Ein Unternehmen für Penetrationstests, Red-Team oder Cyber-Assurance in den VAE gründen

Zwei getrennte Fragen bestimmen hier den Rahmen. Die erste ist eine Lizenzfrage: Wird die Tätigkeitsbeschreibung, unter der sich das Unternehmen registriert, von der Lizenzbehörde als sicherheitsrelevant gekennzeichnet, sodass eine externe Genehmigung erforderlich ist, bevor die Handelslizenz erteilt wird? Das Department of Economy and Tourism in Dubai und die free-zone-Behörden führen jeweils ihre eigene Liste von Tätigkeiten, die diese Weiterleitung auslösen, und Formulierungen wie "Informationssicherheit" oder "Penetrationstests" stehen häufig darauf. Die zweite ist eine Standardfrage: Gehören Regierungsstellen, Telekommunikationsbetreiber oder Betreiber kritischer Infrastruktur zum Kundenstamm, deren eigene Sicherheitspflichten über den UAE Cyber Security Council laufen und nicht über die Lizenz der Testfirma.

Eine Firma, die nur private gewerbliche Anwendungen für private gewerbliche Kunden testet, hat einen engeren Rahmen als eine Firma, die sich um Einsätze im Bereich Regierung oder kritische nationale Infrastruktur bemüht, das Gebiet, das in Sicherheit kritischer Infrastruktur in den VAE behandelt wird. Dasselbe Unternehmen kann zu unterschiedlichen Zeitpunkten seines Wachstums in beide Kategorien fallen, daher sollte das Startmodell den Kundenstamm beschreiben, für den es heute aufgebaut ist, und nicht denjenigen, den es später erreichen möchte.

Das Cyber Security Council legt die nationale Cybersicherheitspolitik und die Standards für Regierungsstellen und kritische Sektoren fest und koordiniert sie. Wo die Aufträge eines Unternehmens in diesen Zuständigkeitsbereich fallen, bestimmen die eigenen Pflichten des Kunden aus diesen Standards, was das Testunternehmen dokumentieren muss: benannte, überprüfte Tester, ein definierter Umfang mit Einsatzregeln und ein Prozess zum Umgang mit Schwachstellen. Die Telecommunications and Digital Government Regulatory Authority reguliert die Telekommunikationsnetze und das Spektrum, die ein Red-Team-Einsatz berühren könnte, wenn die Tests die Infrastruktur von Telekommunikationsbetreibern erreichen, was einen anderen Umfang darstellt als das Testen der eigenen Webanwendung eines Kunden.

Das föderale Datenschutzrecht gilt immer dann, wenn ein Auftrag Systeme mit personenbezogenen Daten erreicht, was hier nahezu automatisch der Fall ist: Ein Pentest, der eine Datenbank abgreift, oder eine Red-Team-Übung, die ein HR-System erreicht, versetzt das Unternehmen für die Dauer des Auftrags in eine datenverarbeitende Rolle. Der Vertrag sollte regeln, wie diese Daten gespeichert werden, wer sie einsehen kann und wann sie nach Abschluss des Auftrags vernichtet werden, und dies nicht den Standardbedingungen überlassen, die ein Gründungspaket standardmäßig mitliefert.

Banken, die den Kontoantrag einer Cyber-Assurance-Firma prüfen, schauen über die Handelslizenz hinaus auf die operativen Fakten: wer die Kunden sind, ob Einsätze reglementierte oder staatliche Systeme betreffen, wie Tester überprüft werden, und wie die Firma auf einen Vorfall während eines Live-Tests reagieren würde. Eine Vorlage für Einsatzregeln, ein namentlich benannter Ansprechpartner für Vorfallreaktionen und eine aktuelle Berufshaftpflichtversicherung beantworten das meiste davon bereits bei der ersten Prüfung; ein Plan ohne diese Elemente wirkt wie eine Briefkastenfirma, die ein Konto beantragt, statt ein operatives Unternehmen. Eine Vorbereitung des Firmenbankkontos, die um die tatsächlich durchgeführten Einsatzarten des Unternehmens aufgebaut ist, geht schneller als ein generisches Banking-Paket.

Die Kosten setzen sich hier aus mehreren Schichten zusammen statt aus einer einzigen Gesamtsumme: Unternehmensgründung, etwaige Sicherheitsfreigaben oder fachliche Überprüfungen, operativer Aufbau (Testinfrastruktur, sichere Beweisaufbewahrung, Tools, Versicherung), Personal und wiederkehrende Verlängerungen. Die eigene Gebühr der Firma ist in der Mandatsvereinbarung aufgeschlüsselt; wie Velarozone funktioniert legt diese Struktur dar.

Ein glaubwürdiges Testunternehmen braucht echte Personen hinter der Lizenz: Tester, deren Kompetenz und Hintergrundprüfungen nachweisbar sind, jemanden, der einen Umfang vor Arbeitsbeginn freigeben kann, und eine benannte Kontaktperson für einen Notstopp. Eigentümerstrukturen, die Testarbeiten über mehrere Rechtsträger in den UAE und offshore leiten, ziehen mehr Prüfung durch Banken und Regierungskunden auf sich, nicht weniger, weil niemand sehen kann, wer verantwortlich ist. Wo die Eigentümerschaft tatsächlich mehrstufig ist (etwa eine internationale Gruppe, die über eine operative Gesellschaft in den UAE testet), lohnt es sich, eine Dokumentation vorzubereiten, die die Entscheidungsstruktur darlegt, bevor eine Bank fragt, wer unterzeichnet. Ein Unternehmen, dessen Kundenstamm in regulierte oder regierungsnahe Bereiche hineinreicht, profitiert von der Disziplin, die in regulierte und komplexe Eigentümerstrukturen beschrieben ist.

Der häufigste Fehler ist die Umfangsabweichung: Ein Tester findet einen Weg in gemeinsam genutzte Infrastruktur oder in ein System, das dem Kunden gar nicht gehört, und macht weiter, ohne innezuhalten, um dies freigeben zu lassen. Die schriftliche Genehmigung muss das Ziel und seinen Eigentümer benennen, nicht nur den Kunden, der die Rechnung bezahlt: Ein Kunde kann das Testen seiner eigenen Systeme genehmigen, nicht jedoch das seines Cloud-Anbieters oder eines Partners.

Der zweite wiederkehrende Fehler betrifft den Umgang mit Beweismaterial: Exploit-Daten und Angaben zu Schwachstellen, die nach Abschluss des Mandats in gemeinsam genutzten Laufwerken oder unverwalteten Chat-Tools zurückbleiben. Ein Käufer, ein Versicherer oder ein öffentlicher Mandant wird fragen, wie und wie lange Beweismaterial aufbewahrt wird, und „wo der Tester es gerade gespeichert hat" hält einer Due-Diligence-Prüfung nicht stand. Der dritte Fehler ist die Überinterpretation: einen einzelnen Test als Nachweis fortlaufender Sicherheit darzustellen, obwohl der Befund nur das Datum seiner Durchführung und den vereinbarten Testumfang abdeckt.

Sobald die Lizenz und eine etwaige Sicherheitsgenehmigung vorliegen, drehen sich die betrieblichen Fragen vor allem um Personal und Verlängerungen. Spezialisierte Tester, die außerhalb der VAE angeworben werden, benötigen Visa über das Einwanderungskontingent der Gesellschaft, und eine sicherheitsbezogene Tätigkeitsgenehmigung verlängert sich, wo sie zur Anwendung kommt, in der Regel zusammen mit der Handelslizenz und nicht als einmaliger Schritt. Die Berufshaftpflichtversicherung und etwaige mandantenspezifische Zertifizierungen laufen nach ihren eigenen Verlängerungszyklen, und ein Ablauf bei einer von beiden kann einen Mandanten davon abhalten, einen Vertrag zu verlängern, selbst wenn die Lizenz selbst weiterhin gültig ist.