ISO 27001 Pentest:
Was euer Auditor sehen will – wir liefern es

ISO 27001 schreibt keinen Penetrationstest explizit vor. Aber: Die Norm fordert den Nachweis, dass Schwachstellen systematisch identifiziert und behoben werden (A.8.8) und dass Zugriffskontrollen wirksam sind (A.5.15). Ein Penetrationstest ist das direkteste und überzeugendste Instrument für diese Nachweise. In der Praxis fordern nahezu alle erfahrenen Auditoren einen aktuellen Pentest-Bericht – spätestens im Stage-2-Audit.

Das hängt vom Auditor und der Zertifizierungsstelle ab – es gibt keine universelle Regel. In der Praxis gilt: Die meisten Auditoren akzeptieren Berichte, die nicht älter als 12 Monate sind. Bei wesentlichen Änderungen an der IT-Infrastruktur seit dem letzten Test wird ein neuer Bericht erwartet – unabhängig vom Alter. Wir empfehlen, den Pentest mindestens sechs Wochen vor dem geplanten Audit-Termin durchzuführen, damit ausreichend Zeit für Nachbesserungen bleibt.

Der Pentest-Scope muss zum ISMS-Scope passen. Es nützt nichts, ein beliebiges System zu testen, wenn euer Auditor die Kerninfrastruktur eures ISMS im Blick hat. Wir analysieren gemeinsam euren ISMS-Scope und definieren einen Pentest-Scope, der genau das abdeckt – und der eurem Auditor keine Fragen offen lässt.

Technisch ja – aber wir raten davon ab. Idealerweise führt ihr den Pentest mindestens sechs Wochen vor dem Audit durch. So habt ihr Zeit, kritische Findings zu beheben und das im Bericht zu dokumentieren. Ein Bericht mit offenen kritischen Findings ist im Audit eine Belastung. Ein Bericht mit behobenen Findings und Re-Test-Nachweis ist ein starkes Argument.

Das ist genau der Sinn des Pentests – und kein Grund zur Panik. Findings vor dem Audit zu kennen ist besser als sie nicht zu kennen. Wir kommunizieren kritische Findings sofort nach Entdeckung, damit ihr handeln könnt. Nach der Behebung führen wir auf Wunsch einen Re-Test durch und dokumentieren die erfolgreiche Behebung im Bericht. Das zeigt eurem Auditor einen funktionierenden Verbesserungszyklus – genau das, was ISO 27001 fordert.

Technisch sind die Methoden identisch. Der Unterschied liegt im Reporting und in der Vorbereitung. Unser ISO-27001-Pentest beginnt mit einer Analyse eures ISMS-Scopes, ordnet den Pentest-Scope den relevanten Annex-A-Kontrollen zu und liefert einen Bericht, der explizit auf die Nachweisanforderungen der Norm ausgerichtet ist. Ein Standard-Pentest-Bericht ohne dieses Mapping erzeugt beim Audit unnötigen Mehraufwand.