Der Cyber Resilience Act (CRA) in Bezug auf Pentests

Macht der Cyber Resilience Act Penetrationstests zur Pflicht?

Nein — und trotzdem kommt kaum ein Hersteller ohne strukturierte Sicherheitstests aus. Warum beides gleichzeitig stimmt, und welche Frage wirklich zählt.

„Schreibt der Cyber Resilience Act jetzt Penetrationstests vor?“ — diese Frage bekommen wir seit Monaten. Die ehrliche Antwort ist: Nein. Und trotzdem führt für die meisten Hersteller kein Weg an strukturierten Sicherheitstests vorbei. Beides stimmt gleichzeitig — und genau in diesem scheinbaren Widerspruch liegt der Punkt, den viele Unternehmen 2026 noch unterschätzen.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist bewusst methodenneutral. Er nennt keine konkrete Testtechnik — weder „Penetrationstest“ noch „Fuzzing“ noch „DAST“ tauchen als vorgeschriebene Verfahren im verbindlichen Verordnungstext auf. Was er verlangt, ist der Nachweis, dass ein Produkt wirksam getestet wurde. Und den liefert keine […]

Von NSIDE|2026-08-10T15:49:35+02:007. August 2026|

DORA TLPT in Deutschland

DORA TLPT in Deutschland: Entwicklungen, Zusammenhänge und nächste Schritte

Die Finanzbranche steht vor bedeutenden Veränderungen im Bereich der Cybersicherheit. Mit dem Inkrafttreten des Digital Operational Resilience Act (DORA) und der Einführung von verpflichtenden Threat-Led Penetration Tests (TLPT) müssen Finanzinstitute ihre digitale Widerstandsfähigkeit nachweisen. Als erfahrener TIBER-Provider möchten wir Ihnen einen Überblick über die aktuellen Entwicklungen, die Zusammenhänge zwischen TIBER und DORA sowie die nächsten wichtigen Schritte geben.

DORA und TLPT: Was bedeutet das für Finanzinstitute?

Der Digital Operational Resilience Act (DORA) ist am 16. Januar 2023 in Kraft getreten und wird seit dem 17. Januar 2025 offiziell angewendet. DORA ist eine EU-Verordnung, die darauf abzielt, die digitale Betriebsstabilität im Finanzsektor zu stärken. Ein zentrales Element von DORA sind die verpflichtenden Threat-Led Penetration Tests (TLPT), die von bestimmten Finanzinstituten […]

Von NSIDE|2025-07-04T14:06:34+02:006. Mai 2025|

Common Vulnerabilities and Exposures (CVE)

Einleitung

In der Welt der Informationstechnologie ist die Sicherheit von entscheidender Bedeutung. Doch mit zunehmender Komplexität und der schieren Menge verschiedener Software und Hardware sind auch die potenziellen Schwachstellen in den Systemen häufiger und vielfältiger geworden. Die eindeutige Identifizierung und Kommunikation dieser Sicherheitslücken wurde immer schwieriger und war oft uneinheitlich und inkonsistent. Wurden Sicherheitslücken über mehrere Produkte hinweg bewertet und katalogisiert, kam es zu Verwirrung und Doppelungen, sodass nur ineffektiv und ineffizient auf Bedrohungen reagiert werden konnte.

Was ist CVE?

CVE steht für Common Vulnerabilities and Exposures und ist ein Verzeichnis für öffentlich bekannte Schwachstellen. CVEs oder auch CVE-IDs sind gedacht, um Schwachstellen eindeutig zu identifizieren und die Kommunikation über verschiedene Grenzen hinweg zu erleichtern. Dies soll auch die Identifikation ermöglichen, wenn z. B. eine Schwachstelle in verschiedenen Software-Versionen […]

Von NSIDE|2024-06-18T15:48:29+02:0025. Juni 2024|

Offenlegung von Sicherheitslücken

Im Rahmen von Kunden-Projekten oder Research-Projekten werden immer wieder Schwachstellen oder Sicherheitslücken aufgedeckt, die Herstellern, Kunden und Analysten unbekannt sind. Hier stellen sich berechtigterweise immer wieder Fragen zur Sinnhaftigkeit und zu Vorteilen oder Nachteilen der Veröffentlichung von Schwachstellen.

Warum sollte eine Schwachstelle veröffentlicht werden?
Wann sollte eine Schwachstelle veröffentlicht werden?
Wie schaut es mit dem Sicherheitsupdate (Patch) seitens des Herstellers aus?
Sollte eine Schwachstelle veröffentlicht werden, bevor eine Absicherung durch einen Patch verfügbar ist?
Habe ich als Hersteller Nachteile bei einer Veröffentlichung von Schwachstellen?
Gibt es Vorteile einer Veröffentlichung von Schwachstellen für Hersteller oder Anwender?
Was ist Responsible Vulnerability Disclosure (RVD) oder Coordinated Vulnerability Disclosure (CVD)?
Wann sollten Schwachstellen nicht veröffentlicht werden?

Wie eine Offenlegung von Schwachstellen gelingt und nicht […]

Von NSIDE|2026-02-03T09:27:47+01:0020. Juni 2024|

Credential Stealing trotz Windows Defender Attack Surface Reduction

Seit Windows 10 Version 1709 bringt der Windows Defender sogenannte „Attack Surface Reduction“ (ASR) Regeln mit. Diese Regeln dienen dazu – wie der Name bereits vermuten lässt – die generelle Angriffsfläche eines Systems zu reduzieren. Basierend auf einem Auszug der offiziellen Dokumentation werden hierzu unter anderem folgende Verhaltensmuster von Anwendungen überwacht:

Starten von ausführbaren Dateien und Skripten, die versuchen, andere Dateien herunterzuladen und/oder auszuführen
Ausführen von obfuskierten oder anderweitig verdächtigen Skripten
Verhaltensweisen, die bei Anwendungen im normalen Arbeitsalltag nicht vorkommen

In der Dokumentation findet sich außerdem eine Tabelle, in welcher alle derzeit verfügbaren ASR-Regeln samt einer zugehörigen ID aufgelistet sind. Eine Vielzahl der Regeln zielt auf die Erstellung von neuen Prozessen und die Makro-Funktionalität von Office-Anwendungen ab. Letzteres hat in der […]

Von NSIDE|2026-01-12T12:25:31+01:0012. Juni 2024|

Cloud Security: Herausforderungen, Verantwortlichkeiten und Best Practices

Der verstärkte Übergang von Unternehmen zu vollständig digitalen Umgebungen geht einher mit einer wachsenden Beliebtheit von Cloud Computing. Doch dieser Wandel birgt zusätzliche Risiken für die Cybersicherheit, weshalb ein tiefgehendes Verständnis der Bedeutung von Cloud-Sicherheit für die Unternehmenssicherheit entscheidend ist.

Im Laufe der Jahre sind die Sicherheitsbedrohungen komplexer geworden, und jährlich treten neue Angreifer auf den Plan. In der Cloud kann rund um die Uhr aus der Ferne auf alle Komponenten zugegriffen werden, was ohne eine angemessene Sicherheitsstrategie potenziell permanent Daten gefährden kann. Laut dem 2023 Global Threat Report von CrowdStrike hat die Anzahl der Cloud-Angriffe im Jahr 2022 um 95% zugenommen. Die Fälle von Cloud-Angriffen haben sich im Vergleich zu 2021 fast verdreifacht, wobei die durchschnittlichen Kosten einer Datenschutzverletzung von 3,86 Millionen US-Dollar im […]

Von NSIDE|2026-01-12T12:25:29+01:005. Februar 2024|

Was ist Targeted Threat Intelligence (TTI)

„Sun-Tzu (Die Kunst des Krieges): Wenn du den Feind kennst und dich selbst kennst, brauchst du den Ausgang keines Kampfes fürchten.“

Eigentlich erklärt dieses Zitat ziemlich genau, was Targeted Threat Intelligence (TTI) bedeutet, aber der Reihe nach.

TTI besteht, wie der Name schon sagt, aus 2 Komponenten. Der Threat Intelligence und dem „Targeted“-Part, den wir als „Target Intelligence“ bezeichnen wollen, auch wenn das kein fest-stehender Begriff ist. Um das klar zu stellen, wir reden hier selbstverständlich ausschließlich über CYBER Intelligence und wollen in diesem Einsteiger-Artikel versuchen die Bereiche der TTI in einfacher deutscher Sprache grob zu erklären. […]

Von NSIDE|2024-04-03T10:51:05+02:0029. Januar 2024|

Docker-Sicherheit im Fokus: Gefährliche Container-Einstellungen und ihre Auswirkungen auf das Host-System

Die Nutzung von Virtualisierung, insbesondere durch Docker, hat die Art und Weise, wie Software entwickelt, bereitgestellt und betrieben wird, revolutioniert und ist insbesondere aus Cloud-Umgebungen nicht mehr wegzudenken. Die Effizienz und Portabilität, die Docker bietet, sind jedoch nicht ohne ihre Herausforderungen, speziell im Hinblick auf die Sicherheit.

Zwei Einstellungen für Docker-Container sind besonders verbreitet: die Einbindung des Docker-Sockets und das Starten von Containern mit erhöhten Rechten. In diesem Blogartikel werfen wir einen genaueren Blick auf diese zwei kritischen Container-Einstellungen, und wie sie von Angreifern genutzt werden können, um von einem kompromittierten Container auf das Host-System überzugehen. Diese potenziellen Sicherheitslücken stellen nicht nur eine Bedrohung für die Integrität und Vertraulichkeit der Containerumgebung dar, sondern können auch erhebliche Risiken für das gesamte Host-System mit sich bringen.

Container mit erhöhten […]

Von NSIDE|2024-01-25T09:29:19+01:0018. Januar 2024|

Meet a Pentester – Interview mit Bernhard Doll

Hallo Bernhard, schön, dass du dir die Zeit genommen hast. Stell dich gerne zu Beginn kurz vor – Wie lange arbeitest du schon im Bereich Offensive Security und was sind deine Schwerpunkte?

Ich arbeite seit März 2018 in der IT-Sicherheit, bin seit Januar 2021 bei der NSIDE und arbeite dort aktuell als Senior IT Security Analyst. Meine Haupttätigkeit ist dabei die Leitung und Durchführung professioneller Angriffssimulationen wie Red Team Assessments, IT-Sicherheitstests wie Penetrationstests und Lateral Movement Tests auf Netzwerke und IKT-Systeme verschiedenster Technologien, sowie konzeptionelle IT Security Beratung von Unternehmen unterschiedlichster Größen und Branchen vor Ort und Remote.

Was sind nach deiner Erfahrung als Pentester die häufigsten Fehler, die Unternehmen machen?

Die häufigsten Fehler beobachte ich vor allem in drei Bereichen: Konfiguration, Einsatz unsicherer Software (entweder aufgrund unsicherer […]

Von NSIDE|2023-07-13T11:53:25+02:0023. Juni 2023|

Meet a Pentester – Interview mit Benedikt Strobl

Unser langjähriger Mitarbeiter Benedikt Strobl wird Ende des Monats ein fünfmonatiges Sabbatical antreten. Bevor er sich auf die Reise macht, hat er sich die Zeit für ein kurzes Interview genommen und die wichtigsten Fragen zum Thema Penetrationstests und zu seiner Arbeit als Pentester beantwortet. Wir wünschen viel Spaß beim Lesen und Benedikt eine tolle und abenteuerreiche Zeit!

Hallo Bene, wir starten am besten mit einer kurzen Vorstellung: Wie lange arbeitest du schon im Bereich Offensive Security und was sind deine Schwerpunkte?

Meine Name ist Benedikt Strobl, ich bin 31 Jahre alt und arbeite seit 6 Jahren bei der NSIDE als Security Analyst. Meine ersten Berührpunkte mit der IT Security hatte ich im Rahmen meines Studiums und bei CTFs. Meine Schwerpunkte haben sich dabei über die Jahre etwas […]

Von NSIDE|2023-03-23T08:32:28+01:0022. März 2023|

Red Team Assessment

Penetrationstest

Trainings & Workshops

NSIDE

Über NSIDE

BLEIBEN SIE AUF DEM LAUFENDEN