Der wertvollste Teil eines Security Assessments ist nicht der Bericht. Das klingt seltsam aus dem Mund einer Firma, die Security Assessments verkauft. Aber wer die Frage «Was bringt ein Security Assessment?» ehrlich beantworten will, muss beim unbequemen Teil anfangen: Die meisten Assessment-Berichte werden genau einmal gelesen, nämlich bei der Übergabe. Danach liegen sie in einem Ordner, den niemand mehr öffnet.
Warum die meisten Berichte in der Ablage landen
Ein Bild, das uns in Gesprächen mit KMU immer wieder begegnet: Auf die Frage «Habt ihr eure Sicherheit schon einmal prüfen lassen?» kommt ein Ja, und dann holt jemand ein Dokument von vor zwei oder drei Jahren hervor. Sauber gegliedert, Logo auf jeder Seite, hinten ein Massnahmenkatalog. Auf die Anschlussfrage, welche der Massnahmen umgesetzt wurden, wird es still. Meistens waren es ein, zwei Punkte, die die IT ohnehin geplant hatte. Der Rest steht noch genau da, wo er damals stand: im Bericht.
Dabei läuft der Ablauf fast immer gleich. Ein Dienstleister prüft zwei Wochen lang Systeme, Prozesse und Konfigurationen. Dann kommt ein Dokument mit sechzig oder achtzig Findings, sortiert nach Ampelfarben. Die Übergabepräsentation dauert eine Stunde, alle nicken, der Termin endet mit «das schauen wir uns an».
Und dann passiert das, was in vollen Kalendern mit solchen Listen passiert. Die IT kennt die Hälfte der Punkte längst. Für die andere Hälfte fehlt Budget, Zeit oder schlicht ein Entscheid, wer sich kümmert. Nach einem halben Jahr ist das Dokument technisch überholt, weil sich die Umgebung weitergedreht hat. Das Assessment war formal erfolgreich. Verändert hat es nichts.
Der Fehler liegt dabei nicht bei den Leuten, die den Bericht bekommen. Er liegt im Produkt. Ein Stapel Findings ist Information, keine Entscheidungsgrundlage. Und die Information hattest du in weiten Teilen schon vorher: Dass die Backups nie unter Ernstfallbedingungen getestet wurden und mehr Leute Admin-Rechte haben als nötig, ahnt fast jede IT-Abteilung selbst. Was fehlt, ist eine Reihenfolge, ein Besitzer pro Punkt und ein Entscheid, was bewusst liegen bleibt.
Genau daran solltest du den Nutzen messen, nicht an der Seitenzahl.
Drei Dinge, die ein Assessment liefern muss
Aus unserer Sicht liefert ein brauchbares Assessment drei Dinge, und alle drei sind Entscheidungswerkzeuge.
Eine kurze Liste mit Begründung
Ein brauchbares Assessment verdichtet die achtzig möglichen Findings auf die fünf bis zehn Punkte, die den Unterschied machen, priorisiert nach dem, was dein Geschäft gefährdet, nicht nach dem, was der Scanner am lautesten meldet. Ein technisch kritischer Befund auf einem isolierten Altsystem ohne Zugriff von aussen ist weniger dringend als ein mittlerer Befund auf dem System, an dem deine Auftragsabwicklung hängt.
Diese Übersetzung von technisch nach geschäftlich ist die eigentliche Arbeit. Sie ist auch der Kern des Unterschieds zwischen einem Security Assessment und einem Penetration Test: Der Pentest zeigt dir, wo jemand reinkommt. Das Assessment sagt dir, was das für dein Geschäft bedeutet und was zuerst dran ist. Beides hat seinen Platz, aber nur eines davon beantwortet die Frage, wo dein nächster Franken hin soll.
Eine Streichliste
Der Punkt, der viele überrascht: Ein gutes Assessment findet neben den Lücken auch den Überfluss. Zwei Tools, die denselben Job machen und von denen keines fertig konfiguriert ist. Lizenzen, die seit dem letzten Projektende niemand mehr nutzt. Massnahmen, die einen Auditor beruhigen und sonst niemanden schützen.
In unserer Erfahrung finanziert das, was du streichen kannst, oft einen ordentlichen Teil dessen, was du nachrüsten musst. Deshalb gehört die Frage «Was können wir weglassen?» in jedes Assessment, nicht nur die Frage «Was fehlt uns?». Wie du bestehende Sicherheitstools konsolidierst, ohne Abdeckung zu verlieren, haben wir separat beschrieben.
Ein einfacher Test: Wenn am Ende eines Assessments nur eine Einkaufsliste steht, hat der Anbieter entweder nicht genau hingeschaut, oder er verdient an der Einkaufsliste mit.
Sprache für das Budgetgespräch
Der IT-Leiter oder CIO, der in einem KMU den Security-Hut trägt, weiss meistens recht genau, was zu tun wäre. Was ihm fehlt, ist ein Dokument, mit dem er es durchbringt: Hier stehen wir. Das sind die drei grössten Risiken, in Geschäftssprache. Das kostet die Behebung, und das steht auf dem Spiel, wenn wir es lassen.
Ein gutes Management-Summary ist darum keine Höflichkeitsseite am Anfang des PDFs. Es ist das Werkzeug, mit dem aus einem Finding ein Budgetentscheid wird. Wenn die Geschäftsleitung nach der Präsentation eine Prioritätenliste beschliesst statt «das schauen wir uns an» zu sagen, hat das Assessment seinen Job gemacht. Was so eine Übung überhaupt kosten darf, haben wir übrigens hier offen aufgeschrieben.
Die 90 Tage danach
Ob ein Security Assessment etwas gebracht hat, siehst du nicht am Tag der Übergabe. Du siehst es ungefähr ein Quartal später, an drei Fragen. Über diesen Teil redet kaum ein Anbieter, weil er nach der Schlussrechnung liegt.
Steht neben jedem der Top-Punkte ein Name? Nicht «die IT», sondern eine Person, die den Punkt besitzt und einen Termin dafür hat. Das klingt banal, ist aber der zuverlässigste Frühindikator: Ein Punkt ohne Besitzer bewegt sich nicht, egal wie rot er im Bericht markiert war.
Sind die ersten Massnahmen umgesetzt? Nicht alle, das ist unrealistisch. Aber die zwei, drei, die ihr als dringend beschlossen habt.
Und sind die Risiken, die ihr bewusst nicht behebt, als Entscheid festgehalten? Das ist der am meisten unterschätzte Punkt. Ein akzeptiertes Risiko mit Begründung im Protokoll ist ein legitimes Ergebnis. Vielleicht ist die Behebung teurer als der mögliche Schaden, vielleicht löst eine geplante Migration das Problem ohnehin. Ein Finding dagegen, das liegen bleibt, weil nie jemand entschieden hat, ist kein akzeptiertes Risiko. Es ist ein unbeantworteter Brief.
Wenn du diese drei Fragen nach einem Quartal mit Ja beantworten kannst, war das Assessment sein Geld wert, ziemlich unabhängig davon, wie dick der Bericht war. Wir haben aus diesem Grund die Umsetzungsbegleitung für die kritischsten Massnahmen und einen Nachkontroll-Termin nach 90 Tagen fest in unser Security Assessment eingebaut. Der Grund ist nüchtern: Ohne diesen Teil produziert ein Assessment genau das, was wir oben beschrieben haben, nämlich ein PDF.
Was ein Assessment nicht bringt
Zur ehrlichen Antwort gehört auch die andere Seite, denn an dieser Stelle verkaufen manche Anbieter Erwartungen, die kein Assessment erfüllen kann.
Ein Assessment bringt dir keine Garantie. Es ist eine Momentaufnahme mit begründeter Einschätzung, keine Versicherung gegen den nächsten Vorfall. Wer dir nach zwei Wochen Prüfung verspricht, dass danach nichts mehr passieren kann, verkauft dir ein Gefühl, kein Ergebnis.
Es bringt dir auch keine Zahl, auf die du dich verlassen kannst. Ein Reifegrad von 2.7 oder ein Score von 68 von 100 sieht präzise aus, beantwortet aber die Frage «Sind wir sicher?» nicht. Warum es diese eine Zahl nicht gibt, haben wir in einem eigenen Beitrag auseinandergenommen. Nützlich ist eine Bewertung als Vergleichspunkt gegen das nächste Jahr, nicht als Zeugnis.
Und es ersetzt keinen Betrieb. Ein Assessment stellt fest, dass niemand die Alarme anschaut oder die Patches liegen bleiben. Anschauen und patchen muss danach trotzdem jemand, jede Woche, nicht einmalig. Die Prüfung zeigt dir die Lücke im Betrieb; sie füllt sie nicht.
Wer dir ein Assessment als Endpunkt verkauft, verkauft dir also zu viel. Es ist ein Startpunkt mit Richtungsangabe. Das ist weniger glamourös, aber es ist das, was du kaufen kannst.
Vier Prüffragen, bevor du unterschreibst
Ob du Papier kaufst oder Entscheidungen, erkennst du schon vor dem Auftrag. Vier Fragen an den Anbieter reichen.
- Zeig mir einen anonymisierten Beispielbericht. Zählt er Findings auf, oder begründet er eine Reihenfolge? Zehn priorisierte Punkte mit Begründung schlagen achtzig Ampelfarben.
- Wonach priorisiert ihr? Wenn die Antwort «nach CVSS-Score» lautet, priorisiert der Scanner, nicht dein Geschäft. Die richtige Antwort enthält Wörter wie Geschäftsprozess, Exposure und Schadenspotenzial.
- Was passiert nach der Übergabe? Übergabetermin und Schlussrechnung? Oder Besitzer, Umsetzung und Nachkontrolle? Hier trennt sich Papier von Wirkung.
- Findet ihr auch, was wir streichen können? Wenn im Ergebnis nur Neues stehen kann, fehlt die halbe Analyse. Gerade im KMU ist die Streichliste oft der schnellste Gewinn.
Ein Anbieter, der auf diese vier Fragen klare Antworten hat, wird dir vermutlich etwas Brauchbares liefern. Einer, der ausweicht, liefert dir ein Dokument. Die zehn Minuten für dieses Gespräch sind die beste Investition der ganzen Übung.
Die Frage vor der Unterschrift
Ein Security Assessment bringt dir genau so viel, wie es Entscheidungen auslöst. Eine begründete Reihenfolge statt einer Findings-Halde, eine Streichliste statt einer Einkaufsliste, ein Budgetentscheid statt eines weiteren Ordners. Alles davon ist unspektakulär, und alles davon verändert mehr als das eindrücklichste PDF.
Wenn du gerade ein Assessment evaluierst oder eines im Ordner hast, das nie zu Entscheidungen geführt hat, und wissen willst, wie das bei euch aussehen könnte: Ein Erstgespräch kostet nichts und verpflichtet zu nichts.
Und falls bei euch schon einmal ein Assessment gemacht wurde, aus Neugier: Was ist eigentlich aus dem Bericht geworden?
