Schwachstellen in IT-Systemen bleiben häufig so lange unbemerkt, bis sie tatsächlich ausgenutzt werden. Ein Penetrationstest soll genau das verhindern. Sicherheitsexperten nehmen dabei kontrolliert die Perspektive eines Angreifers ein und prüfen, ob vorhandene Sicherheitslücken tatsächlich genutzt werden können, um beispielsweise auf Systeme, Benutzerkonten oder sensible Daten zuzugreifen.Wie relevant regelmäßige Sicherheitsprüfungen inzwischen sind, zeigt die aktuelle Bedrohungslage: Laut der Bitkom-Studie „Wirtschaftsschutz 2025“ waren 87 Prozent der befragten Unternehmen innerhalb der vergangenen zwölf Monate von Datendiebstahl, Spionage oder Sabotage betroffen. Der dadurch entstandene wirtschaftliche Schaden wird auf rund 289 Milliarden Euro beziffert. Umso wichtiger ist es für Unternehmen, potenzielle Schwachstellen frühzeitig zu erkennen und reale Angriffsmöglichkeiten gezielt zu überprüfen.
Doch wie läuft ein Penetrationstest ab und was passiert während der einzelnen Phasen? Ein professioneller Pentest beginnt bereits lange vor dem ersten Angriffsversuch. Zunächst werden Ziele und Testumfang festgelegt. Anschließend untersuchen die Pentester die Angriffsfläche, identifizieren Schwachstellen und versuchen, ausgewählte Sicherheitslücken kontrolliert auszunutzen. Die Ergebnisse werden dokumentiert, nach ihrem Risiko bewertet und anschließend mit dem Unternehmen besprochen.
In diesem Beitrag erfahren Sie Schritt für Schritt, wie der Ablauf eines Penetrationstests aussieht, welche Phasen besonders wichtig sind und was Unternehmen vor, während und nach einem Pentest beachten sollten.
Was ist ein Penetrationstest?
Ein Penetrationstest – kurz Pentest – ist eine gezielte Sicherheitsprüfung von IT-Systemen, Anwendungen oder Netzwerken. Dabei suchen Sicherheitsexperten nicht nur nach möglichen Schwachstellen, sondern prüfen innerhalb eines vorher festgelegten Rahmens auch, ob und wie diese ausgenutzt werden können.
Das unterscheidet einen Pentest von einer rein theoretischen Sicherheitsbewertung. Die Tester betrachten die IT-Infrastruktur aus der Perspektive eines potenziellen Angreifers und versuchen herauszufinden, welche Angriffsmöglichkeiten in der Praxis bestehen.
Je nach Auftrag können beispielsweise folgende Bereiche geprüft werden:
- Webanwendungen und Kundenportale
- interne oder externe Netzwerke
- Server und öffentlich erreichbare Systeme
- APIs und Schnittstellen
- Cloud-Infrastrukturen
- WLAN-Netzwerke
- mobile Anwendungen
Welche Systeme tatsächlich untersucht werden, wird vor Beginn des Penetrationstests im sogenannten Scope festgelegt. Dadurch ist eindeutig definiert, welche Bereiche geprüft werden dürfen und wo die Grenzen des Tests liegen.
Das Ziel besteht nicht darin, den Geschäftsbetrieb zu stören oder Schäden zu verursachen. Ein professioneller Pentest erfolgt kontrolliert und mit ausdrücklicher Genehmigung des Unternehmens. Dadurch können reale Angriffsmöglichkeiten untersucht werden, bevor Cyberkriminelle sie entdecken und ausnutzen.
Welches Ziel verfolgt ein Penetrationstest?
Ein Penetrationstest soll Unternehmen zeigen, welche Schwachstellen tatsächlich ein relevantes Sicherheitsrisiko darstellen. Denn nicht jede technische Schwachstelle hat automatisch dieselben Auswirkungen.
Entscheidend ist beispielsweise, ob eine Sicherheitslücke von außen erreichbar ist, welche Berechtigungen ein Angreifer dadurch erhalten könnte und welche Systeme oder Daten anschließend zugänglich wären.
Ein Pentester untersucht daher unter anderem, ob Angreifer:
- unberechtigten Zugriff auf Systeme erhalten können,
- Benutzerkonten oder Berechtigungen übernehmen können,
- sensible Unternehmens- oder Kundendaten erreichen,
- Sicherheitsmechanismen umgehen,
- ihre Zugriffsrechte erweitern oder
- über ein kompromittiertes System weitere Bereiche des Netzwerks erreichen können.
Besonders relevant ist dabei die Kombination verschiedener Schwachstellen. Eine einzelne Sicherheitslücke kann zunächst wenig kritisch erscheinen. Zusammen mit einer Fehlkonfiguration oder unzureichenden Zugriffskontrolle kann daraus jedoch ein ernsthafter Angriffspfad entstehen.
Am Ende des Tests sollte deshalb nicht einfach eine möglichst lange Liste technischer Probleme stehen. Unternehmen benötigen vielmehr eine klare Bewertung der tatsächlichen Risiken und eine Priorisierung der notwendigen Maßnahmen. Kritische Schwachstellen können dadurch zuerst behoben werden, während weniger relevante Findings anschließend bearbeitet werden.
Penetrationstest oder Schwachstellenscan – was ist der Unterschied?
Penetrationstests und Schwachstellenscans werden häufig miteinander verwechselt. Beide Verfahren können Sicherheitslücken aufdecken, verfolgen jedoch unterschiedliche Ansätze.
Ein Schwachstellenscan wird weitgehend automatisiert durchgeführt. Spezielle Tools untersuchen Systeme beispielsweise auf bekannte Sicherheitslücken, veraltete Softwareversionen, offene Dienste oder bestimmte Fehlkonfigurationen. Dadurch lassen sich innerhalb kurzer Zeit viele Systeme überprüfen.
Ein Penetrationstest geht deutlich weiter. Automatisierte Tools können zwar ebenfalls zum Einsatz kommen, die Ergebnisse werden jedoch durch erfahrene Sicherheitsexperten analysiert und durch manuelle Prüfungen ergänzt. Die Tester untersuchen beispielsweise, ob eine erkannte Schwachstelle tatsächlich ausnutzbar ist und welche Folgen daraus entstehen könnten.
Ein einfaches Beispiel verdeutlicht den Unterschied:
Ein Schwachstellenscanner erkennt eine potenziell unsichere Konfiguration eines Servers und meldet diese als Finding. Ein Pentester untersucht anschließend, ob sich daraus tatsächlich ein Zugriff auf das System herstellen lässt und ob sich von dort aus weitere Systeme oder Daten erreichen lassen.
Der entscheidende Unterschied liegt deshalb in der Tiefe der Prüfung:
| Schwachstellenscan | Penetrationstest |
| überwiegend automatisiert | automatisierte und manuelle Prüfung |
| erkennt potenzielle Schwachstellen | untersucht reale Ausnutzbarkeit |
| eignet sich für regelmäßige Prüfungen | simuliert gezielte Angriffsszenarien |
| liefert technische Findings | bewertet zusätzlich Auswirkungen und Risiken |
| vergleichsweise geringe Testtiefe | deutlich höhere Testtiefe |
Ein Schwachstellenscan ist deshalb kein Ersatz für einen Penetrationstest. Beide Verfahren können sich vielmehr ergänzen: Regelmäßige Scans helfen dabei, bekannte Schwachstellen frühzeitig zu erkennen, während Penetrationstests tiefer untersuchen, welche realen Angriffsmöglichkeiten innerhalb einer bestimmten Umgebung bestehen.
Wie läuft ein Penetrationstest ab?
Ein professioneller Penetrationstest folgt einem strukturierten Ablauf. Zwar kann sich das genaue Vorgehen je nach Unternehmen, IT-Umgebung und Zielsetzung unterscheiden, die grundlegenden Phasen sind jedoch vergleichbar. Entscheidend ist, dass nicht direkt mit Angriffen auf Systeme begonnen wird. Zunächst müssen klare Rahmenbedingungen geschaffen und die zu prüfenden Bereiche definiert werden.
Anschließend arbeiten sich die Pentester schrittweise von der Informationsbeschaffung über die Schwachstellenanalyse bis zur kontrollierten Ausnutzung ausgewählter Sicherheitslücken vor. Dadurch lässt sich nicht nur feststellen, welche Schwachstellen vorhanden sind, sondern welche realen Angriffsmöglichkeiten daraus entstehen.
Ein typischer Penetrationstest lässt sich in sieben wesentliche Phasen unterteilen:
- Vorbereitung und Scope-Definition
- Informationsbeschaffung und Reconnaissance
- Schwachstellenanalyse
- kontrollierte Ausnutzung von Schwachstellen
- Untersuchung möglicher Auswirkungen und Angriffspfade
- Dokumentation und Bewertung der Ergebnisse
- Behebung und Retest
Wie umfangreich die einzelnen Phasen ausfallen, hängt insbesondere vom vereinbarten Scope und der Komplexität der untersuchten Umgebung ab.
Phase 1 – Vorbereitung, Ziele und Scope festlegen
Bevor die technische Prüfung beginnt, müssen Auftraggeber und Pentest-Anbieter genau festlegen, was getestet werden soll und unter welchen Bedingungen der Test stattfindet. Diese Vorbereitung ist entscheidend für die Aussagekraft des späteren Ergebnisses.
Zu Beginn wird deshalb die Zielsetzung geklärt. Ein Unternehmen kann beispielsweise wissen wollen, ob seine öffentlich erreichbare Infrastruktur ausreichend geschützt ist. Bei einer neuen Webanwendung kann dagegen im Mittelpunkt stehen, ob Benutzer auf Daten anderer Kunden zugreifen oder vorhandene Berechtigungen umgehen können.
Anschließend wird der Scope des Penetrationstests definiert. Er beschreibt, welche Systeme, Anwendungen, IP-Adressen, Domains oder Schnittstellen Teil der Prüfung sind.
Typische Punkte, die vor dem Test festgelegt werden, sind:
- zu prüfende Systeme und Anwendungen
- Ziel und gewünschte Testtiefe
- erlaubte und ausgeschlossene Angriffsmethoden
- Testzeitraum
- notwendige Benutzer- oder Testkonten
- verantwortliche Ansprechpartner
- Vorgehen bei kritischen Findings
- Systeme, die ausdrücklich nicht getestet werden dürfen
Gerade bei produktiven Systemen sind klare Grenzen wichtig. Bestimmte Methoden könnten beispielsweise die Verfügbarkeit eines Systems beeinflussen und werden daher häufig ausgeschlossen oder nur nach ausdrücklicher Abstimmung eingesetzt.
Zusätzlich werden sogenannte Rules of Engagement vereinbart. Sie legen die Spielregeln des Penetrationstests fest. Dazu gehört beispielsweise, wann getestet werden darf, welche Systeme einbezogen werden und wie reagiert wird, wenn während der Prüfung eine unmittelbar kritische Sicherheitslücke entdeckt wird.
Ein sauber definierter Scope verhindert dabei zwei Probleme: Ist der Testumfang zu klein, können relevante Angriffspfade unentdeckt bleiben. Ist er unnötig groß, steigen Aufwand und Kosten, ohne dass daraus zwangsläufig zusätzlicher Sicherheitsgewinn entsteht.
Die erste Phase schafft damit die Grundlage für den gesamten weiteren Penetrationstest-Ablauf.
Phase 2 – Informationsbeschaffung und Reconnaissance
Nachdem Ziele und Scope feststehen, beginnt die eigentliche technische Untersuchung. In der Reconnaissance-Phase sammeln die Pentester Informationen über die zu prüfende Umgebung.
Das Vorgehen ähnelt dabei der Vorbereitung eines realen Cyberangriffs. Bevor Angreifer versuchen, in ein System einzudringen, verschaffen sie sich zunächst einen Überblick über mögliche Ziele und Angriffspunkte.
Je nach Art des Penetrationstests können unter anderem folgende Informationen relevant sein:
- öffentlich erreichbare IP-Adressen
- Domains und Subdomains
- erreichbare Server und Dienste
- verwendete Technologien
- Webanwendungen und Schnittstellen
- öffentlich verfügbare Informationen über die Infrastruktur
Ein Teil dieser Informationen lässt sich über Open Source Intelligence (OSINT) gewinnen. Dabei werden ausschließlich Informationen ausgewertet, die öffentlich zugänglich sind. Schon daraus können sich Hinweise auf mögliche Angriffsflächen ergeben.
Zusätzlich untersuchen Pentester die im Scope befindlichen Systeme technisch. Dabei wird beispielsweise geprüft, welche Netzwerkdienste erreichbar sind und welche Technologien eine Anwendung verwendet.
Das Ziel dieser Phase ist noch nicht, Schwachstellen aktiv auszunutzen. Stattdessen entsteht zunächst eine möglichst genaue Übersicht über die vorhandene Angriffsfläche.
Das ist wichtig, weil Unternehmen ihre eigene externe Angriffsfläche nicht immer vollständig kennen. Alte Subdomains, vergessene Testsysteme oder nicht mehr benötigte Dienste können weiterhin aus dem Internet erreichbar sein und dadurch zusätzliche Angriffsmöglichkeiten schaffen.
Am Ende der Reconnaissance-Phase wissen die Pentester wesentlich genauer, welche Systeme vorhanden sind, wie sie miteinander zusammenhängen und an welchen Stellen eine tiefergehende Sicherheitsprüfung sinnvoll ist.
Phase 3 – Schwachstellen identifizieren und analysieren
Nachdem die Angriffsfläche bekannt ist, beginnt die gezielte Suche nach Schwachstellen. Dabei prüfen die Pentester die zuvor identifizierten Systeme, Anwendungen und Dienste auf Sicherheitsprobleme, die einem Angreifer einen Einstieg ermöglichen könnten.
Zum Einsatz kommt meist eine Kombination aus automatisierten Werkzeugen und manuellen Prüfungen. Scanner können bekannte Schwachstellen, offene Dienste oder veraltete Softwareversionen schnell erkennen. Sie liefern jedoch nicht immer ein vollständiges Bild. Deshalb überprüfen erfahrene Pentester die Ergebnisse und suchen zusätzlich nach Sicherheitsproblemen, die automatisierte Tools nur schwer erkennen können.
Dazu gehören beispielsweise:
- fehlerhafte Zugriffs- und Berechtigungskonzepte,
- unsichere Authentifizierungsmechanismen,
- Fehlkonfigurationen,
- unzureichend geschützte Schnittstellen,
- bekannte Schwachstellen in eingesetzter Software,
- Fehler innerhalb der Anwendungslogik.
Bei Webanwendungen spielen zudem typische Risiken wie fehlerhafte Zugriffskontrollen, unsichere Eingabeverarbeitung oder Schwachstellen in der Benutzerverwaltung eine wichtige Rolle.
Entscheidend ist, dass nicht jedes automatisch erkannte Problem ungeprüft in den späteren Bericht übernommen wird. Pentester bewerten, ob ein Finding tatsächlich relevant ist und unter welchen Voraussetzungen es ausgenutzt werden könnte.
Dadurch unterscheidet sich ein professioneller Penetrationstest deutlich von einem reinen automatisierten Scan.
Phase 4 – Schwachstellen kontrolliert ausnutzen
In der nächsten Phase versuchen die Pentester, ausgewählte Schwachstellen kontrolliert auszunutzen. Dieser Schritt wird als Exploitation bezeichnet und gehört zu den wichtigsten Bestandteilen eines Penetrationstests.
Dabei geht es nicht darum, möglichst großen Zugriff auf die Systeme zu erhalten. Vielmehr soll nachgewiesen werden, ob eine identifizierte Sicherheitslücke tatsächlich ausgenutzt werden kann und welche Folgen daraus entstehen könnten.
Je nach Schwachstelle kann beispielsweise geprüft werden, ob sich:
- ein Benutzerkonto übernehmen lässt,
- eine Zugriffsbeschränkung umgehen lässt,
- auf geschützte Informationen zugreifen lässt,
- eine Anwendung manipulieren lässt oder
- ein höheres Berechtigungsniveau erreichen lässt.
Die Tests erfolgen innerhalb der zuvor vereinbarten Grenzen. Sobald ausreichend nachgewiesen wurde, dass eine Schwachstelle ausnutzbar ist, muss ein Angriff nicht unnötig weitergeführt werden.
Ein Beispiel: Eine Anwendung weist einen Fehler in der Zugriffskontrolle auf. Der Pentester stellt fest, dass ein normaler Benutzer durch Manipulation einer Anfrage auf Informationen eines anderen Benutzerkontos zugreifen kann. Für den Sicherheitsnachweis reicht es in vielen Fällen aus, diesen Zugriff kontrolliert zu demonstrieren. Es ist nicht notwendig, große Mengen fremder Daten abzurufen.
Genau hier entsteht ein wesentlicher Mehrwert des Penetrationstests. Aus der theoretischen Aussage „Hier könnte eine Schwachstelle vorhanden sein“ wird ein konkreter Nachweis darüber, ob und unter welchen Bedingungen ein tatsächlicher Angriff möglich wäre.
Phase 5 – Auswirkungen und Angriffspfade untersuchen
Eine erfolgreich ausgenutzte Schwachstelle ist nicht zwangsläufig das Ende eines Angriffs. In realen Angriffsszenarien versuchen Cyberkriminelle häufig, einen ersten Zugang zu nutzen, um weitere Systeme zu erreichen oder zusätzliche Berechtigungen zu erhalten.
Deshalb untersuchen Pentester – sofern es der vereinbarte Scope erlaubt – auch, welche weiteren Möglichkeiten sich aus einer erfolgreichen Kompromittierung ergeben könnten.
Dabei können beispielsweise folgende Fragen relevant sein:
- Lassen sich höhere Benutzerrechte erlangen?
- Sind weitere Systeme vom kompromittierten System aus erreichbar?
- Können zusätzliche Benutzerkonten angegriffen werden?
- Sind sensible Daten zugänglich?
- Können mehrere Schwachstellen miteinander kombiniert werden?
- Wie weit könnte sich ein Angreifer innerhalb der Umgebung bewegen?
Gerade die Kombination mehrerer Schwachstellen kann das tatsächliche Risiko erheblich erhöhen. Ein einzelnes Finding mit mittlerer Kritikalität wirkt möglicherweise zunächst überschaubar. Ermöglicht es jedoch zusammen mit einer zweiten Fehlkonfiguration den Zugriff auf ein besonders kritisches System, verändert sich die Risikobewertung deutlich.
Diese möglichen Wege werden häufig als Angriffspfade bezeichnet.
Für Unternehmen sind solche Erkenntnisse besonders wertvoll. Eine reine Liste technischer Schwachstellen zeigt lediglich, wo Sicherheitsprobleme bestehen. Die Analyse eines Angriffspfades zeigt dagegen, was ein Angreifer mit diesen Schwachstellen tatsächlich erreichen könnte.
Auch diese Phase findet kontrolliert statt. Der Pentester muss nicht jeden theoretisch möglichen Angriff bis zum maximalen Schaden durchführen. Sobald die möglichen Auswirkungen ausreichend nachgewiesen und dokumentiert wurden, kann der Test an dieser Stelle beendet werden.
Damit liefert der Penetrationstest eine realistischere Einschätzung des Risikos, ohne unnötige Gefahren für produktive Systeme und Daten zu erzeugen.
Phase 6 – Ergebnisse dokumentieren und bewerten
Nach Abschluss der technischen Prüfung werden die Ergebnisse ausgewertet und in einem Penetrationstest-Berichtdokumentiert. Dieser Bericht gehört zu den wichtigsten Ergebnissen des gesamten Pentests, denn die gefundenen Schwachstellen sind für ein Unternehmen nur dann hilfreich, wenn daraus konkrete Maßnahmen abgeleitet werden können.
Ein professioneller Bericht sollte deshalb nicht nur aufzählen, welche Sicherheitslücken entdeckt wurden. Er sollte verständlich darstellen, welches Risiko von einer Schwachstelle ausgeht, wie sie ausgenutzt werden konnte und welche Maßnahmen zur Behebung empfohlen werden.
Typischerweise enthält der Bericht:
- eine Zusammenfassung der wichtigsten Ergebnisse,
- die gefundenen Schwachstellen,
- eine Bewertung der jeweiligen Risiken,
- eine Beschreibung der möglichen Auswirkungen,
- technische Nachweise der Findings,
- betroffene Systeme oder Anwendungen,
- konkrete Empfehlungen zur Behebung.
Die Ergebnisse werden in der Regel nach ihrer Kritikalität priorisiert. Dadurch können Unternehmen schnell erkennen, welche Probleme zuerst behandelt werden müssen.
Besonders wichtig ist die unterschiedliche Aufbereitung für die jeweiligen Zielgruppen. Die Geschäftsführung benötigt in erster Linie eine verständliche Einschätzung der Gesamtrisiken und der möglichen geschäftlichen Auswirkungen. Administratoren, Entwickler und IT-Sicherheitsverantwortliche benötigen dagegen technische Details, um die Schwachstellen nachvollziehen und beheben zu können.
Der Bericht bildet damit die Verbindung zwischen dem eigentlichen Penetrationstest und den anschließenden Verbesserungsmaßnahmen.
Phase 7 – Schwachstellen beheben und Retest durchführen
Mit der Übergabe des Berichts sollte ein Penetrationstest nicht enden. Der eigentliche Sicherheitsgewinn entsteht erst, wenn die gefundenen Schwachstellen systematisch behoben werden.
Dabei sollten Unternehmen nicht versuchen, sämtliche Findings gleichzeitig zu bearbeiten. Sinnvoller ist eine Priorisierung anhand des tatsächlichen Risikos. Kritische und leicht ausnutzbare Schwachstellen mit großen möglichen Auswirkungen sollten entsprechend schneller behandelt werden als Probleme mit geringem Risiko.
Je nach Finding können unterschiedliche Maßnahmen erforderlich sein. Dazu gehören beispielsweise:
- Installation von Sicherheitsupdates,
- Anpassung von Konfigurationen,
- Überarbeitung von Zugriffsrechten,
- Verbesserung der Authentifizierung,
- Änderungen am Quellcode einer Anwendung,
- Absicherung von Schnittstellen oder Netzwerkdiensten.
Nach der Umsetzung wichtiger Maßnahmen empfiehlt sich ein Retest. Dabei überprüfen die Pentester gezielt, ob die zuvor identifizierten Schwachstellen tatsächlich geschlossen wurden.
Das ist wichtig, weil eine umgesetzte Änderung nicht automatisch bedeutet, dass das Sicherheitsproblem vollständig beseitigt ist. Eine Schwachstelle kann beispielsweise nur teilweise behoben worden sein oder eine Anpassung kann neue Angriffsmöglichkeiten geschaffen haben.
Der Retest liefert deshalb den abschließenden Nachweis, ob die Maßnahmen erfolgreich waren.
Damit ergibt sich ein vollständiger Sicherheitsprozess:
Schwachstellen erkennen → Risiken bewerten → Maßnahmen priorisieren → Schwachstellen beheben → Behebung überprüfen.
Erst wenn dieser Kreislauf abgeschlossen ist, entfaltet ein Penetrationstest seinen vollen Nutzen.
Penetrationstest-Ablauf auf einen Blick
Der genaue Ablauf eines Penetrationstests hängt vom jeweiligen Testziel und der untersuchten IT-Umgebung ab. Die grundlegenden Schritte lassen sich jedoch in sieben Phasen zusammenfassen:
| Phase | Was passiert? | Ergebnis |
| 1. Vorbereitung | Ziele, Systeme, Testumfang und Regeln werden festgelegt. | Klar definierter Scope |
| 2. Informationsbeschaffung | Informationen über Systeme und mögliche Angriffsflächen werden gesammelt. | Übersicht der Angriffsfläche |
| 3. Schwachstellenanalyse | Systeme werden automatisiert und manuell auf Sicherheitsprobleme untersucht. | Identifizierte Schwachstellen |
| 4. Exploitation | Ausgewählte Schwachstellen werden kontrolliert ausgenutzt. | Nachweis der Ausnutzbarkeit |
| 5. Angriffspfade | Mögliche weitere Zugriffe und Auswirkungen werden untersucht. | Bewertung des tatsächlichen Risikos |
| 6. Reporting | Findings werden dokumentiert, bewertet und priorisiert. | Penetrationstest-Bericht |
| 7. Behebung & Retest | Schwachstellen werden geschlossen und erneut geprüft. | Nachweis erfolgreicher Maßnahmen |
Für Unternehmen ist dabei vor allem wichtig, einen Penetrationstest nicht als isolierte technische Prüfung zu betrachten. Die einzelnen Phasen bauen aufeinander auf. Ein sauber definierter Scope ermöglicht eine zielgerichtete Prüfung, die technische Analyse zeigt reale Angriffsmöglichkeiten und das anschließende Reporting schafft die Grundlage für konkrete Verbesserungen.
Der Penetrationstest endet deshalb idealerweise nicht mit dem letzten Angriffsszenario, sondern erst dann, wenn relevante Schwachstellen behoben und die wichtigsten Maßnahmen überprüft wurden.
Welche Arten von Penetrationstests gibt es?
Nicht jeder Penetrationstest startet unter denselben Voraussetzungen. Ein wesentlicher Unterschied besteht darin, wie viele Informationen die Pentester vor Beginn der technischen Prüfung erhalten. Üblicherweise wird zwischen Black-Box-, Grey-Box- und White-Box-Penetrationstests unterschieden.
Welche Variante sinnvoll ist, hängt davon ab, welches Angriffsszenario simuliert werden soll und welches Ziel das Unternehmen mit dem Test verfolgt.
Black-Box-Penetrationstest
Bei einem Black-Box-Penetrationstest erhalten die Tester im Vorfeld nur wenige Informationen über das Zielsystem. Sie müssen sich einen großen Teil der benötigten Informationen selbst beschaffen.
Dieser Ansatz ähnelt damit der Ausgangssituation eines externen Angreifers, der zunächst keine detaillierten Kenntnisse über die interne Infrastruktur besitzt.
Die Pentester müssen beispielsweise selbst herausfinden:
- welche Systeme erreichbar sind,
- welche Dienste angeboten werden,
- welche Technologien eingesetzt werden und
- welche möglichen Angriffspunkte existieren.
Ein Black-Box-Test eignet sich besonders, wenn untersucht werden soll, welche Angriffsmöglichkeiten ein externer Angreifer ohne internes Vorwissen hätte.
Der Nachteil: Ein Teil der verfügbaren Testzeit fließt in die Informationsbeschaffung. Tief verborgene Schwachstellen können deshalb unter Umständen weniger intensiv geprüft werden als bei einem Test, bei dem den Pentestern bereits umfangreiche Informationen zur Verfügung stehen.
Grey-Box-Penetrationstest
Der Grey-Box-Ansatz liegt zwischen Black Box und White Box. Die Pentester erhalten bestimmte Informationen oder Zugänge, kennen jedoch nicht sämtliche Details der untersuchten Umgebung.
Bei einer Webanwendung könnten beispielsweise normale Benutzerkonten bereitgestellt werden. Die Tester können dann untersuchen, ob ein angemeldeter Benutzer Berechtigungen umgehen, auf fremde Daten zugreifen oder Funktionen verwenden kann, für die er eigentlich keine Rechte besitzt.
Damit lassen sich unter anderem Szenarien simulieren, bei denen ein Angreifer bereits über gültige Zugangsdaten verfügt oder ein legitimer Benutzer versucht, seine Berechtigungen zu überschreiten.
Grey-Box-Tests bieten häufig einen guten Kompromiss zwischen realistischer Angriffssimulation und effizienter Testtiefe, da weniger Zeit für grundlegende Informationsbeschaffung benötigt wird.
White-Box-Penetrationstest
Bei einem White-Box-Penetrationstest erhalten die Tester umfangreiche Informationen über das Zielsystem. Dazu können beispielsweise Architekturinformationen, Netzwerkpläne, Testkonten, technische Dokumentationen oder andere relevante Systeminformationen gehören.
Dadurch können die Pentester ihre verfügbare Zeit stärker für die eigentliche Sicherheitsanalyse nutzen und bestimmte Bereiche gezielt untersuchen.
Ein White-Box-Test eignet sich insbesondere dann, wenn eine möglichst umfassende und tiefgehende Prüfung im Vordergrund steht und nicht ausschließlich ein realistisches externes Angriffsszenario simuliert werden soll.
Welche Variante die richtige ist, lässt sich deshalb nicht pauschal beantworten:
| Testart | Vorwissen der Pentester | Typisches Ziel |
| Black Box | gering | externen Angriff möglichst realistisch simulieren |
| Grey Box | teilweise vorhanden | realistische Angriffe mit bestimmten Zugängen untersuchen |
| White Box | umfangreich | möglichst tiefgehende Sicherheitsprüfung durchführen |
Entscheidend ist nicht, welche Variante grundsätzlich „besser“ ist, sondern welche Fragestellung mit dem Penetrationstest beantwortet werden soll.
Was kann bei einem Penetrationstest geprüft werden?
Penetrationstests können auf unterschiedliche Bereiche der IT-Infrastruktur ausgerichtet werden. Der konkrete Testumfang richtet sich nach der vorhandenen Umgebung und den Risiken, die das Unternehmen untersuchen möchte.Dass Unternehmen mit sehr unterschiedlichen Angriffsarten konfrontiert sind, zeigen aktuelle Zahlen des Bitkom. Im Studienbericht „Wirtschaftsschutz 2025“ berichten Unternehmen unter anderem von Schäden durch Ransomware (34 Prozent), DDoS-Angriffe (25 Prozent), Malware (24 Prozent) und Phishing (22 Prozent). Auch technischere Angriffe wie SQL-Injection oder Cross-Site-Scripting wurden von 15 Prozent der Unternehmen als schadensverursachend genannt. Ein Penetrationstest sollte deshalb gezielt auf die individuelle Angriffsfläche und die eingesetzten Systeme eines Unternehmens abgestimmt werden.
Zu den häufigsten Prüfbereichen gehören:
Webanwendungen:
Kundenportale, Onlineshops, interne Anwendungen oder andere webbasierte Systeme können beispielsweise auf Fehler bei Authentifizierung, Zugriffskontrollen, Sitzungsverwaltung und Eingabeverarbeitung untersucht werden.
APIs und Schnittstellen:
Schnittstellen verbinden Anwendungen und Systeme miteinander und verarbeiten häufig sensible Informationen. Pentester prüfen unter anderem, ob Authentifizierung und Berechtigungen korrekt umgesetzt wurden und ob unberechtigte Zugriffe auf Daten oder Funktionen möglich sind.
Externe IT-Infrastruktur:
Dabei werden Systeme betrachtet, die aus dem Internet erreichbar sind. Ziel ist es herauszufinden, welche Angriffsfläche ein externer Angreifer vorfindet und ob öffentlich erreichbare Systeme einen Einstieg ermöglichen.
Interne Netzwerke:
Hier wird beispielsweise untersucht, welche Möglichkeiten ein Angreifer hätte, wenn er bereits Zugriff auf das Unternehmensnetzwerk erhalten hat. Dabei können Berechtigungen, Netzwerksegmentierung und mögliche Wege zu weiteren Systemen relevant sein.
Cloud-Umgebungen:
Auch Cloud-Infrastrukturen können auf Fehlkonfigurationen, unsichere Berechtigungen oder unnötig öffentlich erreichbare Ressourcen geprüft werden.
Darüber hinaus können je nach Unternehmen WLAN-Infrastrukturen, mobile Anwendungen oder andere spezialisierte Systeme Teil eines Penetrationstests sein.
Welche Bereiche tatsächlich geprüft werden sollten, hängt von der jeweiligen Angriffsfläche und dem Schutzbedarf ab. Besonders relevant sind Systeme, die aus dem Internet erreichbar sind, sensible Daten verarbeiten oder für wichtige Geschäftsprozesse benötigt werden.
H2: Wie lange dauert ein Penetrationstest?
Wie lange ein Penetrationstest dauert, lässt sich nicht pauschal beantworten. Der benötigte Zeitraum hängt vor allem davon ab, wie viele Systeme geprüft werden, wie komplex die Umgebung ist und welche Testtiefe vereinbart wurde.
Ein begrenzter Test einer einzelnen Webanwendung kann beispielsweise innerhalb weniger Tage durchgeführt werden. Bei größeren Netzwerken, mehreren Anwendungen, komplexen Cloud-Umgebungen oder zahlreichen Schnittstellen kann sich die technische Prüfung dagegen über mehrere Wochen erstrecken.
Wichtige Einflussfaktoren auf die Dauer sind:
- Größe des vereinbarten Scopes
- Anzahl der Systeme und Anwendungen
- Komplexität der IT-Umgebung
- Art des Penetrationstests
- gewünschte Testtiefe
- Anzahl der Benutzerrollen und Berechtigungsstufen
- Umfang der manuellen Prüfungen
- Anzahl und Komplexität gefundener Schwachstellen
Zur eigentlichen technischen Durchführung kommen außerdem die Vorbereitung und das anschließende Reporting hinzu. Nach dem Test müssen die Findings ausgewertet, priorisiert und verständlich dokumentiert werden. Wird anschließend ein Retest durchgeführt, entsteht ein zusätzlicher Zeitaufwand.
Unternehmen sollten deshalb nicht ausschließlich danach fragen, wie viele Tage ein Pentest dauert. Wichtiger ist, dass der vereinbarte Zeitraum zum Scope passt. Ein sehr großer Testumfang in einem zu kleinen Zeitfenster kann dazu führen, dass einzelne Bereiche nicht mit der notwendigen Tiefe untersucht werden.
Was kostet ein Penetrationstest?
Auch die Kosten eines Penetrationstests richten sich nach dem individuellen Prüfungsumfang. Eine allgemeingültige Pauschale ist daher wenig aussagekräftig.
Einer der wichtigsten Kostenfaktoren ist der Scope. Soll lediglich eine einzelne Anwendung untersucht werden, ist der Aufwand in der Regel geringer als bei einer Prüfung, die mehrere Standorte, Netzwerke, Cloud-Systeme und Anwendungen umfasst.
Weitere Faktoren sind unter anderem:
- Anzahl und Art der zu prüfenden Systeme
- Komplexität der Infrastruktur
- gewünschte Testtiefe
- Black-, Grey- oder White-Box-Ansatz
- benötigte Testaccounts und Benutzerrollen
- besondere Technologien oder Anforderungen
- Umfang des Reportings
- gewünschter Retest
Bei der Auswahl eines Anbieters sollte deshalb nicht allein der niedrigste Preis ausschlaggebend sein. Entscheidend ist, welche Leistungen tatsächlich enthalten sind. Ein günstiger Test, der überwiegend aus automatisierten Scans besteht, ist nicht mit einem umfangreichen Penetrationstest vergleichbar, bei dem erfahrene Pentester zusätzlich manuelle Angriffsszenarien untersuchen.
Ein seriöses Angebot sollte daher transparent darstellen, welche Systeme geprüft werden, wie tief die Prüfung erfolgt, welche Leistungen enthalten sind und ob beispielsweise Abschlussbesprechung und Retest Bestandteil des Angebots sind.
Welche Ergebnisse liefert ein Penetrationstest?
Das wichtigste Ergebnis eines Penetrationstests ist der Pentest-Bericht. Er dokumentiert die identifizierten Schwachstellen und schafft die Grundlage dafür, Sicherheitsmaßnahmen gezielt zu verbessern.
Ein guter Bericht richtet sich dabei nicht ausschließlich an IT-Sicherheitsexperten. Die Ergebnisse sollten so aufbereitet sein, dass sowohl technische Verantwortliche als auch Entscheider verstehen können, welche Risiken bestehen und welche Maßnahmen notwendig sind.
Typischerweise enthält der Bericht zwei Ebenen.
Management Summary
Die Management Summary fasst die wichtigsten Ergebnisse verständlich zusammen. Technische Details stehen hier nicht im Vordergrund. Stattdessen geht es um Fragen wie:
- Wie ist das Gesamtrisiko einzuschätzen?
- Welche besonders kritischen Schwachstellen wurden gefunden?
- Welche geschäftlichen Auswirkungen könnten entstehen?
- Wo besteht dringender Handlungsbedarf?
Dadurch erhalten Geschäftsführung und andere Entscheider einen schnellen Überblick, ohne sämtliche technischen Findings im Detail analysieren zu müssen.
Technischer Pentest-Bericht
Der technische Teil richtet sich insbesondere an Administratoren, Entwickler und IT-Sicherheitsverantwortliche. Er beschreibt die einzelnen Schwachstellen wesentlich detaillierter.
Zu einem Finding gehören beispielsweise:
- Beschreibung der Schwachstelle
- betroffenes System oder betroffene Anwendung
- mögliche Auswirkungen
- technische Nachweise
- Risikoeinstufung
- Hinweise zur Reproduktion
- konkrete Empfehlungen zur Behebung
Damit sollte der Bericht nicht nur zeigen, was falsch ist, sondern auch eine Grundlage dafür liefern, das Problem gezielt zu beheben.
Priorisierung der Schwachstellen
Nicht jedes Finding erfordert dieselbe Dringlichkeit. Deshalb werden Schwachstellen typischerweise nach ihrem Risiko kategorisiert, beispielsweise:
kritisch → hoch → mittel → niedrig
Eine kritische Schwachstelle kann beispielsweise sofortigen unberechtigten Zugriff auf sensible Systeme ermöglichen. Ein Finding mit niedriger Priorität hat dagegen möglicherweise nur geringe Auswirkungen oder kann ausschließlich unter sehr speziellen Voraussetzungen ausgenutzt werden.
Diese Priorisierung hilft Unternehmen, ihre verfügbaren Ressourcen sinnvoll einzusetzen. Statt eine lange Liste von Findings wahllos abzuarbeiten, können zunächst die Schwachstellen geschlossen werden, von denen das größte tatsächliche Risiko für das Unternehmen ausgeht.
Wie werden gefundene Schwachstellen nach dem Penetrationstest priorisiert?
Nach einem Penetrationstest können je nach Umfang zahlreiche Findings vorliegen. Für Unternehmen stellt sich dann die entscheidende Frage: Welche Schwachstellen müssen zuerst behoben werden?
Eine sinnvolle Priorisierung berücksichtigt deshalb nicht nur, dass eine Schwachstelle existiert, sondern vor allem ihre tatsächliche Bedeutung für das Unternehmen.
Dabei spielen mehrere Faktoren eine Rolle:
- Wie einfach lässt sich die Schwachstelle ausnutzen?
- Ist sie direkt aus dem Internet erreichbar?
- Benötigt ein Angreifer bereits Zugangsdaten oder besondere Berechtigungen?
- Welche Systeme und Daten wären betroffen?
- Kann die Schwachstelle mit anderen Findings kombiniert werden?
- Welche geschäftlichen Auswirkungen könnte ein erfolgreicher Angriff haben?
Eine von außen ohne Anmeldung ausnutzbare Schwachstelle auf einem geschäftskritischen System kann beispielsweise wesentlich dringlicher sein als ein vergleichbares Problem auf einem isolierten internen System.
Warum der CVSS-Score allein nicht ausreicht
Zur technischen Bewertung von Schwachstellen wird häufig das Common Vulnerability Scoring System (CVSS)eingesetzt. Es ermöglicht eine standardisierte Einschätzung technischer Schwachstellen und erleichtert deren Vergleich.
Für die Priorisierung innerhalb eines Unternehmens sollte ein technischer Score jedoch nicht isoliert betrachtet werden.
Entscheidend ist zusätzlich der jeweilige Kontext. Befindet sich die Schwachstelle beispielsweise auf einem öffentlich erreichbaren Kundenportal, das sensible Daten verarbeitet, können die möglichen Auswirkungen erheblich sein. Dasselbe technische Problem kann auf einem abgeschotteten Testsystem deutlich weniger dringlich sein.
Eine sinnvolle Priorisierung verbindet deshalb die technische Kritikalität mit dem tatsächlichen Unternehmensrisiko. Dadurch können zuerst diejenigen Schwachstellen bearbeitet werden, bei denen ein erfolgreicher Angriff besonders wahrscheinlich oder folgenschwer wäre.
Welche Standards spielen bei einem Penetrationstest eine Rolle?
Für die strukturierte Durchführung von Penetrationstests existieren verschiedene etablierte Standards und Leitfäden. Sie schaffen Orientierung für die Planung, Durchführung und Dokumentation von Sicherheitsprüfungen.
Zu den relevanten Grundlagen gehören unter anderem:
BSI-Leitfäden:
Das Bundesamt für Sicherheit in der Informationstechnik stellt Empfehlungen und Leitfäden für Sicherheitsprüfungen und Penetrationstests bereit. Sie bieten insbesondere für Unternehmen in Deutschland eine wichtige Orientierung.
OWASP Web Security Testing Guide:
Bei Penetrationstests von Webanwendungen spielt das Open Worldwide Application Security Project (OWASP) eine wichtige Rolle. Der Web Security Testing Guide beschreibt zahlreiche Prüfbereiche und Vorgehensweisen für die Sicherheitsanalyse von Webanwendungen.
Penetration Testing Execution Standard (PTES):
PTES beschreibt einen strukturierten Ansatz für Penetrationstests – von der Vorbereitung und Informationsbeschaffung über die eigentliche Sicherheitsprüfung bis zum Reporting.
Welcher Standard oder Leitfaden relevant ist, hängt vom jeweiligen Testobjekt und den Anforderungen des Unternehmens ab. Entscheidend ist weniger, möglichst viele Standards aufzuzählen, sondern dass der Penetrationstest nachvollziehbar, strukturiert und reproduzierbar durchgeführt wird.
Für Unternehmen lohnt es sich daher, bereits bei der Auswahl eines Pentest-Anbieters zu fragen, nach welchen anerkannten Methoden und Standards getestet und wie die Qualität der Ergebnisse sichergestellt wird.
Wann und wie oft sollte ein Penetrationstest durchgeführt werden?
Ein einmal durchgeführter Penetrationstest ist keine dauerhafte Garantie für eine sichere IT-Umgebung. Anwendungen werden weiterentwickelt, Systeme aktualisiert, neue Cloud-Dienste eingeführt und Schnittstellen ergänzt. Dadurch verändert sich auch die Angriffsfläche eines Unternehmens.
Wie häufig ein Penetrationstest sinnvoll ist, hängt deshalb vom individuellen Risiko und der Veränderungsgeschwindigkeit der IT-Umgebung ab.
Besonders sinnvoll kann ein Pentest sein:
- vor der Produktivsetzung einer kritischen Anwendung,
- nach größeren Änderungen an Anwendungen oder Infrastruktur,
- nach umfangreichen Migrationen,
- bei Einführung neuer extern erreichbarer Systeme,
- nach wesentlichen Änderungen an Cloud-Umgebungen,
- nach einem Sicherheitsvorfall,
- wenn regulatorische oder vertragliche Anforderungen dies verlangen.
Zusätzlich können regelmäßige Penetrationstests sinnvoll sein, um die Sicherheitslage in bestimmten Abständen erneut zu überprüfen.
Die passende Frequenz hängt unter anderem davon ab, wie kritisch ein System ist, welche Daten verarbeitet werden und wie häufig Änderungen stattfinden. Eine stark weiterentwickelte Webplattform mit sensiblen Kundendaten benötigt beispielsweise eine andere Sicherheitsstrategie als ein weitgehend unverändertes internes System mit begrenztem Zugriff.
Unternehmen sollten Penetrationstests deshalb nicht ausschließlich nach einem festen Kalender planen. Ein risikobasierter Ansatz ist sinnvoller: Je größer der Schutzbedarf und je stärker sich ein System verändert, desto wichtiger werden regelmäßige oder anlassbezogene Sicherheitsprüfungen.
Penetrationstests sind dabei nur ein Bestandteil einer kontinuierlichen Sicherheitsstrategie. Regelmäßiges Patchmanagement, Schwachstellenmanagement, Monitoring und weitere Sicherheitsmaßnahmen bleiben unabhängig davon notwendig.
Praxisbeispiel – So kann ein Penetrationstest ablaufen
Wie ein Penetrationstest in der Praxis aussieht, lässt sich am besten anhand eines vereinfachten Beispiels zeigen.
Ein mittelständisches Unternehmen betreibt ein Kundenportal, über das Kunden ihre persönlichen Daten und Vertragsinformationen einsehen können. Da die Anwendung aus dem Internet erreichbar ist und sensible Informationen verarbeitet, soll sie vor einer größeren Erweiterung einem Penetrationstest unterzogen werden.
Zunächst wird gemeinsam mit dem Pentest-Anbieter der Scope festgelegt. Bestandteil des Tests sind das Kundenportal und die dazugehörigen Schnittstellen. Zusätzlich werden verschiedene Testkonten mit unterschiedlichen Benutzerrechten bereitgestellt.
Während der Analyse stellen die Pentester fest, dass eine Anfrage innerhalb der Anwendung manipuliert werden kann. Dadurch ist es unter bestimmten Voraussetzungen möglich, mit einem normalen Benutzerkonto auf Informationen zuzugreifen, die einem anderen Kunden zugeordnet sind.
Die Schwachstelle wird kontrolliert verifiziert und dokumentiert. Die Tester rufen dabei nur so viele Informationen ab, wie notwendig sind, um die Sicherheitslücke eindeutig nachzuweisen.
Anschließend wird geprüft, welche Auswirkungen der Fehler haben könnte. Da grundsätzlich der Zugriff auf fremde Kundendaten möglich ist, wird das Finding entsprechend hoch priorisiert.
Im Pentest-Bericht erhält das Unternehmen eine Beschreibung der Schwachstelle, einen technischen Nachweis und eine Empfehlung zur Behebung. Die Entwickler passen daraufhin die serverseitige Berechtigungsprüfung an.
Nach der Umsetzung erfolgt ein Retest. Die Pentester versuchen erneut, den zuvor erfolgreichen Angriff durchzuführen. Der Zugriff ist nun nicht mehr möglich und die Schwachstelle kann als behoben eingestuft werden.
Das Beispiel zeigt, warum ein Penetrationstest über die reine Identifikation einer Sicherheitslücke hinausgeht. Der vollständige Prozess besteht aus Erkennen, Verifizieren, Bewerten, Beheben und erneutem Überprüfen.
Wie bereiten sich Unternehmen auf einen Penetrationstest vor?
Eine gute Vorbereitung trägt wesentlich dazu bei, dass die verfügbare Testzeit effektiv genutzt werden kann. Unternehmen sollten deshalb bereits vor dem eigentlichen Start klären, welche Systeme untersucht werden und welches Ziel mit dem Penetrationstest verfolgt wird.
Der erste Schritt besteht darin, die relevanten Systeme und Anwendungen zu identifizieren. Dabei sollte nicht einfach die gesamte IT-Infrastruktur in den Scope aufgenommen werden. Sinnvoller ist es, sich an den tatsächlichen Risiken zu orientieren.
Besonders relevant können beispielsweise extern erreichbare Systeme, geschäftskritische Anwendungen und Systeme mit sensiblen Daten sein.
Zusätzlich sollten die notwendigen Informationen vorbereitet werden. Je nach Testart können dazu gehören:
- Domains und IP-Adressen,
- technische Ansprechpartner,
- Testkonten,
- unterschiedliche Benutzerrollen,
- Informationen zu relevanten Schnittstellen,
- vereinbarte Testzeiträume.
Bei produktiven Umgebungen sollte außerdem geprüft werden, ob aktuelle Backups vorhanden sind und ob besonders sensible Systeme zusätzliche Schutzmaßnahmen benötigen.
Wichtig ist auch die interne Kommunikation. Die für den Betrieb der Systeme verantwortlichen Personen sollten wissen, dass ein autorisierter Sicherheitstest stattfindet. Andernfalls können Aktivitäten der Pentester beispielsweise fälschlicherweise als echter Cyberangriff interpretiert werden.
Eine gute Vorbereitung sorgt damit nicht nur für einen reibungsloseren Ablauf. Sie verhindert auch, dass während des Tests wertvolle Zeit verloren geht, weil Zugänge, Ansprechpartner oder Informationen fehlen.
Was sollte vor einem Penetrationstest unbedingt geklärt werden?
Neben der technischen Vorbereitung müssen klare organisatorische und rechtliche Rahmenbedingungen geschaffen werden. Schließlich führen Pentester bewusst Handlungen durch, die ohne entsprechende Autorisierung als unzulässiger Zugriff auf IT-Systeme gelten könnten.
Deshalb sollte eindeutig dokumentiert sein, wer den Test beauftragt hat, welche Systeme geprüft werden dürfen und welche Grenzen gelten.
Besonders wichtig sind folgende Fragen:
Welche Systeme gehören zum Scope?
Domains, IP-Adressen, Anwendungen und andere Testobjekte sollten möglichst eindeutig festgelegt werden.
Welche Systeme sind ausgeschlossen?
Bestimmte besonders sensible oder nicht zum Unternehmen gehörende Systeme können ausdrücklich vom Test ausgenommen werden.
Welche Methoden dürfen eingesetzt werden?
Nicht jede Angriffsmethode ist für jede Umgebung geeignet. Tests, die beispielsweise die Verfügbarkeit produktiver Systeme gefährden könnten, benötigen besondere Abstimmung oder werden ausgeschlossen.
Wann darf getestet werden?
Bei kritischen Systemen kann festgelegt werden, ob Tests während der Geschäftszeiten oder ausschließlich innerhalb bestimmter Zeitfenster stattfinden dürfen.
Was passiert bei einer kritischen Schwachstelle?
Wird während des Tests eine unmittelbar ausnutzbare, besonders gefährliche Sicherheitslücke entdeckt, sollte ein klarer Eskalationsweg existieren. Der Pentester kann dann den zuständigen Ansprechpartner direkt informieren, anstatt bis zum Abschlussbericht zu warten.
Sind Systeme von Drittanbietern betroffen?
Cloud-Plattformen, Hosting-Anbieter oder andere externe Dienstleister können eigene Vorgaben für Sicherheitstests haben. Vor dem Test muss daher geklärt werden, ob entsprechende Freigaben erforderlich sind.
Diese Regeln werden häufig in den Rules of Engagement festgehalten. Sie schaffen klare Grenzen für beide Seiten und sorgen dafür, dass der Penetrationstest kontrolliert durchgeführt werden kann.
Gerade diese organisatorische Vorbereitung wird leicht unterschätzt. Ein technisch guter Pentest benötigt jedoch einen eindeutig definierten Rahmen. Je klarer Scope, Verantwortlichkeiten und Eskalationswege vor Beginn feststehen, desto effizienter und sicherer kann die eigentliche Prüfung durchgeführt werden.
Die häufigsten Fehler rund um den Penetrationstest
Ein Penetrationstest liefert nur dann einen echten Mehrwert, wenn er richtig geplant und die Ergebnisse anschließend konsequent genutzt werden. In der Praxis können bereits bei der Vorbereitung Fehler entstehen, die die Aussagekraft des Tests reduzieren.
Zu den wichtigsten gehören:
1. Der Scope wird zu eng gewählt
Werden relevante Systeme, Schnittstellen oder Abhängigkeiten nicht berücksichtigt, können wichtige Angriffspfade außerhalb des Testumfangs liegen. Der Scope sollte deshalb auf Basis der tatsächlichen Angriffsfläche und des Schutzbedarfs festgelegt werden.
2. Ein automatisierter Scan wird als Penetrationstest betrachtet
Schwachstellenscanner sind ein wichtiges Werkzeug, ersetzen jedoch keine manuelle Sicherheitsprüfung. Ein professioneller Pentest untersucht zusätzlich, ob Schwachstellen tatsächlich ausgenutzt und miteinander kombiniert werden können.
3. Es fehlen klare Testregeln
Unklare Verantwortlichkeiten oder nicht definierte Testgrenzen können insbesondere bei produktiven Systemen zu Problemen führen. Scope, Testzeitraum, erlaubte Methoden und Eskalationswege sollten deshalb vor Beginn eindeutig feststehen.
4. Findings werden nicht konsequent bearbeitet
Der beste Pentest bringt wenig, wenn der Bericht anschließend abgelegt wird und kritische Schwachstellen bestehen bleiben. Die Ergebnisse sollten priorisiert, Verantwortlichen zugeordnet und systematisch bearbeitet werden.
5. Auf einen Retest wird verzichtet
Eine als behoben markierte Schwachstelle ist nicht automatisch vollständig geschlossen. Ein Retest kann bestätigen, dass die getroffene Maßnahme tatsächlich funktioniert und der ursprüngliche Angriff nicht mehr möglich ist.
6. Der Pentest wird als einmalige Sicherheitsmaßnahme betrachtet
IT-Umgebungen verändern sich kontinuierlich. Neue Anwendungen, Updates, Cloud-Dienste und Schnittstellen können neue Schwachstellen erzeugen. Penetrationstests sollten deshalb Teil einer umfassenden und kontinuierlichen Sicherheitsstrategie sein.
Wer diese Fehler vermeidet, erhöht die Wahrscheinlichkeit, dass aus dem Penetrationstest nicht nur ein technischer Bericht, sondern eine konkrete Verbesserung der IT-Sicherheit entsteht.
Häufig gestellte Fragen zum Penetrationstest-Ablauf
Rund um den Ablauf eines Penetrationstests entstehen vor der Beauftragung häufig ähnliche Fragen. Die wichtigsten Antworten haben wir hier kompakt zusammengefasst.
Wie läuft ein Penetrationstest ab?
Ein Penetrationstest beginnt üblicherweise mit der Festlegung von Ziel, Scope und Testregeln. Anschließend sammeln die Pentester Informationen über die Zielsysteme, analysieren mögliche Schwachstellen und versuchen, ausgewählte Sicherheitslücken kontrolliert auszunutzen.
Danach werden mögliche Auswirkungen untersucht und sämtliche relevanten Findings dokumentiert und priorisiert. Nach der Behebung wichtiger Schwachstellen kann ein Retest bestätigen, ob die Maßnahmen erfolgreich waren.
Wie lange dauert ein Penetrationstest?
Die Dauer hängt vom Umfang und der Komplexität der untersuchten Umgebung ab. Eine einzelne Anwendung kann innerhalb weniger Tage geprüft werden, während umfangreiche Infrastrukturen mehrere Wochen benötigen können.
Neben der technischen Prüfung müssen auch Vorbereitung, Auswertung, Reporting und gegebenenfalls ein Retest berücksichtigt werden.
Kann ein Penetrationstest Systeme beschädigen?
Da Pentester gezielt Sicherheitslücken untersuchen und teilweise ausnutzen, lassen sich Auswirkungen auf Systeme nicht grundsätzlich ausschließen. Professionelle Tests werden deshalb kontrolliert durchgeführt und vorab klar eingegrenzt.
Besonders riskante Methoden können ausgeschlossen oder ausschließlich in abgestimmten Zeitfenstern durchgeführt werden. Bei kritischen Produktivsystemen sind eine sorgfältige Vorbereitung und klare Rules of Engagement besonders wichtig.
Was ist der Unterschied zwischen Penetrationstest und Schwachstellenscan?
Ein Schwachstellenscan sucht überwiegend automatisiert nach bekannten Sicherheitsproblemen. Ein Penetrationstest kombiniert dagegen automatisierte Werkzeuge mit manuellen Prüfungen und untersucht zusätzlich, ob identifizierte Schwachstellen tatsächlich ausgenutzt werden können.
Dadurch liefert ein Pentest eine deutlich tiefere Einschätzung möglicher Angriffsszenarien.
Was passiert nach einem Penetrationstest?
Nach Abschluss der technischen Prüfung erhält das Unternehmen einen Bericht mit den identifizierten Schwachstellen, Risikobewertungen und Empfehlungen zur Behebung.
Anschließend sollten die Findings nach ihrer Kritikalität priorisiert und bearbeitet werden. Bei wichtigen Schwachstellen empfiehlt sich danach ein Retest, um die erfolgreiche Behebung zu überprüfen.
Wie oft sollte ein Penetrationstest durchgeführt werden?
Die notwendige Häufigkeit hängt vom Risiko, dem Schutzbedarf und der Veränderungsgeschwindigkeit der jeweiligen Systeme ab. Pentests können regelmäßig sowie anlassbezogen sinnvoll sein – beispielsweise nach größeren Änderungen, vor dem Produktivstart kritischer Anwendungen oder nach wesentlichen Veränderungen der Infrastruktur.
Was kostet ein Penetrationstest?
Die Kosten hängen insbesondere von Scope, Anzahl und Komplexität der Systeme, Testart und gewünschter Testtiefe ab. Deshalb ist eine seriöse Kostenschätzung in der Regel erst möglich, wenn der konkrete Prüfungsumfang bekannt ist.
Bei Angeboten sollte zudem geprüft werden, welche Leistungen enthalten sind – etwa manuelle Tests, Reporting, Ergebnisbesprechung und Retest.
Fazit – Ein strukturierter Penetrationstest zeigt reale Sicherheitsrisiken
Ein Penetrationstest zeigt Unternehmen nicht nur, wo Schwachstellen vorhanden sind, sondern welche davon tatsächlich ausgenutzt werden könnten und welche Auswirkungen daraus entstehen.
Entscheidend dafür ist ein strukturierter Penetrationstest-Ablauf. Er beginnt mit einer klaren Definition von Zielen und Scope, führt über Informationsbeschaffung, Schwachstellenanalyse und kontrollierte Angriffssimulation bis zur Bewertung und Dokumentation der Ergebnisse.
Doch der Pentest-Bericht allein verbessert noch keine Sicherheit. Erst wenn kritische Findings priorisiert, geeignete Maßnahmen umgesetzt und wichtige Schwachstellen anschließend erneut geprüft werden, entsteht ein nachhaltiger Sicherheitsgewinn.
Unternehmen sollten Penetrationstests deshalb nicht als einmalige Momentaufnahme betrachten, sondern als Bestandteil einer kontinuierlichen Sicherheitsstrategie. Gerade bei geschäftskritischen Anwendungen, sensiblen Daten und öffentlich erreichbaren Systemen können regelmäßige und anlassbezogene Prüfungen helfen, reale Angriffsmöglichkeiten frühzeitig zu erkennen.
Sie möchten wissen, wie widerstandsfähig Ihre IT-Systeme gegenüber realen Angriffen sind?
Lassen Sie Ihre Anwendungen, Netzwerke oder IT-Infrastruktur gezielt auf Schwachstellen prüfen. Gemeinsam wird zunächst der passende Scope definiert und anschließend ein Penetrationstest durchgeführt, der sich an Ihren tatsächlichen Risiken und Anforderungen orientiert.
Jetzt Penetrationstest anfragen und Sicherheitsrisiken frühzeitig erkennen.
