Penetrationstests und ASV-Scans richtig auswerten

Bei einem Penetrationstest, kurz Pentest, versucht man, Sicherheitslücken eines Webprojektes offen zu legen. Dazu werden alle Bestandteile des Projektes, etwa der Webserver, die Server-Software oder auch die Webseite, künstlich verschiedenen Angriffsszenarien ausgesetzt. Das geschieht mit dem Ziel, Schwachpunkte frühzeitig zu erkennen und Sicherheitslücken zu schließen. 

Grundsätzlich gilt: Die unautorisierte Durchführung eines Penetrationstests erfüllt unter Umständen die Straftatbestände des unbefugten Ausspähens und Abfangens von Daten (nach §§202a und 202b StGB) und ist somit grundsätzlich – also, sofern nicht ausdrücklich erlaubt – strafbar. 

Dieser Umstand lässt sich durch eine vertragliche Vereinbarung (Permission to Attack, kurz PTA) zwischen der zu testenden und der den Test durchführenden Organisation umgehen. 

Ein ASV Scan ist ein externer Schwachstellenscan, der von einem PCI SSC zugelassenen Unternehmen durchgeführt wird. Ein solcher Scan ist bei der Verarbeitung von Kreditkartendaten ein wichtiger Bestandteil der PCI DSS-Konformität und wird von Zahlungsdienstleistern gefordert. mittwald ist nicht PCI DSS-konform da sich dieser Standard an Unternehmen richtet, die Kreditkartendaten verarbeiten oder speichern. mittwald verarbeitet oder speichert keine Zahlungsdaten, sondern stellt ausschließlich die technische Plattform bereit, auf der du deine Anwendungen betreibst. 

Sowohl ein Pentest als auch ein ASV-Scan ist eine Sicherheitsprüfung deines Webprojektes. Sie unterscheiden sich in Umfang und Durchführung. Der Pentest ist eine umfassende, manuelle Sicherheitsüberprüfung, die darauf abzielt, Schwachstellen zu identifizieren und zu exploitieren. Ein ASV-Scan ist ein automatisierter Schwachstellenscan, der eine Liste bekannter Schwachstellen identifiziert, um die Einhaltung von PCI DSS zu gewährleisten. 

Das Reporting beider Tests ist oftmals sehr ausführlich. Häufig werden vom Anbieter extrem viele Daten ausgeliefert, die konzentriert und priorisiert abgearbeitet werden müssen. Meist stellt sich heraus, dass den vielen Angaben weitaus weniger Maßnahmen folgen müssen. Starte am besten mit den Problemen, die als “High” klassifiziert wurden. Als “Medium” oder “Low” eingestufte Issues sind selten dringlich und können im nächsten Entwicklungszyklus betrachtet werden, wenn du sowieso am Code arbeitest. Auch gibt es gelegentlich False Positives in den Reports, welche du anfechten kannst.

Typische Probleme, die ein Pentest und ein ASV-Scan offenlegen:

• Fehlende Transportverschlüsselung (SSL, bzw. TLS): Der Klassiker unter den Sicherheitsanforderungen. Das SSL-Zertifikat lässt sich ohne großen Aufwand implementieren. Hostest du deine Projekte bei mittwald, stehen dir sowohl kostenlose als auch kostenpflichtige Zertifikate für unterschiedliche Anwendungsbereiche zur Verfügung. Im mStudio bekommt jede Domain sogar automatisch ein SSL-Zertifikat ausgestellt.
• Weak cipher: Schwache TLS-Chiffren sind ein Sicherheitsrisiko. Deshalb wird bei mittwald standardmäßig TLS nur noch ab Version 1.2 aufwärts angewendet. Die standardmäßig aktiven TLS-Chiffren werden von uns zudem regelmäßig an den aktuellen Stand der Technik angepasst. Infos, wie du deine Verschlüsselungsprotokolle anpasst, findest du in unserem FAQ-Artikel.
• Offene Ports: Bestimmte Netzwerkports werden häufig als Sicherheitsrisiko ausgezeichnet. Während manche Ports wie 80 und 443 für den Betrieb einer Webseite oder eines Onlineshops zwingend erforderlich sind, kommt es bei anderen Ports auf den jeweiligen Anwendungsfall (und die ergriffenen Sicherheitsmaßnahmen) an. Eine Auflistung oft monierter Ports findest du unten.
• Fehlende Security-Header: Dieses Finding bezieht sich in der Regel auf übliche HTTP-Security-Header, wie z. B. für die HTTP Strict Transport Security oder Content Security Policies. Diese Header müssen i.d.R. anwendungsspezifisch konfiguriert werden. Sie können beispielsweise direkt in PHP über die Header-Funktion gesetzt werden oder über Konfigurationsmöglichkeiten, die die jeweilige Anwendungssoftware anbietet (TYPO3 hat z. B. seit Version 12 native Unterstützung für Content Security Policies und kann über die additionalHeaders-Einstellung beliebige zusätzliche HTTP-Header ausliefern. Shopware liefert ebenfalls bereits ab Werk sinnvoll vorkonfigurierte Content Security Policies aus).
• Veraltete Software: Nur wer seinen Softwarestack auf dem aktuellen Stand hält, schützt ihn. Für bestimmte Softwarekomponenten (z. B. den Datenbank-, Web- und SSH-Server sowie andere Infrastruktur-Komponenten) übernimmt mittwald als Hoster diese Updates automatisch. Andere sollte man als Website- oder Shopbetreiber selbst auf dem Schirm haben (und wenn es nur über die Auto-Update-Funktion im Kundencenter bzw. eine eigene Automatisierung für das mStudio ist). Wichtig: Dieser Grundsatz umfasst nicht nur die Anwendungssoftware selbst, sondern auch Plugins und Extensions, die innerhalb deines CMS oder Onlineshops installiert werden. Auch diese müssen regelmäßig auf aktuellem Stand gehalten werden.
• “Subject Common Name Does Not Match Server FQDN”: Das ist ein Fehler, der häufig darauf zurückzuführen ist, dass der Pentest mit einem falschen HTTP-Hostnamen ausgeführt wurde. Da auf jedem mittwald Server mehrere TLS-Zertifikate hinterlegt sind (selbst dedizierte Server liefern zusätzlich zu der Website- oder Shop-Domain immer noch mind. ein Standard-Zertifikat aus), muss der Tester darauf achten, den Test nicht einfach nur gegen die Server-IP auszuführen, sondern per TLS Server Name Indication (SNI) auch den korrekten Hostnamen (also die tatsächliche Domain des zu testenden Projekts) angeben.
• “Possible Scan Interference”: Hierbei wird in einem Testergebnis moniert, dass ein Intrusion Prevention System (IPS) die Ausführung des Penetrationstests behindert hat. In der Regel ist genau das gewollt – denn dafür sind IPS-Systeme da. Manche Test-Agenturen bestehen jedoch darauf, IPS-Systeme für einen Pentest zu deaktivieren. Bitte melde dich in solchen Fällen beim mittwald Kundenservice, um eine gemeinsame Lösung zu finden.

FTP dient zur Dateiübertragung auf den Server und wird allgemein als unsicher erachtet, da die Übertragung unverschlüsselt erfolgt.

Ein SSH-Zugriff ist für den Fernzugriff auf einen Server (z. B. für Administrations- und Wartungszwecke, aber auch für das Deployment deiner Software) zwingend erforderlich. 

Ein offener SSH-Port wird in Testberichten zuweilen moniert, lässt sich meist aber gegenüber dem Tester begründen. In solchen Fällen solltest du angeben, dass der SSH-Zugriff für Fernwartungszwecke zwingend benötigt wird. Idealerweise kannst du Angaben zu deinen (eigenen) Sicherheitsrichtlinien machen, was den Umgang mit SSH-Passwörtern angeht. Verwende am besten ausschließlich SSH-Schlüssel. 

Dieser Port dient für (unverschlüsseltes) HTTP. Vor allem in E-Commerce-Projekten sollte er nur noch dazu dienen, eine Weiterleitung auf die HTTPS-Version der Seite (Port 443) auszuliefern. Ist dies nicht der Fall (bzw. findet diese Weiterleitung nicht statt), wird das gerne in Testberichten moniert. Ist beispielsweise sogar ein Login-Formular über unverschlüsseltes HTTP abrufbar, kann es schnell zu einem größeren Problem werden, das das Bestehen eines Pentests verhindert. 

Dient dem verschlüsselten Zugriff auf deine Webseite bzw. deinen Onlineshop. Dieser Netzwerkport dürfte in keinem Testbericht angekreidet werden. 

Dieser Port dient dem direkten Zugriff auf die MySQL-Datenbank eines Projekts. Dies wird häufig als Sicherheitsrisiko betrachtet, kann aber im Einzelfall ggf. gerechtfertigt werden – vor allem, wenn bestimmte Sicherheitsmaßnahmen ergriffen werden.

Der Pentest sowie alle anschließenden Maßnahmen dienen der Sicherheit deiner Projekte. Ein weiterer wichtiger Security-Baustein für deine Projekte ist das Hosting. Hier spielen viele Facetten eine Rolle – vom Monitoring über die Anomalieerkennung bis hin zur Gebäudesicherheit. All das bekommst du bei mittwald ab dem kleinsten Tarif. Zudem liegen deine Daten in einem Rechenzentrum in Deutschland, das mit der ISO 27001 zertifiziert ist.