Zuständigkeiten bei der Durchführung, betrieblichen Schutzmaßnahmen, Nachweisen, Ausschlüssen und Abschluss. Bitten Sie die Anbieter, wesentliche Unklarheiten schriftlich auszuräumen. Ein niedrigerer Preis kann auf eine effiziente Durchführung zurückzuführen sein, aber auch darauf, dass Rollen, Integrationen oder Validierungsarbeiten fehlen, die ein anderes Angebot umfasst. Vergleichen Sie diese Unterschiede ausdrücklich, statt sich auf Tagessätze oder die Anzahl der Feststellungen zu verlassen.

Verwenden Sie die Checkliste zur Vorbereitung auf Bank-Penetrationstests, um die benötigten Angaben zusammenzustellen. Die endgültige Leistungsbeschreibung sollte für den Serviceverantwortlichen, das Testteam und die prüfende Stelle im Einkauf verständlich sein, ohne dass jemand fehlende Annahmen selbst ergänzen muss.