Ein Pentest ist so viel wert wie die Menschen, die ihn gemacht haben

Was bestätigt ist und was nur behauptet wird

Am 10. August gab MyDr bekannt, einen schwerwiegenden Sicherheitsvorfall zu untersuchen. Am selben Abend beschrieb Zaufana Trzecia Strona den Kontakt zu Personen, die sich als Täter ausgeben und behaupten, 18.814.422 eindeutige PESEL-Nummern zu besitzen, die polnische nationale Identifikationsnummer. Am 12. August bestätigte Vize-Ministerpräsident Krzysztof Gawkowski den Vorfall und sprach von fast 19 Millionen Personen sowie 12.000 medizinischen Einrichtungen. Am 13. August teilte die Bezirksstaatsanwaltschaft Warschau mit, dass sie ein Verfahren der CBZC beaufsichtigt, der polnischen Cybercrime-Behörde, und der Präsident von UODO, der polnischen Datenschutzaufsicht, kündigte eine Prüfung im Unternehmen an. Am 14. August begann das Zentrum für e-Gesundheit vorsorglich, die Zertifikate für die Kommunikation mit dem nationalen System P1 auszutauschen, mit dem Hinweis, dass nichts auf deren Kompromittierung hindeutet.

Das Unternehmen selbst erklärte, die betroffenen Daten seien höchstwahrscheinlich historisch, aus 2024 und früheren Jahren. Die Täter sprechen von 2,5 TB. Keine dieser Zahlen hat jemand von außen überprüft.

Ob MyDr Penetrationstests beauftragt hat, weiß ich nicht. Wer sie durchgeführt hat und was der Umfang abdeckte, weiß ich ebenfalls nicht, denn öffentlich hat es niemand genannt. Wer heute schreibt, das Unternehmen habe die Sicherheit offensichtlich vernachlässigt, rät. Meist rät er mit der Erleichterung, dass es diesmal jemand anderen trifft. Deshalb widme ich den Rest dieses Textes der Frage, die nach so einer Woche im eigenen Haus zu stellen ist.

Das einzige technische Detail, das wir haben, kommt von den Angreifern

Zaufana Trzecia Strona beschrieben sie ihren Einstiegsweg: eine XXE-Schwachstelle bei der Verarbeitung von PKCS#12-Zertifikaten, daraus die Ausführung von Code aus der Ferne, weiter ein GitHub-API-Schlüssel, der Quellcode des Dienstes, am Ende die Infrastruktur in AWS. Die Redaktion schreibt ausdrücklich, dass sie das nicht überprüfen konnte, und das Unternehmen hat dieses Szenario nicht bestätigt. In solchen Fällen können die endgültigen Feststellungen von der ersten Version abweichen, betrachten Sie es also als Übung und nicht als Tatsache.

Die Übung ist lehrreich, unabhängig davon, ob sie sich genau dort abgespielt hat.

Ein Schwachstellenscanner sieht an so einer Stelle eine Funktion, die eine Datei mit einem Zertifikat annimmt, und eine Antwort 200. Ein Mensch fragt, wovon dieser Container unterwegs zerlegt wird, ob im Pfad ein XML-Parser sitzt und ob jemand daran gedacht hat, externe Entitäten abzuschalten. Dann fragt er, was dieser Prozess in seinen Umgebungsvariablen hält. Dann prüft er, ob das gefundene Token das Repository tatsächlich öffnet, und wenn es öffnet, ob in der Commit-Historie weitere Geheimnisse liegen. Keiner dieser Schritte ergibt sich aus einer Checkliste. Jeder ist die Entscheidung eines Menschen, getroffen am dritten Testtag, wenn die einfachen Dinge schon geprüft sind.

Warum „hatten wir einen Pentest“ die falsche Frage ist

Ein Penetrationstest ist kein Produkt von der Stange, Sie kaufen konkrete Menschen für eine konkrete Anzahl von Tagen. Zwei Angebote können denselben Titel tragen, dieselbe Methodik im PDF und einen Preisunterschied von der Hälfte des Satzes, und darunter ein völlig anderes Vorhaben sein. Im einen gräbt jemand vier Tage lang in der Dateiverarbeitung und der elektronischen Signatur. Im anderen startet jemand einen Scanner, überträgt das Ergebnis in eine Vorlage und schickt den Bericht am Freitagnachmittag.

Kein Test gibt eine Garantie. Er prüft einen Teil der Umgebung in einer bestimmten Woche, und zwei Wochen später kommt ein Release, das noch niemand angesehen hat. Wo dieser Test hinschaut, entscheidet allerdings nicht der Zufall. Es entscheidet, wer ihn durchführt und wie viele Tage er dafür hat. Ein Pentester hört beim Anmeldeformular auf, weil dort seine Routine endet. Ein anderer öffnet den Zertifikatsimport und fängt an, sich zu fragen, wovon diese Datei unterwegs zerlegt wird.

Einen guten Teil unserer Projekte bekommen wir auf Anwendungen und Netzen, die jemand vorher schon getestet hat. Regelmäßig kommen dabei Dinge heraus, die im vorherigen Bericht nicht stehen. Manchmal sind es Kleinigkeiten, manchmal Feststellungen, die auf der ersten Seite der Zusammenfassung landen. Ich würde lieber schreiben, dass das die Ausnahme ist. Stattdessen höre ich in Abschlussgesprächen eine Frage häufiger als jede andere: warum haben die anderen das nicht gefunden?

Sechs Fragen, bevor Sie den nächsten Test beauftragen

• Wer führt den Test namentlich durch und was hat diese Person im letzten Jahr gemacht. Wenn als Antwort „ein Team erfahrener Experten“ kommt, fragen Sie weiter, denn Namen tauchen meist erst beim zweiten Anlauf auf.
• Wie viele Manntage umfasst das Angebot und wie teilen sie sich auf Aufklärung, manuelle Arbeit und Bericht auf. Die Summe allein sagt nichts, denn in dieselben zehn Tage passt ein solider Test oder eine Woche Dokumentenschreiben.
• Was bleibt außerhalb des Umfangs und wessen Entscheidung war das. Am häufigsten fallen Dateiverarbeitung, elektronische Signatur, Integrationen mit Dritten, Repositories und CI/CD heraus, meist ohne einen einzigen erklärenden Satz im Angebot.
• Wie viele Feststellungen in einem Beispielbericht stammen aus dem Scanner und wie viele aus manueller Arbeit. Bitten Sie um einen solchen Bericht vor der Vertragsunterschrift, denn danach haben Sie kein Verhandlungsmittel mehr.
• Ist ein Retest nach den Korrekturen im Preis enthalten und bis wann können Sie ihn nutzen.
• Wer liest den Bericht vor Ihnen. Ein zweiter Pentester findet technische Fehler, aber auch Feststellungen, die so beschrieben sind, dass sie später niemand behebt.

Die Geschäftsführung hat an dieser Stelle eine einfache Rechnung. Verantwortlicher für die Patientenakte bleibt die Praxis, also haftet sie gegenüber der Datenschutzaufsicht und bei ihr landen die Ansprüche aus Artikel 82 DSGVO, obwohl sie das System weder geschrieben noch betrieben hat. In diesem Fall sind es mehr als zehntausend solcher Einrichtungen, und heute warten sie alle darauf, dass der Anbieter feststellt, wessen Daten abgeflossen sind. Der Unterschied zwischen zwei Pentest-Angeboten liegt meist bei einigen zehntausend Zloty. Ein Verfahren nach einem Datenabfluss rechnet in einer anderen Größenordnung und zieht sich über Jahre.

Keine dieser sechs Fragen braucht ein Budget oder die Zustimmung der Geschäftsführung. Eine Mail an den Anbieter und eine Viertelstunde für die Antwort genügen. Schicken Sie sie an die Firma, die Sie heute testet, und zählen Sie dann, wie lange sie für die Antwort auf die erste Frage der Liste gebraucht hat. Ein Test ist so viel wert wie die Menschen, die ihn gemacht haben, eine Frage bleibt also zum Schluss: können Sie heute den Namen der Person nennen, die Ihre wichtigste Anwendung geprüft hat?