ISO 27001 Pentest Berlin

Gefragt wird meist nach einer von drei Stufen. Verwaltung, landeseigene Betriebe und Forschungseinrichtungen in Berlin verlangen überwiegend das Zertifikat einer akkreditierten Stelle samt Geltungsbereich, damit erkennbar ist, ob der angebotene Dienst überhaupt darin liegt. Konzerne und Banken als Auftraggeber akzeptieren häufig einen aktuellen Penetrationstest-Bericht mit dokumentierter Behebung, auch ohne Zertifikat. Start-ups und Scale-ups werden in Lieferanten-Audits oft nur um eine Selbstauskunft mit Belegen gebeten. Wir liefern den technischen Nachweis dafür auf Deutsch und Englisch, getestet remote oder vor Ort in Berlin. Ob die Norm einen Penetrationstest fordert, erklären wir auf unserer Seite zu den ISO-27001-Pentest-Anforderungen.

Die relevantesten Controls: A 8.8 (Management technischer Schwachstellen), A 8.25 (Sicherer Entwicklungslebenszyklus), A 8.29 (Sicherheitstests in Entwicklung und Abnahme), A 5.37 (Dokumentierte Betriebsabläufe) sowie A 5.30 (IKT-Bereitschaft für Business Continuity). Ein Pentest liefert direkte Evidenz für A 8.8 und A 8.29.

ISO 27001 schreibt keine feste Häufigkeit vor, empfiehlt aber regelmäßige Überprüfungen entsprechend dem Risikoniveau. Gängige Praxis: Initialer Pentest vor der Zertifizierung, danach jährlich oder bei wesentlichen Infrastrukturänderungen. Viele Zertifizierungsauditoren akzeptieren einen Pentest-Bericht, der nicht älter als 12 Monate ist.

ISO 27001 ist eine freiwillige Norm für ein Informationssicherheits-Managementsystem (ISMS). NIS2 hingegen ist eine EU-Richtlinie mit gesetzlichen Pflichten. Beide erfordern technische Sicherheitsmaßnahmen. Ein Pentest-Bericht kann für beide Zwecke als Nachweis dienen - idealerweise nach Absprache mit dem Auditor.

Drei Punkte fallen in Berlin regelmäßig auf. Erstens sitzen viele Unternehmen hier in Coworking- oder Mietflächen: Der Geltungsbereich muss dann sauber von der fremden Netzinfrastruktur abgegrenzt werden. Zweitens liegt der produktive Teil meist vollständig in der Cloud, weshalb der Test Identitäten, Berechtigungen und Schnittstellen statt klassischer Serverräume prüfen muss. Drittens verlangen Auftraggeber aus Verwaltung und Wissenschaft Nachweise auf Deutsch. Unser Team sitzt in Berlin, testet remote oder vor Ort und liefert den Bericht auf Deutsch und Englisch.

Decken Sie die Systeme ab, die im Anwendungsbereich Ihres ISMS liegen und ein erhöhtes Risiko tragen: von außen erreichbare Anwendungen und Schnittstellen, die zentrale Netzwerk- und Identitätsinfrastruktur, produktive Cloud-Umgebungen sowie Systeme mit personenbezogenen oder geschäftskritischen Daten. Stimmen Sie den Scope vorab mit Ihrem Auditor ab, damit der Bericht später ohne Nachfragen als Evidenz akzeptiert wird.

Der Bericht braucht einen klar dokumentierten Scope, Testzeitraum und Methodik, nachvollziehbare Findings mit CVSS-Bewertung und Reproduktionsschritten, priorisierte Maßnahmenempfehlungen sowie einen Nachweis über die Behebung. Genau dafür ist der Retest nach der Remediation da: Er belegt die Wirksamkeit der Korrekturen. Unsere Berichte liefern wir auf Deutsch und Englisch, der Retest nach Behebung ist kostenlos.

ISO 27001 zertifiziert Organisationen und deren Managementsystem, nicht einzelne Personen. Für Tester sind praktische Offensive-Security-Zertifikate aussagekräftig: Unser Team arbeitet mit OSCP, OSWE und CEH und hat über 500 Penetrationstests durchgeführt. Für Ihr Audit zählt ohnehin der Bericht als Evidenz, ergänzt um die nachgewiesene Qualifikation der ausführenden Tester.