Die vor einem Angebot zu klärenden Fragen
Kosten und Dauer von Penetrationstests für Fintech-Unternehmen hängen von den Zielsystemen, Rollen, Geschäftsabläufen, Zugangsregelungen und Berichtsanforderungen ab. Allein anhand der Anzahl der Systeme lässt sich der Aufwand nicht bestimmen. Nutzen Sie die folgenden Fragen, um den Umfang vorzubereiten und die Annahmen zu ermitteln, auf die ein Angebot eingehen muss.
Vor einem Auftrag
Was umfasst Penetration Testing im Fintech-Sektor?
Fintech-API- und Mandantengrenzentests; Tests von Zahlungslogik und Transaktionszuständen; Fintech-Cloud- und Workload-Identitätstests. Der vereinbarte Umfang legt konkrete Assets, Rollen, Schnittstellen und Ausschlüsse fest.
Können Sie Produktionssysteme testen?
Verwenden Sie dedizierte Mandanten, synthetische Kundendaten und Test-Zahlungswege, bei denen die tatsächliche Abwicklung deaktiviert ist. Vereinbaren Sie Berechtigungen für Partnersysteme, Transaktionslimits, Rollback und Freigabezeiträume. Aktivitäten in der Produktionsumgebung müssen klar verantwortlichen Personen zugeordnet sein und über einen eindeutigen Stop-Kanal verfügen. Tests in der Produktionsumgebung erfordern eine ausdrückliche Vereinbarung; Ergebnisse aus Staging- und Produktionsumgebungen dürfen nicht als austauschbar dargestellt werden.
Ist dies dasselbe wie ein Schwachstellenscan?
Nein. Ein Scan kann die Erkennung unterstützen, aber ein Penetrationstest überprüft ausgewählte Schwachstellen und ihre Folgen in der autorisierten Umgebung. Der Bericht sollte zwischen nicht verifizierten Beobachtungen und nachgewiesenen Feststellungen unterscheiden.
Belegt ein Penetrationstest die Compliance?
„Fintech“ ist eine Geschäftsbezeichnung und keine einzelne Regulierungskategorie. Ob DORA gilt, hängt von der juristischen Person und ihrer regulierten Tätigkeit ab; die Einstufung als TLPT-Einrichtung ist eine separate Frage. Der Geltungsbereich von PCI DSS hängt von Zahlungskartendaten und den betreffenden Systemen ab. Produktsicherheitstests sollten zusammen mit diesen Pflichten, der DSGVO und Kundenanforderungen geplant werden.
Wie lange dauert ein Auftrag und was kostet er?
Dauer und Gebühren hängen vom Leistungsumfang, den Rollen, den Workflows, den Zugriffsbedingungen, der Beteiligung Dritter sowie den Anforderungen an Berichterstattung und Wiederholungstests ab. Diese Punkte werden im Angebot vereinbart und nicht aus einem allgemeinen Paket abgeleitet.
Was werden wir erhalten?
Ein vereinbartes Abdeckungsprotokoll, technische Feststellungen, Nachweise, Wirkungsgrenzen und ein Behebungsplan. Wiederholungstests und zusätzliche betriebliche Übungen werden in der Leistungsbeschreibung festgelegt.
Handelt es sich bei dem Beispiel um einen echten Kundenbericht?
Nein. Die Fintech AG sowie sämtliche Systeme, Beteiligten und Ergebnisse sind fiktiv. Das Beispiel veranschaulicht die technische Berichterstattung, ohne Kundeninformationen offenzulegen.
Was geschieht mit den für ein Muster eingereichten Angaben?
Atlant Security erhält Ihre Anfrage über sein geschäftliches Postfach, stellt den Browser-Download bereit und kann sich bezüglich Ihrer Anfrage bei Ihnen melden. Sie werden nicht für Marketing angemeldet. Siehe Datenschutzhinweise und Cookie-Hinweise.
Welche Angaben sollen wir in eine Anfrage aufnehmen?
Ihre Organisation, Ihre Rolle, eine allgemeine Beschreibung der Systeme oder Arbeitsabläufe, Ihr Ziel und der voraussichtliche Zeitplan. Senden Sie keine Patientendaten, Zahlungsdaten, Zugangsdaten oder vertraulichen Sicherheitsinformationen über das öffentliche Formular.
