Pentests: Lücke zwischen Testzyklen und Bedrohungslage

Klassische, punktuelle Pentests kommen mit dem Tempo moderner IT-Umgebungen kaum noch mit.

Für die Untersuchung „The State of Continuous Security Validation“ hat Synack Führungskräfte und Sicherheitsexperten aus Unternehmen befragt. Das Ergebnis: 95 Prozent der Teilnehmer entdeckten im vergangenen Jahr schwerwiegende oder kritische Schwachstellen außerhalb der eigentlich vorgesehenen Testzeiträume. Bei 42 Prozent kam das sogar mindestens einmal im Monat vor. Die Studienautoren werten das als Beleg dafür, dass sich Unternehmensumgebungen inzwischen schneller verändern, als es punktuelle Tests abbilden können.

Konkret benennt die Studie drei zusammenhängende Problemfelder:

• Abdeckungslücke: 38 Prozent der Befragten geben an, dass mindestens ein Viertel ihrer kritischen Angriffsfläche in den vergangenen 90 Tagen gar nicht unabhängig getestet wurde.
• Vertrauenslücke bei KI: 79 Prozent würden auf Basis KI-generierter Ergebnisse ohne zusätzliche menschliche Validierung nicht handeln.
• Reifegradlücke: Nur 15 Prozent bezeichnen ihr eigenes Programm für Sicherheitstests und -validierung überhaupt als kontinuierlich.

Ein von Synack zitierter Sicherheitsverantwortlicher kommentiert es so: Man arbeite „mit einem ständigen blinden Fleck“, weil neue Code-Änderungen tage- oder wochenlang in Produktion liefen, bevor sie validiert würden.

KI soll suchen, Menschen sollen bestätigen

Auffällig ist laut Studie, dass die Skepsis nicht der KI als Werkzeug gilt, sondern autonomen Entscheidungen ohne menschliche Kontrolle. Die Befragten sehen für KI vor allem eine Rolle darin, Aufklärung (Reconnaissance) zu skalieren, potenzielle Schwachstellen zu identifizieren und die Testabdeckung zu vergrößern. Die Bewertung, ob eine Lücke tatsächlich ausnutzbar ist, wie schwerwiegend das Geschäftsrisiko ist und wie man das den Stakeholdern kommuniziert, bleibt dagegen menschliche Aufgabe, ebenso wie das Testen komplexer Abläufe und das Aussortieren von Fehlalarmen.

Angela Heindl-Schober, Chief Marketing Officer bei Synack, bringt die Marktrichtung auf den Punkt: „KI erweitert die Abdeckung, Menschen bestätigen die Ausnutzbarkeit, und die Sicherheitsvalidierung wird kontinuierlich.“ Das eigentliche Problem sei nicht mangelndes Bewusstsein, sondern schlicht die praktische Umsetzung.

Am häufigsten genannt wurde kontinuierliches Pentesting beziehungsweise fortlaufende Validierung (22 Prozent) als Methode, um die reale Ausnutzbarkeit einer Schwachstelle zu überprüfen. Trotzdem stufen nur 15 Prozent ihr Gesamtprogramm als kontinuierlich ein. Als größte Hürden auf dem Weg dorthin nennen die Befragten unter anderem Compliance-Vorgaben mit starren Testzyklen, komplexe Integration in bestehende Prozesse, mangelndes Vertrauen in automatisierte Ergebnisse, zu viele Fehlalarme, schwer nachweisbaren ROI und unklare Zuständigkeiten zwischen Teams.

Mark Kuhr, Mitgründer und CTO von Synack, fasst es so zusammen: Automatisierung liefere zwar mehr Signale, doch Teams bräuchten belastbare Erkenntnisse statt zusätzlichem Rauschen. Menschliche Forscher brächten die Kreativität und den Kontext mit, um Schwachstellen zu Angriffsketten zu verknüpfen und deren Ausnutzbarkeit zu bestätigen.

(red/Synack)