Erkennung und Prüfung

Eine Maßnahme, die unbemerkt versagt, haben Sie nicht.

Block 1 schließt die Kontrollen: Zugriff, Patches, Segmentierung. Jede davon kann ausfallen, ohne es zu melden. Eine Regel entfällt im Change-Fenster. Ein Patch-Zyklus verschiebt sich. Ein Segment wird für einen Lieferanten geöffnet und nie wieder geschlossen. Auf dem Papier bestehen die Maßnahmen weiter, und niemand im Haus kann sagen, ob sie noch greifen.

Diese Lücke schließt Block 2. Die Erkennung sagt Ihnen, wann eine Kontrolle versagt hat. Die Prüfung sagt Ihnen, ob sie hält, bevor es darauf ankommt.

Was die einzelnen Ebenen erfassen

Netzwerk-Anomalieerkennung (NDR). Der Verkehr innerhalb des Perimeters, beobachtet auf die Bewegung, die eine ausgefallene Kontrolle zulässt: die Verbindung zwischen zwei Segmenten, die einander nicht erreichen dürften, das Konto, das dorthin greift, wo es nie zuvor war. Betrieb und Abstimmung während der Geschäftszeiten.

24/7-Überwachung (SOC/MDR). Ein Alarm außerhalb der Geschäftszeiten muss gelesen und bearbeitet werden, nicht bloß protokolliert. Das ist die durchgehende Abdeckung für diese Zeiten.

Automatisiertes Penetrationstesting. Laufende Prüfung gegen den eigenen Perimeter, damit eine Schwachstelle an dem Tag auffällt, an dem sie entsteht, und nicht bei der nächsten turnusmäßigen Prüfung. Funde werden manuell nachverifiziert, bevor sie Sie erreichen.

Manuelles Penetrationstesting und DORA-TLPT. Drei kleine Schwächen, zu einem funktionierenden Weg verkettet — der Befund, den keine Automatik reproduziert, weil er davon abhängt zu wissen, was als Nächstes zu versuchen ist.

Wo die Technik endet

Die ersten drei Ebenen laufen über Werkzeuge, und Werkzeuge bewältigen Masse: Verkehr ohne Unterbrechung, Abdeckung über Nacht. Urteilsvermögen bewältigen sie nicht.

Die vierte Ebene ist deshalb ein Mensch, und dieser Mensch muss akkreditiert sein — OSCP, CREST, TIBER — nicht bloß verfügbar. Für bedeutende Finanzunternehmen nach DORA liegt diese Entscheidung ohnehin nicht bei uns.

Was das Gesetz verlangt

§30 Abs. 2 Nr. 2 BSIG verlangt die Bewältigung von Sicherheitsvorfällen. Bewältigung setzt Bemerken voraus: Ein Vorfall, den Sie nie gesehen haben, ist kein bewältigter Vorfall.

§30 Abs. 2 Nr. 6 verlangt den Nachweis, dass die Maßnahmen aus Block 1 wirken. Der Kauf eines Werkzeugs erfüllt diese Pflicht nicht; verlangt ist ein Prüfergebnis.

Für Finanzunternehmen geht DORA Art. 26–27 weiter. Bedrohungsgeleitete Penetrationstests durch externe, akkreditierte Prüfer sind gesetzliche Pflicht, keine Beschaffungsoption.