TISAX Penetrationstest

Pentest für TISAX Audits (VDA ISA)

Der VDA ISA-Katalog definiert die branchenweiten Anforderungen an die Informationssicherheit in der Automobilindustrie und bildet die Grundlage des TISAX-Modells (Information Security Automotive). TISAX ermöglicht die unternehmensübergreifende Anerkennung von Assessment-Ergebnissen entlang der gesamten Wertschöpfungskette – von Zulieferern bis zu den OEMs. Im Mittelpunkt steht dabei der Schutz vertraulicher Daten vor unbefugtem Zugriff – in der Praxis vor allem von Fahrzeug-Konstruktionsdaten.

Im Rahmen von TISAX führt die binsec GmbH einen gezielten TISAX-Pentest (Penetrationstest) durch, um die Anforderungen des VDA ISA zur Identifizierung von Schwachstellen und zur technischen Überprüfung von IT-Systemen zu erfüllen – als belastbarer Nachweis für Ihr TISAX-Assessment bzw. Ihren TISAX-Audit.

Im VDA ISA (z. B. Version 6.0.2) werden System- und Dienst-Audits gefordert (u. a. Punkt 5.2.6) sowie die Berücksichtigung der Informationssicherheit bei neuen oder geänderten Systemen (z. B. Punkt 5.3.1). Die Prüfungen müssen geplant, dokumentiert und durch qualifiziertes Fachpersonal durchgeführt werden; die Ergebnisse sind dem Management bereitzustellen und zur Ableitung geeigneter Maßnahmen zu nutzen. Bei hohem oder sehr hohem Schutzbedarf (Schutzniveau T2 bzw. T3) empfiehlt der Katalog ausdrücklich die regelmäßige Durchführung dienst- oder systemspezifischer Penetrationstests.

Typischer Scope eines TISAX-Penetrationstests

Betreibt ein Unternehmen keine eigene Softwareentwicklung, beschränkt sich ein praxisgerechter TISAX-Penetrationstest meist auf:

• externe Prüfungen öffentlich erreichbarer Systeme (z. B. Website, E-Mail, öffentlich angebotene Dienste), und
• interne Analysen der im lokalen Netzwerk erreichbaren Systeme – z. B. Active Directory, Server, Clients und Firewalls.

Im Zentrum stehen dabei konkrete Angriffsszenarien: Im externen Test simulieren wir einen Angreifer, der von außen auf Ihre Systeme zugreift – z. B. über öffentlich erreichbare Webanwendungen, E-Mail-Systeme oder weitere Dienste. Im internen Test gehen wir davon aus, dass ein Angreifer bereits einen Zugangspunkt im Netzwerk besitzt (z. B. kompromittierte Zugangsdaten eines Mitarbeiters), und prüfen, ob dieser unbefugten Zugriff auf vertrauliche Fahrzeug-Konstruktionsdaten und andere sensible Daten erlangen kann: Angriffe auf das Active Directory (u. a. Kerberos-Attacken, Privilegieneskalation, Lateral Movement), Zugriffe auf Server, Clients und Daten sowie Umgehungsversuche von Netzwerksegmentierung und Firewalls. Alle Prüfschritte und identifizierten Schwachstellen dokumentieren wir manuell – von der Erkennung bis zum Nachweis der Ausnutzbarkeit.

Ergänzend testen wir auf Wunsch Webanwendungen und APIs, die für den Datenaustausch mit Partnern relevant sind. Erweiterte Prüfungen wie Social Engineering, Phishing-Kampagnen, physische Sicherheitschecks oder DDoS-Stresstests sind in vielen Fällen nicht zwingend Bestandteil des standardmäßigen TISAX-Scopes – wir führen sie jedoch gerne auf Anfrage durch.

Wir planen und führen TISAX-konforme Penetrationstests risikobasiert durch: klare Scope-Definition, Kombination aus externer Angriffsflächen-Analyse und interner AD/Netzwerk-Evaluation, transparente Dokumentation der Methodik sowie die zeitnahe Erstellung eines Audit- bzw. Penetrationstestsberichts – mit risikobasierter Bewertung der Befunde und konkreten Sanierungsempfehlungen.

Fragen Sie jetzt Ihr TISAX-Pentest-Angebot an – wir unterstützen Sie vom Scope bis zum auditfertigen Report.