Checkliste zur Vorbereitung auf Bank-Penetrationstests: vor Testbeginn

Vermeidbare Verzögerungen vor dem Test beseitigen

Bevor Banking-Apps, Zahlungs-APIs und privilegierte Zugriffe getestet werden, bestätigen Sie die namentlich benannten Verantwortlichen, zulässigen Umgebungen, repräsentativen Zugänge und Kontaktpersonen für einen Teststopp. Fehlende Zugänge oder unklare Berechtigungen können den aussagekräftigen Testumfang einschränken. Gehen Sie die Checkliste gemeinsam mit den technischen und betrieblichen Verantwortlichen durch, bevor Sie den Starttermin vereinbaren.

Die Auswahl bleibt auf dieser Seite und wird weder gespeichert noch übermittelt. Dies ist eine Vorbereitungshilfe, keine Compliance-Bewertung.

Ziel festlegen

Stellen Sie fest, welche Änderungen ein kompromittierter Kanal oder eine kompromittierte Dienstidentität tatsächlich vornehmen kann, wo unabhängige Kontrollen dies verhindern und welche Korrekturen Vorrang haben sollten.
Benennen Sie die Serviceverantwortlichen und die Entscheidung, die der Test unterstützen soll.
Wählen Sie die Anwendungen, Netzwerke, Identitäten und Integrationen aus, die zum Prüfungsumfang gehören.

Berechtigung festlegen

Holen Sie für jede eigene Umgebung eine schriftliche Autorisierung ein.
Grenzen zwischen Lieferanten und gemeinsam genutzten Plattformen bestätigen.
Verbotene Methoden und Systeme außerhalb des Geltungsbereichs dokumentieren.

Bereiten Sie den Betriebsplan vor

Verwenden Sie vorbereitete Zahlungen und synthetische Kunden bei deaktivierter Abwicklung. Vereinbaren Sie eine unabhängige Befugnis zum Stoppen, den Transaktionsabgleich, namentlich benannte Systemverantwortliche und Berechtigungen für Drittanbieter-Dienste. Trennen Sie nachgewiesene Änderungen an Entwürfen von nicht ausgeführten Geldtransfers.
Eine primäre und eine stellvertretende Person mit Befugnis zum Anhalten benennen.
Kommunikationswege, Zeitfenster, Anfragelimits und Eskalation bei Vorfällen vereinbaren.

Bereiten Sie repräsentative Zugänge vor

Erstellen Sie synthetische Datensätze und dedizierte Testrollen.
Dokumentieren Sie die erwarteten Entscheidungen zum mandantenübergreifenden und privilegierten Zugriff.
Richten Sie einen vertraulichen Kanal für technische Informationen ein.

Lieferung und Abschluss planen

Anforderungen an Umfang, Nachweise, Berichterstattung und Aufbewahrung vereinbaren.
Weisen Sie Verantwortliche für Behebungsmaßnahmen zu und nehmen Sie Retest-Kriterien auf.
Eingebrachte Konten, Sitzungen und Canary-Objekte abgleichen.