Physischer Penetrationstest bei einem Betreiber für Autobahn-Raststätten und Tankstellen

Physischer Penetrationstest bei einem Betreiber für Autobahn-Raststätten und Tankstellen

Durchführung eines physischen Penetrationstests, um Schwachstellen in der Sicherheitsinfrastruktur und den organisatorischen Prozessen der Zentrale und stichpunktartig and drei Tankstellen aufzudecken.

Fakten

Industrie Verkehrsgastronomie, Tankstellenbetrieb und Dienstleistung
KundeAutobahn Tank & Rast Gruppe GmbH & Co. KG
Zeitlicher RahmenOktober 2025
Projekt StandortBonn
Herausforderungen & ZieleZiel des Tests war es, die physische Sicherheit der Einrichtungen zu bewerten, indem versucht wurde, unbefugt Zugang zu sensiblen Bereichen wie IT-, Archiv- oder Verwaltungsräumen zu erlangen. Der Test wurde unter kontrollierten Bedingungen durchgeführt, zum Zweck der Identifizierung von Schwachstellen in den Sicherheitsvorkehrungen vor Ort sowie in den organisatorischen Prozessen. Im Rahmen dessen wurden alle Szenarien, inklusive der verwendeten Angriffstechniken, vom Auftraggeber genehmigt.

Der physische Penetrationstest hatte folgende Ziele:

  • Identifikation von Schwachstellen in der Zutrittskontrolle, um sich Zutritt in sensible Bereiche
    wie interne Büros, Poststelle, Verwaltungs- und Serveräume zu verschaffen. Hierzu zählt ebenfalls die
    Erbringung eines Nachweises für mögliche Zugriffe auf Computer bzw. Server.
  • Bewertung der Sensibilisierung der Mitarbeiter gegenüber unbefugten Personen.
  • Überprüfung der Wirksamkeit von IT-Sicherheitsmaßnahmen an Arbeitsplatzgeräten sowie IT-Infrastruktur.
  • Dokumentation und Aufbereitung der Funde sowie die Erarbeitung von Empfehlungen zur
    Verbesserung der Sicherheitsmaßnahmen.
  • Anfertigung eines Abschlussberichts inklusive einer Berichtszusammenfassung,
    Schwachstellenübersicht, Beschreibung der Grundlagen und Methodik sowie der Ergebnisse im
    Detail.
Lösungen & ServicesDer physische Penetrationstest wurde von zwei erfahrenen Sicherheitsexperten des TÜV Rheinlands
an insgesamt vier Standorten durchgeführt, die unterschiedliche Täuschungsszenarien entwickelten,
um die zuvor definierten Ziele an den jeweiligen Standorten zu erreichen. Im Vorfeld wurde jeweils
eine Observation gestartet, um durch die Beobachtung der täglichen Abläufe mögliche
Angriffstechniken gezielt zu entwickeln. Dabei wurden verschiedene Techniken genutzt, die bei
physischen Penetrationstests zur Anwendung kommen.

In diesem Projekt wurden unter anderem folgende Techniken angewendet:
  • Social Engineering: Manipulation von Personen durch Konversation.
  • Tailgating: Unbefugtes Mitgehen hinter autorisierten Personen durch Zugangskontrollpunkte.
  • HUMINT/OSINT: Sammeln von Erkenntnissen über öffentliche und menschliche Quellen
    (Internetrecherche, Google Maps, vor-Ort, Kommunikation mit Mitarbeitenden).
  • Identity-Theft: Vortäuschen einer falschen Identität (z. B. in der Rolle eines Mitarbeiters oder
    einer Autoritätsperson).
  • Zugang zu Computern: Versuch, sich an den Computern des Kunden anzumelden. Dazu zählt
    ebenfalls die Nutzung bereits angemeldeter Benutzer wie auch die Verwendung lokal identifizierter
    oder frei nutzbaren Benutzerkonten.

Zur Durchführung dieser Szenarien kamen neben authentischen Verkleidungen auch gefälschte
Dokumente zum Einsatz, um falsche Tatsachen glaubhaft darzustellen. Die Penetrationstester
übernahmen dabei verschiedene Rollen, wie beispielsweise die eines externen Dienstleisters oder
eines internen Mitarbeiters. Die Intensität der Angriffe nahm kontinuierlich zu, was auch die
Anpassungsfähigkeit der Reaktionen und Verteidigungsmaßnahmen erhöhte, bis das Ziel erreicht
oder der Angriff erfolgreich aufgedeckt und verhindert wurde.

Die Entdeckung fehlgeschlagener Angriffe durch die Mitarbeiter vor Ort unterstreicht das hohe
Sicherheitsbewusstsein im Unternehmen und vermittelte ein Gefühl der Bestätigung für die gute
Arbeit einzelner Mitarbeiter sowie der internen Teams. Zudem wurde ein regelmäßiger Austausch mit
dem internen Ansprechpartner für Sicherheitsanalysen gepflegt, der über das geplante Vorgehen der
Penetrationstester im Vorfeld stets in Kenntnis gesetzt wurde. Dieses Vorgehen trug dazu bei, die
Tests sowohl in ihrer Intensität als auch in ihrer Tiefe zu verstärken.
KundenvorteileDer physische Penetrationstest hat gezeigt, welchen Mehrwert regelmäßige
Sicherheitsüberprüfungen für die Autobahn Tank & Rast GmbH bieten. Durch die praxisnahe
Bewertung der physischen Sicherheitsmaßnahmen konnten Erkenntnisse gewonnen werden, die dazu
beitragen, die Sicherheitsstandards zu optimieren. Der Test unterstreicht die Bedeutung einer
proaktiven Herangehensweise an Sicherheit, indem er nicht nur potenzielle Risiken aufzeigt, sondern
auch konkrete Handlungsempfehlungen liefert. Zudem wurde die Sensibilisierung der Mitarbeiter als
zentraler Faktor für ein langfristig hohes Sicherheitsniveau hervorgehoben, wodurch das
Unternehmen und Ihre Mitarbeiter in die Lage versetzt werden, ihre Ressourcen und sensiblen
Informationen noch besser zu schützen.

Über die Autobahn Tank & Rast Gruppe GmbH & Co. KG (Tank & Rast)

Die Autobahn Tank & Rast Gruppe GmbH & Co. KG (Tank & Rast) ist ein deutsches Unternehmen mit Sitz in Bonn, das den Großteil der Autobahn-Raststätten und Tankstellen im deutschen Autobahnnetz betreibt bzw. verpachtet und dort Dienstleistungen wie Kraftstoffverkauf, Gastronomie, Hotels, Shops und Ladeinfrastruktur für Reisende anbietet.

Cybersecurity bei TÜV Rheinland

Seit mehr als 20 Jahren unterstützt das Cybersecurity-Geschäft bei TÜV Rheinland Unternehmen aus zahlreichen Branchen, innovative Technologien sicher zu nutzen. Unsere Beraterinnen und Berater kombinieren ihre Cybersecurity-Expertise mit hohem Branchen-Know-how. Der Ansatz unserer Cybersecurity-Lösungen zielt auf die Kombination von Sicherheit und Datenschutz in einer immer stärker verwundbaren Welt, vernetzter Systeme und Geräte. Hierzu führen die Fachleute unter anderem Cybersecurity-Tests, Prüfungen industrieller Sicherheit sowie Prüfungen zum Datenschutz im Internet der Dinge (IoT) und von Cloud-Infrastrukturen durch. TÜV Rheinland betreibt ein weltweites Netzwerk von mehr als hundert Laboratorien weltweit, in dem für Hersteller, aus einer Hand, alle Tests zu Cyber-Sicherheit und Datenschutz durchgeführt werden können.

Kontakt