Scoping

Scoping ist die Festlegung von Umfang, Zielen, Grenzen und Rahmenbedingungen eines Sicherheitstests vor Beginn – es entscheidet darüber, welche Frage der Test beantwortet und was er kostet.

Scoping bezeichnet die Phase vor einem Sicherheitstest, in der Auftraggeber und Tester gemeinsam festlegen, was geprüft wird, was nicht, mit welchem Ziel und unter welchen Bedingungen. Beim Penetrationstest definiert das Scoping das Prüfobjekt – etwa eine Anwendung mit ihren Schnittstellen oder ein Netzsegment mit einer bestimmten Anzahl Systeme. Beim Red Teaming definiert es die Missionsziele (Flags), die zulässigen Angriffswege und die kritischen Geschäftsfunktionen, auf die der Test zielt.

Das Scoping ist die wichtigste Weichenstellung des gesamten Projekts. Ein zu eng gefasster Umfang liefert ein beruhigendes, aber wertloses Ergebnis; ein zu weiter Umfang verteilt die Zeit so dünn, dass nichts in der Tiefe geprüft wird.

Was im Scoping geklärt wird

1. Fragestellung: Welche Entscheidung soll das Ergebnis unterstützen? „Ist die neue Kundenplattform sicher?“ führt zu einem anderen Test als „Bemerken wir einen Angreifer im Netz?“.
2. Prüfobjekt oder Ziele: Systeme, Domänen, IP-Bereiche, Standorte, Cloud-Mandanten – oder beim Red Teaming die Flags und kritischen Funktionen.
3. Ausschlüsse: Produktionssteuerungen, Systeme Dritter, besonders fragile Altsysteme. Jeder Ausschluss wird begründet und dokumentiert, denn er ist eine Lücke in der Aussage.
4. Wissensstand und Startpunkt: Blackbox, Greybox oder Whitebox; vollständiger Erstzugriff oder Assumed Breach.
5. Zeitrahmen und Aufwand: Pentests dauern typischerweise ein bis drei Wochen, Red Teamings vier bis zwölf Wochen aktive Phase. Der Aufwand in Personentagen folgt aus dem Umfang.
6. Beteiligte: Zusammensetzung des Control Teams, Ansprechpartner bei Dienstleistern, Einbindung von Recht und Datenschutz.

Die Ergebnisse fließen in die Rules of Engagement und das Angebot ein. Bei regulierten Tests nach DORA (TLPT) ist das Scoping formalisiert: Es umfasst die kritischen oder wichtigen Funktionen, die zugehörigen Systeme und die einzubeziehenden IKT-Drittdienstleister und wird mit der Aufsicht abgestimmt.

Bedeutung für Unternehmen

Für Entscheider ist das Scoping der Moment, in dem sich Budget und Aussagekraft begegnen. Ein häufiger Fehler ist, Systeme aus Sorge vor Störungen auszuklammern, die zugleich die attraktivsten Ziele für Angreifer sind – Backup-Infrastruktur, Zahlungsfreigaben, Domänencontroller. Angreifer halten sich nicht an Ausschlusslisten. Der zweite häufige Fehler ist, Dritte zu vergessen: Laut Verizon DBIR 2025 waren Drittparteien an 30 Prozent der Datenpannen beteiligt. Wer Dienstleister und Cloud-Umgebungen aus dem Scope nimmt, prüft nur einen Teil der eigenen Angriffsfläche.

Praxis-Hinweise

• Beginnen Sie mit der Geschäftsfrage, nicht mit der Systemliste: Welche Funktion darf nicht ausfallen, welche Daten dürfen nicht abfließen?
• Begründen Sie jeden Ausschluss schriftlich und bewerten Sie, ob er den Test entwertet.
• Nehmen Sie sich für das Scoping-Gespräch zwei bis drei Stunden mit allen Entscheidern; nachträgliche Umfangsänderungen kosten mehr.
• Klären Sie Genehmigungen für Cloud-Anbieter und Dienstleister vor Vertragsabschluss.

Wie wir das Scoping gestalten, zeigt unser Ablauf.