Ob die eigene Abwehr trägt, lässt sich nicht am Konzept ablesen, sondern nur am Versuch, sie zu überwinden. Ein Penetrationstest organisiert genau diesen Versuch unter kontrollierten Bedingungen: Sicherheitsfachleute greifen die Systeme eines Unternehmens in dessen Auftrag an, innerhalb vertraglich festgelegter Grenzen.
Für IT-Verantwortliche zählt der Test zu den aussagekräftigsten Prüfinstrumenten, weil er Annahmen über die eigene Sicherheitslage durch belastbare Nachweise ersetzt.
Was ist ein Penetrationstest?
Ein Penetrationstest, kurz Pentest, ist eine beauftragte Sicherheitsprüfung: Fachleute versuchen mit den Werkzeugen und Methoden realer Angreifer, in Systeme und Anwendungen einzudringen. Beantwortet werden drei Fragen: Welche Schwachstellen existieren, lassen sie sich tatsächlich ausnutzen, und welcher Schaden wäre im Ernstfall zu erwarten? Das Ergebnis sind priorisierte Empfehlungen für die Behebung.
Nach dem Vorwissen der Tester haben sich drei Varianten etabliert. Ein Black-Box-Test beginnt ohne jede Vorinformation und entspricht der Perspektive eines externen Angreifers. Ein Grey-Box-Test arbeitet mit Teilwissen, zum Beispiel einem Benutzerkonto oder einer Netzübersicht. Ein White-Box-Test legt Architektur, Konfigurationen oder Quellcode offen und erreicht damit die größte Prüftiefe.
Auch das Testobjekt variiert: Externe Tests nehmen die aus dem Internet erreichbaren Systeme ins Visier, etwa VPN-Gateways oder Kundenportale. Interne Tests simulieren einen Angreifer, der bereits im Firmennetz Fuß gefasst hat, beispielsweise über einen übernommenen Arbeitsplatzrechner. Prüfungen von Webanwendungen konzentrieren sich auf Authentifizierung, Sitzungsverwaltung, Eingabevalidierung und Geschäftslogik.
Rechtlich unverzichtbar ist ein schriftlicher Auftrag mit der ausdrücklichen Erlaubnis des Systemeigentümers. Fehlt sie, ist das Eindringen in fremde Systeme in Deutschland strafbar. Liegen Systeme bei Cloud- oder Hosting-Anbietern, gelten zusätzlich deren Vorgaben für Sicherheitstests, und betroffene Dritte müssen einbezogen werden.
Ablauf in fünf Phasen
Professionelle Tests folgen einem strukturierten Schema:
- Scoping und Vertrag: Auftraggeber und Tester definieren Ziele, Systeme, Zeitfenster, Prüftiefe und Tabuzonen. Der schriftliche Auftrag regelt Erlaubnis, Haftung, Vertraulichkeit und Notfallkontakte, falls der Test produktive Systeme stört.
- Informationsbeschaffung: Die Tester tragen Wissen über das Ziel zusammen, von öffentlich zugänglichen Quellen bis zur aktiven Erkundung erreichbarer Dienste und Softwareversionen.
- Schwachstellenanalyse: Automatisierte Prüfungen und manuelle Untersuchung greifen ineinander. Bewertet wird, welche Funde sich zu realistischen Angriffspfaden verbinden lassen.
- Ausnutzung: Ausgewählte Schwachstellen werden kontrolliert ausgenutzt, um den tatsächlichen Zugriff zu belegen – einschließlich Rechteausweitung und der Frage, wie weit sich ein Angreifer im Netzwerk bewegen könnte.
- Bericht und Nachbesprechung: Der Abschlussbericht dokumentiert jeden Befund mit Nachweis, Risikobewertung und konkreter Empfehlung, ergänzt um eine Zusammenfassung für das Management. Nach der Behebung bestätigt ein Retest die Wirksamkeit der Maßnahmen.
Warum Penetrationstests wichtig sind
- Sie zeigen, welche Schwachstellen sich praktisch ausnutzen lassen, statt bei theoretischen Fundlisten stehen zu bleiben.
- Sie prüfen im Vorbeigehen, ob Monitoring und Alarmierung einen laufenden Angriff überhaupt registrieren.
- Sie machen Risiken für Geschäftsführung und Budgetplanung konkret, weil Angriffspfade nachvollziehbar beschrieben werden.
- Kunden, Auditoren, Versicherer und Aufsichtsbehörden fordern zunehmend Belege für durchgeführte Sicherheitstests.
- Sie decken Fehlerklassen auf, an denen automatisierte Werkzeuge scheitern, etwa Logikfehler in Anwendungen oder riskante Kombinationen einzelner Schwächen.
Typische Szenarien
- Vor dem Go-live eines Kundenportals klärt ein externer Test samt Webanwendung, ob Login und Datenzugriffe standhalten.
- Ein interner Test beantwortet, wie weit ein Angreifer nach der Übernahme eines einzelnen Arbeitsplatzes vordringen könnte – ein realistisches Ransomware-Szenario.
- Nach einer Firmenübernahme bewertet ein Pentest die geerbte Infrastruktur, bevor die Netze beider Unternehmen zusammengeschaltet werden.
- Wiederkehrende Tests dienen als Wirksamkeitsnachweis in einem Managementsystem für Informationssicherheit.
- Nach einem größeren Release prüft ein erneuter Test der Webanwendung, ob neue Funktionen neue Lücken aufgerissen haben.
Penetrationstest vs. Schwachstellenscan
Ein Schwachstellenscan läuft automatisiert: Er gleicht Systeme mit Datenbanken bekannter Lücken ab, arbeitet häufig und in der Fläche, bewertet aber weder Ausnutzbarkeit noch Kontext. Genau dort setzt der Penetrationstest an: Menschen verketten einzelne Schwächen zu realen Angriffspfaden und belegen deren Auswirkungen. Beides greift ineinander – ein kontinuierliches Schwachstellenmanagement hält die Angriffsfläche dauerhaft klein, der Pentest prüft punktuell in der Tiefe. KI verschiebt auf beiden Feldern das Tempo: Angreifer automatisieren Aufklärung und Exploit-Entwicklung, Tester beschleunigen Analyse und Berichterstellung. Wie weit autonome KI-Systeme in der offensiven Sicherheit inzwischen sind, beleuchtet der Glossareintrag Mythos.
Viele Testberichte benennen am Ende ähnliche Kernprobleme: offene interne Netze und ungebremste laterale Bewegung. Die Umsetzung solcher Befunde übernehmen in der Praxis oft spezialisierte Managed-Service-Provider, etwa indem interne Kommunikationspfade per Zero-Trust-Mikrosegmentierung geschlossen und exponierte Webanwendungen zusätzlich abgeschirmt werden.
Häufige Fragen
In welchem Rhythmus sind Penetrationstests sinnvoll?
Für zentrale Systeme hat sich ein Abstand von zwölf Monaten etabliert, ergänzt um anlassbezogene Tests nach größeren Architekturänderungen, vor dem Go-live neuer Anwendungen oder nach Fusionen. Zwischen den Terminen hält ein laufendes Schwachstellenmanagement das Risiko im Blick. Entscheidender als die Frequenz ist, dass Befunde behoben und im Retest überprüft werden.
Sind Penetrationstests legal?
Ja, sofern sie beauftragt sind. Grundlage ist ein schriftlicher Vertrag, in dem der Eigentümer der Systeme den Test ausdrücklich gestattet und in dem Umfang, Zeitraum und Grenzen festgelegt sind. Ohne diese Erlaubnis machen sich Tester strafbar. Bei Systemen in Cloud- oder Hosting-Umgebungen sind zusätzlich die Testrichtlinien der jeweiligen Anbieter zu beachten.
Wofür stehen Black Box, Grey Box und White Box?
Die Begriffe bezeichnen den Wissensstand der Tester. Black Box heißt Start ohne Vorwissen und bildet die Sicht eines externen Angreifers ab. Grey Box nutzt Teilinformationen wie ein Testkonto und ist in der Praxis am verbreitetsten, weil Aufwand und Erkenntnisgewinn in gutem Verhältnis stehen. White Box legt Architektur und Quellcode offen und erlaubt die tiefste Prüfung.
Kann ein Schwachstellenscan den Penetrationstest ersetzen?
Nein. Der Scan findet automatisiert bekannte Lücken und passt in den laufenden Betrieb. Ob sich ein Fund tatsächlich ausnutzen lässt oder mehrere Schwächen zusammen einen Angriffspfad ergeben, zeigt er nicht. Diese Bewertung liefert erst der Pentest durch menschliche Tester. Bewährt hat sich die Kombination: kontinuierliches Scannen als Basis, Tests als regelmäßige Tiefenprüfung.
Was macht einen guten Pentest-Bericht aus?
Ein brauchbarer Bericht liefert eine Zusammenfassung für das Management, jeden Befund nachvollziehbar mit Nachweis, eine Risikobewertung nach Ausnutzbarkeit und Auswirkung sowie priorisierte, konkrete Empfehlungen zur Behebung. Seriöse Dienstleister dokumentieren außerdem Vorgehen und geprüfte Bereiche, damit erkennbar bleibt, was der Test abgedeckt hat und was außerhalb des Auftrags lag.