Physische Sicherheit im Penetrationstest

Geprüft wird, ob sich die physischen Schutzmaßnahmen eines Standorts unter realistischen Bedingungen umgehen lassen: Perimeter, Zutritts- und Begleitprozesse, Sicherung von Serverräumen und Technikflächen sowie das Verhalten der Beschäftigten. NIST SP 800-115 beschreibt physische Sicherheitstests als nicht-technische Prüftechnik, bei der Schlösser, Badge-Leser und weitere physische Kontrollen überwunden werden, um unberechtigten Zugang zu bestimmten Systemen zu erlangen. Das OSSTMM 3 des ISECOM ordnet solche Prüfungen der Klasse Physical Security (PHYSSEC) mit ihren beiden Kanälen Human und Physical zu und verlangt Ergebnisse, die quantitativ messbar, konsistent und wiederholbar sind und nur Fakten aus dem Test selbst enthalten – ausdrücklich ohne subjektive Interpretationen. Auch der BSI-Praxis-Leitfaden für IS-Penetrationstests führt Infrastruktureinrichtungen wie Zutrittskontrollmechanismen und Gebäudesteuerung ausdrücklich als übliches Prüfobjekt auf.

Im Zentrum stehen der unbefugte Zutritt und die Frage, wie weit ein Angreifer im Gebäude kommt: Tailgating hinter berechtigten Personen, vorgetäuschte Rollen wie Dienstleister, Lieferant oder Prüfer (Onsite-Social-Engineering), ungesicherte Nebenwege über Anlieferung, Tiefgarage oder Nebeneingänge sowie mechanische Angriffe auf Schließ- und Verriegelungstechnik. Beim Badge-Cloning ist die Wahl der Kartentechnologie entscheidend: Bei der weit verbreiteten MIFARE Classic ist jeder Speichersektor mit einem eigenen 48-Bit-Schlüssel der Stromchiffre CRYPTO1 geschützt; schon 2009 wurden Angriffe veröffentlicht, die allein den Funkkontakt zur Karte benötigen – ohne Zugriff auf einen echten Leser – und einen Schlüssel in weniger als einer Sekunde auf handelsüblicher Hardware rekonstruieren, sodass die Karte unmittelbar kopiert werden kann. USB-Drops testen die letzte Meile im Inneren: In einer Feldstudie mit 297 auf einem Campus ausgelegten USB-Sticks lag die geschätzte Erfolgsquote zwischen 45 und 98 Prozent, der erste Stick wurde in weniger als sechs Minuten angeschlossen – überwiegend aus dem Motiv, den Eigentümer zu finden. Ziel ist nie die Sammlung von Einzelfehlern, sondern der belegte Angriffspfad vom Außenbereich bis zu einem definierten Schutzobjekt.

Ohne schriftliche Autorisierung ist ein physischer Test nicht zulässig: Wer widerrechtlich in Geschäftsräume eindringt, erfüllt den Tatbestand des Hausfriedensbruchs (§ 123 StGB, Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, Antragsdelikt); wird zusätzlich eine Zugangssicherung zu Daten überwunden, kann § 202a StGB berührt sein. Das BSI hält fest, dass Prüfer nie ohne schriftlichen Auftrag testen sollten und dass Prüfobjekt, Prüfzeitraum und Prüftiefe ebenso wie Mitwirkungspflichten, Haftbarkeit und Verschwiegenheit vertraglich zu regeln sind; sind Leistungen ausgelagert, muss auch der Dienstleister in den Vertrag einbezogen werden. NIST SP 800-115 liefert in Anhang B eine Vorlage für Rules of Engagement mit Zweck und Geltungsbereich, Annahmen und Grenzen, Risiken, Logistik (Personen, Zeitfenster, Prüforte samt Badges, Begleitung und Sicherheitspersonal, Prüfmittel), Kommunikations- und Eskalationswegen inklusive Abbruchkriterien sowie einer ausdrücklichen Ausschlussliste. Praktisch bedeutet das: ein mitgeführtes Autorisierungsschreiben – NIST sieht dafür ein Formular mit Unterschriften und Kontaktdaten vor, das die Tester Sicherheits- oder Strafverfolgungspersonal vorzeigen können –, eine während des Testfensters jederzeit erreichbare autorisierte Kontaktperson und eine definierte Verifikationsmöglichkeit: Wachpersonal muss die Legitimität der Tester über einen Ansprechpartner oder Dokumente prüfen können.

Nach Zielklärung und Scoping folgen Aufklärung und Szenarienplanung (öffentlich verfügbare Informationen, Begehungen, Beobachtung von Schichtwechseln und Lieferverkehr), anschließend die Durchführung, ein Abschlussgespräch und der Bericht. Bei mehrtägigen Tests empfiehlt das BSI jeden Morgen ein kurzes Gespräch zwischen Prüfern und dem beteiligten technischen Personal des Auftraggebers sowie eine kurze Zusammenfassung nach Abschluss der Arbeiten; kritische Funde sollen vor Ort so weit ausgewertet werden, dass die Verantwortlichen sie sofort beheben können. Wichtig ist eine moderate Eingriffstiefe: Nachweise sollen erbracht, Systeme und Schließtechnik aber nicht beschädigt werden. Sind personenbezogene Daten betroffen, müssen Datenschutzbeauftragter und gegebenenfalls die Personalvertretung vor den Tests einbezogen werden; Prüfungen mit Social-Engineering-Anteil sollen laut BSI nur unter genau definierten Rahmenbedingungen, unter Einbeziehung der Personalvertretung und mit darauf trainierten Spezialisten stattfinden. NIST betont für solche Tests, dass die Ergebnisse der Sicherheit der Organisation dienen und nicht dazu, Einzelne herauszustellen. Für Wiederholungsprüfungen nennt das BSI einen Turnus von zwei bis drei Jahren, da regelmäßig neue Schwachstellen und Angriffsmethoden bekannt werden.

Anhang A der ISO/IEC 27001:2022 gliedert seine 93 Controls in vier Themen; 14 davon sind physische Controls (A.7.1 bis A.7.14), von Sicherheitsperimetern (A.7.1) über den physischen Zutritt (A.7.2) und die Sicherung von Büros, Räumen und Einrichtungen (A.7.3) bis zu Arbeiten in Sicherheitsbereichen (A.7.6) und aufgeräumtem Arbeitsplatz und Bildschirm (A.7.7). Neu gegenüber der Fassung von 2013 ist A.7.4 zur Überwachung der physischen Sicherheit; Umsetzungshinweise liefert ISO/IEC 27002:2022. Ein physischer Penetrationstest ist von der Norm nicht ausdrücklich gefordert – sie verlangt aber, Prozesse und Maßnahmen zu überwachen und zu messen und die Wirksamkeit des Managementsystems zu bewerten (Kapitel 9.1) und die Informationssicherheit in geplanten Abständen unabhängig überprüfen zu lassen (A.5.35). Im IT-Grundschutz des BSI korrespondieren die Bausteine der Schicht INF, unter anderem INF.1 Allgemeines Gebäude und INF.2 Rechenzentrum sowie Serverraum.

Der Bericht sollte mit der Beschreibung des Prüfobjekts und der Prüfbedingungen beginnen, gefolgt von einer Managementzusammenfassung und technischen Kapiteln mit nachvollziehbaren Beschreibungen und Empfehlungen; das BSI empfiehlt, dabei auf Produktempfehlungen zu verzichten und stattdessen Produktklassen zu nennen. Für die Priorisierung eignet sich eine Einstufung, die Schadenspotenzial und erforderliche Reaktionszeit verbindet – das BSI verwendet hoch (sofort), mittel (kurzfristig), niedrig (mittelfristig) und zur Information (langfristig) und bezieht Schutzbedarf der Daten sowie benötigte Fähigkeiten und Mittel des Angreifers in die Bewertung ein. Bei physischen Tests kommt hinzu: die chronologische Rekonstruktion der Angriffspfade mit Belegen, die Zuordnung der Feststellungen zu den betroffenen Controls (etwa A.7.1 bis A.7.4) und die ausdrückliche Nennung dessen, was funktioniert hat – also erkannte und abgewehrte Versuche als Bewertungsgrundlage für Wachdienst und Meldeprozesse. Ebenso gehören dazu ein begrenzter Verteilerkreis, eine Vertraulichkeitskennzeichnung und der Hinweis, dass die Ergebnisse den Zustand zum Testzeitpunkt abbilden.