IBM i Penetrationstest
Ihre IBM i wird angegriffen wie von einem echten Angreifer – mit Testprofilen, die Sie freigeben. Ein Netzwerk-Scan prüft nur offene Ports. Der Pentest prüft, ob jemand wirklich an Ihre Daten kommt.
IBM i Pentest und Security Assessment (AS400): Wie sicher ist Ihre IBM i wirklich?
Unser Partner Kisco Systems, Spezialist für IBM i Security aus den USA, prüft Ihre IBM i komplett remote. Sie erfahren, welche Lücken ein Angreifer nutzen könnte – und wie Sie sie schließen.
Das Wichtigste in Kürze
Die Wilsch IT-Services GmbH bietet zusammen mit Kisco Systems zwei Sicherheitsprüfungen für IBM i an – früher AS400 oder iSeries genannt. Kisco führt die Prüfungen komplett remote durch, ab IBM i 7.1. Der IBM i Penetrationstest zeigt, ob jemand über SQL, FTP, SSH, Netzlaufwerke oder 5250 an Ihre Daten kommen könnte. Auf Ihre Daten greift Kisco dabei nie zu. Das IBM i Security Assessment prüft die gesamte Sicherheitskonfiguration nach den CIS Benchmarks für IBM i, auf allen LPARs. Sie erhalten die Befunde nach Risiko geordnet, mit Nachweis und konkreten Empfehlungen. Den Bericht erstellt Kisco auf Englisch. Wir empfehlen eine Prüfung einmal im Jahr.
Ihr Ansprechpartner sind wir – vom ersten Gespräch bis zur Besprechung der Ergebnisse auf Deutsch. Wir betreuen IBM i seit 1994 und helfen Ihnen danach, die Lücken zu schließen und Ihr System im Blick zu behalten.
Stand: November 2026
Sicher gebaut. Oft unsicher eingestellt.
IBM i lässt sich so gut absichern wie kaum ein anderes System. Neue Releases wie 7.6 bringen Mehrfaktor-Anmeldung, komplexe Passwörter und Verschlüsselung mit. Viele Systeme nutzen das aber nicht.
Laut Kisco Systems steuern fast 50 Einstellungen die Kernsicherheit von IBM i. Oft stammen sie aus einer Zeit, in der Menüsicherheit genügte – oder von Kollegen, die längst nicht mehr im Haus sind. Im April 2025 sagte der IBM-i-Chefarchitekt von IBM: Das System wurde in den letzten fünf Jahren häufiger angegriffen als in seiner ganzen Geschichte davor (Webinar „IBM i Security: A Dual Responsibility“, englisch).
Die gute Nachricht: Die typischen Schwachstellen sind bekannt. Kisco sucht gezielt danach.
Typische Altlasten auf IBM i
- Benutzerprofile mit Standardpasswort oder zu vielen Rechten
- Passwörter mit nur 8 Zeichen
- Unverschlüsselte Verbindungen über 5250, Telnet und FTP
- Offener Zugriff auf die Datenbank über ODBC und SQL
- Netzlaufwerke mit Schreibrechten auf das Root-Verzeichnis
- Menüsicherheit, die Netzwerkdienste gar nicht erfasst
Zwei Prüfungen, ein vollständiges Bild
Der Pentest zeigt, was ein Angreifer tatsächlich erreicht. Das Assessment zeigt jede Einstellung, die ihm den Weg öffnet.
IBM i Security Assessment
Sie erhalten einen vollständigen Prüfbericht zur Sicherheitskonfiguration Ihrer IBM i, über alle LPARs in einem Bericht. Grundlage sind die CIS Benchmarks für IBM i.
IBM i Penetrationstest (AS400): Der Test geht ins Haus
Ein Netzwerk-Scan klopft an die Tür. Der IBM i Pentest prüft, ob sie aufgeht – und ob dahinter ein offener Tresor steht. Sie erhalten jede ausnutzbare Lücke nach Risiko geordnet, mit Nachweis und Anleitung zur Behebung.
Risiko: Kritisch
- Netzwerkfreigabe /root mit Lese- und Schreibrechten
- NetServer-Gastprofil
- Mächtige Profile mit Standardpasswort über SQL, FTP oder SSH
- Zugang über den alten Heritage Navigator
- Nicht mehr unterstützte Software wie iSeries Access für Windows
Risiko: Hoch
- Unverschlüsselter Zugang über 5250, Telnet und IBM i Navigator
- Jobbeschreibungen mit mächtigem Profil (Sicherheitsstufe 30 oder niedriger)
- Lesezugriff oder Befehle per SQL ohne Administratorrechte
- Datenübertragung, FTP und SSH mit normalen Benutzern
- Rechteausweitung über *PUBLIC, DDM oder ADDSVRAUTE
Risiko: Mittel und niedrig
- Zugriff auf das IFS über Navigator und ACS
- Geänderte Befehle trotz eingeschränkter Benutzer
- Netzlaufwerke mit Lese- oder Schreibrechten verbinden
- Angriffe über den 5250-Anmeldebildschirm
So läuft der Pentest ab
-
Daten sammeln
Ein Werkzeug sammelt die Konfiguration Ihres Systems.
-
Umfang festlegen
Im Scope-Termin legen Sie mit Kisco Benutzerrollen und Testprofile fest.
-
Testumgebung bereitstellen
Sie richten einen virtuellen PC und die Testprofile ein.
-
Testen
Kisco führt das Testprotokoll komplett remote aus. Rechnen Sie mit etwa einem Tag pro LPAR.
-
Bewerten
Kisco bewertet jedes Risiko und ordnet die Ergebnisse nach Schwere.
-
Ergebnisse besprechen
Sie erhalten Befunde, Nachweise und Empfehlungen in einem englischen Bericht. Wir besprechen ihn mit Ihnen auf Deutsch.
IBM i Security Assessment: jede Einstellung geprüft
Sie sehen die gesamte Sicherheitskonfiguration Ihrer IBM i, über alle LPARs in einem Bericht. Die Daten werden automatisch mit SQL-Funktionen von IBM i gesammelt. Grundlage sind die CIS Benchmarks für IBM i.
Experten von Kisco werten die Daten aus. Sie erfahren, welche Einstellung ein Risiko ist und wie Sie sie ändern.
- Sicherheits-Systemwerte
- Stand der Gruppen-PTFs
- Privilegierte und alle übrigen Benutzer
- Eigentümer und Berechtigungen von Benutzerprofilen
- Datenbank- und Audit-Journale
- Jobbeschreibungen
- Befehlssicherheit
- Programme mit übernommener Berechtigung (Adopt Authority)
- Gefährdete Daten
- Bibliothekslisten und Berechtigungslisten
- IFS: NetServer-Freigaben und Berechtigungen
- Verbindungssicherheit
- Funktionsnutzung (Function Usage)
- Exit-Point-Konfiguration
Bei Bedarf tiefer prüfen
Diese Zusatzprüfungen buchen Sie zum Pentest oder Assessment dazu.
CVE- und PTF-Analyse
Kisco stellt die IBM-i-Sicherheitslücken (CVEs) der letzten 12 Monate zusammen und prüft, ob die passenden PTFs auf Ihrem System sind.
Compliance-Abgleich
Die Ergebnisse werden Standards wie NIS2, PCI DSS und ISO 27001 zugeordnet.
Audit-Journal (QAUDJRN)
Kisco prüft im Audit-Journal, ob gefundene Lücken schon ausgenutzt wurden.
Exit-Points und ACS
Kisco prüft Exit-Programme für FTP, ODBC und REXEC, Ihre ACS-Konfiguration und den SQL-Zugriff über ACS.
Web und Open Source
Kisco prüft WebSphere, J2EE-Anwendungen, IBM HTTP Server, Integrated Web Services, APIs und Open-Source-Anwendungen auf IBM i.
Objektintegrität
Kisco führt CHKOBJITG aus und dokumentiert das Ergebnis. Der Befehl belastet die CPU stark, deshalb wird er mit Ihnen geplant.
Verschlüsselung und Zugriffe sichtbar machen
Zwei Audits zeigen, was wirklich über Ihre Schnittstellen läuft – auf Basis echter Protokolldaten.
TLS-Scan
IBM i nimmt jede Verbindung an, die eine Standard-Verschlüsselung aushandelt – auch veraltete. Kisco wertet 2 Wochen Audit-Journal aus. Sie sehen, welche Verbindungen unverschlüsselt laufen und welche Anwendungen alte TLS-Versionen oder Cipher nutzen.
Audit der Netzwerkzugriffe
3 Wochen lang protokolliert die Exit-Point-Software Kisco SafeNet (Testlizenz) jeden Zugriff über SQL, FTP, IFS, Telnet und weitere Schnittstellen. Sie erfahren, wer von welcher IP-Adresse auf welche Daten zugreift.
Ihr Weg zur sicheren IBM i
Eine Prüfung ist der Anfang. Danach geht es darum, sicher zu werden und sicher zu bleiben.
-
Erkennen
Pentest und Security Assessment zeigen, wo Ihre IBM i heute steht. Daraus entsteht Ihr Fahrplan.
-
Beheben
Sie schließen die Lücken nach Priorität. Wir unterstützen Sie bei der Umsetzung.
-
Betreiben
Monitoring und Audit sorgen dafür, dass Ihr System sicher bleibt. Updates und PTFs halten es aktuell.
Selbst prüfen: Ratgeber AS400 Sicherheit prüfen (Checkliste) · Passend dazu: IBM i Monitoring · IBM i Managed Services · IBM Power Wartung
Unser Partner: Kisco Systems
Kisco Systems aus den USA ist auf Sicherheit für IBM i spezialisiert. Im Team arbeiten IBM Champions, zertifizierte Sicherheitsexperten (CISSP) und Autoren von Fachbüchern zur IBM-i-Sicherheit. Kisco entwickelt zudem eigene Software für Audit, Monitoring und Datenschutz auf IBM i.
Für Sie heißt das: Die Prüfung machen Spezialisten für IBM i. Ihr Ansprechpartner sind wir – auf Deutsch und mit Erfahrung mit IBM i seit 1994.
Häufige Fragen zu IBM i Security
Gibt es den Pentest auch für AS400 oder iSeries?
Ja. AS400, AS/400, iSeries und System i sind frühere Namen von IBM i. Pentest und Security Assessment sind ab IBM i 7.1 möglich.
Was ist ein IBM i Penetrationstest?
Ein IBM i Penetrationstest ist ein kontrollierter Angriff auf Ihre IBM i (AS400). Die Spezialisten von Kisco prüfen mit freigegebenen Testprofilen, ob jemand über SQL, FTP, SSH, Netzlaufwerke, 5250 und weitere Wege an Ihre Daten kommen könnte. Sie erhalten eine nach Risiko geordnete Liste der Lücken, mit Nachweis und Empfehlung zur Behebung.
Reicht nicht der Pentest unseres Netzwerk-Dienstleisters?
Ein Netzwerk-Pentest findet offene Ports und unsichere Dienste. Ob ein Benutzer über diese Dienste an Ihre Daten kommt, prüft er auf IBM i meist nicht. Genau das testet der IBM i Pentest.
Was ist der Unterschied zwischen Pentest und Security Assessment?
Der Pentest zeigt, welche Lücken sich tatsächlich ausnutzen lassen. Das Security Assessment prüft die gesamte Sicherheitskonfiguration von IBM i nach den CIS Benchmarks, auf allen LPARs. Beides zusammen gibt Ihnen das vollständige Bild.
Was sind die CIS Benchmarks für IBM i?
Die CIS Benchmarks sind Empfehlungen des Center for Internet Security (CIS) für die sichere Konfiguration von Systemen. Für IBM i beschreiben sie, wie Systemwerte, Benutzerprofile und Berechtigungen eingestellt sein sollten. Das Security Assessment gleicht Ihr System damit ab.
Was müssen wir für den Pentest vorbereiten?
Sie stellen einen virtuellen PC bereit und legen die Testprofile an, die im Scope-Termin festgelegt werden. Den Rest übernimmt Kisco – komplett remote.
Wie lange dauert ein IBM i Pentest?
Die Testphase dauert etwa einen Tag pro LPAR. Dazu kommen Datensammlung, Scope-Termin und Auswertung. Die Gesamtdauer hängt von Ihrem System ab. Wir nennen sie Ihnen im Vorschlag.
Stört die Prüfung unseren laufenden Betrieb?
Das Security Assessment sammelt die Daten automatisch mit SQL-Funktionen von IBM i. Den Pentest führt Kisco mit Testprofilen aus, die Sie anlegen. Rechenintensive Prüfungen wie die Objektintegrität werden mit Ihnen geplant.
Sieht Kisco bei der Prüfung unsere Daten?
Nein. Kisco greift während des Tests niemals auf Ihre Daten zu. Geprüft wird, ob ein Zugriff möglich wäre.
Muss jemand zu uns vor Ort kommen?
Nein. Pentest und Security Assessment laufen komplett remote.
In welcher Sprache erhalte ich den Bericht?
Den Bericht erstellt Kisco Systems auf Englisch. Wir besprechen die Ergebnisse mit Ihnen auf Deutsch.
Hilft die Prüfung bei NIS2, Audits und Compliance?
Ja. Sie erhalten eine vollständige Dokumentation mit Nachweisen. Das unterstützt Sie bei den Anforderungen von NIS2. Auf Wunsch werden die Ergebnisse Standards wie PCI DSS und ISO 27001 zugeordnet.
Kann ich die Sicherheit meiner AS400 vorab selbst prüfen?
Die Grundeinstellungen ja. Unsere Checkliste nennt 11 Prüfpunkte mit Befehlen und SQL-Abfragen. Ob sich eine Lücke ausnutzen lässt, zeigt aber erst der Pentest.
Mehr dazu: Ratgeber AS400 Sicherheit prüfen
Wie oft sollten wir unsere IBM i prüfen lassen?
Wir empfehlen eine Prüfung einmal im Jahr. So sehen Sie, ob neue Lücken entstanden sind, zum Beispiel durch neue Benutzer, Freigaben oder Releases.
Was kostet ein IBM i Pentest oder Security Assessment?
Das hängt von der Zahl Ihrer LPARs und den gewünschten Zusatzprüfungen ab. Nennen Sie uns beides, dann erhalten Sie einen Vorschlag für den Umfang.
Wer steckt hinter der Prüfung?
Die Prüfungen führt Kisco Systems durch, ein US-Spezialist für IBM i Security. Die Wilsch IT-Services GmbH ist Ihr Ansprechpartner – vom ersten Gespräch bis zur Besprechung der Ergebnisse auf Deutsch.
Wer ist Kisco Systems?
Kisco Systems aus den USA ist auf Sicherheit für IBM i spezialisiert. Kisco entwickelt Sicherheitssoftware für IBM i, zum Beispiel die Exit-Point-Software SafeNet. Im Team arbeiten IBM Champions und Autoren von Fachbüchern zur IBM-i-Sicherheit.
Sicherheitsprüfung für Ihre IBM i anfragen
Sagen Sie uns, wie viele LPARs Sie betreiben und was Sie prüfen lassen möchten. Wir melden uns mit einem Vorschlag für den Umfang – unverbindlich und kostenfrei.