Penetrationstests für Produkte

Er verlangt wirksame und regelmässige Sicherheitstests und -überprüfungen, und deren Berichte sind Teil der technischen Dokumentation. Die Verordnung nennt den Penetrationstest nicht ausdrücklich, doch die FAQ der Kommission führt ihn, zusammen mit Fuzzing und Firmware-Analyse, unter den geeigneten Mitteln auf. Er ist der direkteste Weg zu zeigen, dass die Massnahmen einem realen Angriff standhalten.

Quellen: Verordnung (EU) 2024/2847, Anhang I, Teil II, Nr. 3, und Anhang VII, Nr. 6; FAQ der Kommission v1.1, Ziff. 4.4.2

In der Regel zwei: Einige Tests, etwa das Auslesen des Speichers oder der Zugriff auf die Debug-Schnittstellen, erfordern das Öffnen des Produkts und können es beschädigen. Wir legen das vor Beginn im Testplan fest.

Ja, und das ist oft der beste Zeitpunkt: Eine Schwachstelle, die an einem Prototyp gefunden wird, lässt sich vor der Industrialisierung beheben. Die getestete Software und Hardware müssen lediglich in den sicherheitsrelevanten Punkten dem Endprodukt entsprechen.

Die Bewertung nach EN 18031 prüft Anforderung für Anforderung, ob die erwarteten Sicherheitsmechanismen vorhanden und angemessen sind. Der Penetrationstest versucht aktiv, sie zu umgehen. Beide ergänzen sich: Die EN 18031 sieht übrigens eine Prüfung der Umsetzung aus Sicht eines Angreifers vor.

Quellen: EN 18031-1:2024, Anhang A

Ja. Die Tests erfolgen unter einer Vertraulichkeitsvereinbarung, der Bericht geht nur an Sie, und die Schwachstellen werden niemand anderem mitgeteilt. Über die Offenlegung entscheiden anschliessend Sie, im Rahmen Ihrer Strategie zur koordinierten Offenlegung von Schwachstellen.

Nicht unbedingt vollständig. Nach Korrekturen prüft ein gezielter Nachtest, ob die Schwachstellen geschlossen sind. Für Folgeversionen zeigt die Bedrohungsanalyse, welche Teile sich geändert haben und was erneut getestet werden muss.