Zehn typische Fehler bei der Beauftragung von Cybersecurity Dienstleistern

Die meisten Probleme mit IT-Sicherheitsdienstleistern entstehen nicht durch schlechte Technik, sondern durch unklare Aufträge, falsche Erwartungen und fehlende Nacharbeit. Wer die zehn folgenden Fehler kennt, kann sie mit wenig Aufwand vermeiden. Zu jedem Fehler finden Sie, woran Sie ihn erkennen und was Sie stattdessen tun.

Fehler 1: Kein klares Ziel

Symptom: „Wir wollen mal einen Pentest machen.“ Ohne Ziel gibt es keinen passenden Umfang und keinen Maßstab für Erfolg. Besser: Ziel in zwei Sätzen festhalten, etwa Nachweis für Kunden, Prüfung vor Livegang oder Bestandsaufnahme der Angriffsfläche. Das Ziel bestimmt Art, Tiefe und Berichtsform der Prüfung.

Fehler 2: Umfang unscharf beschrieben

Symptom: Der Dienstleister testet etwas anderes als gedacht, oder Nachforderungen treiben den Preis. Besser: Systeme, Rollen, Ausschlüsse und Zeiträume schriftlich festlegen. Wie das geht, steht im Beitrag Pentest beauftragen: Ablauf und Freigaben.

Fehler 3: Pentest mit Zertifikat verwechseln

Symptom: Der Bericht wird als Beweis der Sicherheit behandelt. Wahrheit: Ein Pentest ist eine Momentaufnahme im vereinbarten Umfang. Er findet Schwachstellen, beweist aber nicht deren Abwesenheit. Nach Änderungen an der Anwendung verliert er an Aussagekraft. Besser: Als Teil eines Programms verstehen, ergänzt durch Scans, Updates und Überwachung.

Fehler 4: Nur nach dem Preis entscheiden

Symptom: Das günstigste Angebot gewinnt. Oft steckt dahinter ein automatischer Scan unter dem Namen Pentest oder zu wenig Aufwand für den Umfang. Besser: Angebote nach festen Kriterien bewerten, den kalkulierten Aufwand in Personentagen vergleichen und Berichtsmuster anfordern. Siehe Cybersecurity Dienstleister auswählen.

Fehler 5: Verträge und Datenschutz vergessen

Symptom: Der Dienstleister arbeitet bereits, aber ein Auftragsverarbeitungsvertrag fehlt oder Geheimhaltung ist nicht geregelt. Folge: Datenschutzrechtliche Risiken und unklare Haftung. Besser: Vor Beginn Vertrag, AVV und Geheimhaltung abschließen, wie in Verträge mit Dienstleistern beschrieben.

Fehler 6: Freigaben Dritter nicht eingeholt

Symptom: Der Test läuft, bis der Hosting-Anbieter Alarm schlägt oder Systeme blockiert. Besser: Vorab prüfen, wem die Systeme gehören und welche Regeln Cloud- und Hostinganbieter für Tests vorsehen. Schriftliche Zustimmung einholen.

Fehler 7: Kein Backup, keine Testumgebung

Symptom: Ein Test legt ein System lahm oder beschädigt Daten, und es gibt keine aktuelle Sicherung. Besser: Vor jedem Test Backups prüfen, wenn möglich eine produktionsnahe Staging-Umgebung nutzen und ein Notfallkontakt benennen.

Fehler 8: Der Bericht verschwindet

Symptom: Niemand ist für die Behebung zuständig, Befunde werden Monate später beim nächsten Test erneut gefunden. Besser: Vor Berichtsabgabe Verantwortliche und Fristen benennen, Befunde in das Ticketsystem übernehmen und den Fortschritt regelmäßig prüfen. Mehr dazu im Beitrag Pentest-Bericht umsetzen.

Fehler 9: Kein Nachtest

Symptom: Es wird behauptet, die Schwachstellen seien behoben, aber niemand hat es geprüft. Besser: Nachtest bereits im Angebot vorsehen oder zumindest die Möglichkeit klären, wie lange und zu welchen Bedingungen er möglich ist.

Fehler 10: Lange Bindung ohne Ausstieg

Symptom: Ein Managed-Service-Vertrag läuft mehrere Jahre, die Qualität lässt nach, aber eine Kündigung ist nicht möglich. Besser: Mit Pilotphase oder kurzer Mindestlaufzeit beginnen, Service Level mit Folgen bei Verfehlung vereinbaren, Sonderkündigungsrechte aushandeln. Details finden Sie unter Managed SOC und MDR: Kostenmodelle.

Übersicht: Fehler und Gegenmaßnahmen

Rechenbeispiel: Was ein vermeidbarer Fehler kosten kann (illustrativ)

Ein Unternehmen zahlt 10.000 Euro für einen Test, setzt aber nur ein Drittel der Befunde um, weil Budget und Zeit für die Behebung fehlen. Rechnerisch bleiben zwei Drittel des Prüfwerts ungenutzt, also etwa 6.700 Euro. Der Nutzen eines Tests entsteht erst durch die Behebung. Planen Sie deshalb bereits bei der Beauftragung Kapazität für die Umsetzung ein, im Beispiel mindestens so viel Aufwand wie für den Test selbst. Die Zahlen sind frei gewählt.

Vorgehen, wenn Sie schon mittendrin sind

Manche Fehler bemerken Sie erst, wenn ein Projekt läuft. Dann hilft ein kurzer Reset: Vereinbaren Sie mit dem Dienstleister ein Gespräch, in dem Ziel, Umfang und Ergebnisse noch einmal schriftlich bestätigt werden. Holen Sie fehlende Verträge nach, bevor weitere Daten zugänglich werden, und lassen Sie sich Zwischenstände zeigen. Fehlt eine Freigabe eines Drittanbieters, pausieren Sie die betroffenen Tests, statt sie auf Verdacht fortzusetzen. Halten Sie Änderungen am Auftrag schriftlich fest, auch wenn sie nur per E-Mail erfolgen. So bleibt nachvollziehbar, was vereinbart war, falls es später Streit über Leistung oder Kosten gibt.

Wann Sie sich beraten lassen sollten

Bei größeren Vorhaben, regulierten Anforderungen oder Zweifeln an der Vertragsgestaltung sollten Rechtsberatung, Datenschutz und Informationssicherheit einbezogen werden. Die Checkliste vor der Beauftragung deckt die wichtigsten Punkte ab.

Häufige Fragen

Welcher Fehler ist am teuersten?

Meist der fehlende Umsetzungsplan. Befunde, die nicht behoben werden, bringen keinen Sicherheitsgewinn, obwohl die Prüfung bezahlt wurde.

Kann ich den Test intern wiederholen, statt extern zu beauftragen?

Interne Prüfungen sind sinnvoll, ersetzen aber nicht den unabhängigen Blick von außen, besonders wenn Kunden oder Regulierung einen Nachweis verlangen.

Wie erkenne ich einen unseriösen Anbieter?

Typische Warnzeichen sind absolute Versprechen, Zeitdruck, fehlende Auskunft zu eingesetzten Personen und unaufgeforderte Kontaktaufnahme mit Verweis auf angebliche Lücken bei Ihnen.

Quellen und weiterführende Stellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise und Leitfäden zur IT-Sicherheit
• Allianz für Cyber-Sicherheit — Praxishilfen für Unternehmen
• OWASP Foundation — Standards für Tests von Anwendungen