Ihre Firewall ist eingerichtet, Updates laufen, die Mitarbeitenden wurden geschult. Aber würde das alles einem gezielten Angriff standhalten? Diese Frage lässt sich nicht am Schreibtisch beantworten. Sie lässt sich nur beantworten, indem jemand es ausprobiert, bevor es ein echter Angreifer tut. Genau das ist ein Penetrationstest.
In diesem Beitrag erfahren Sie, was ein Penetrationstest ist, wie er sich von einem Schwachstellenscan unterscheidet, welche Arten es gibt, was das BSI empfiehlt, welche rechtlichen Voraussetzungen gelten und wann sich ein Pentest für Ihr Unternehmen lohnt.
Was ist ein Penetrationstest?
Ein Penetrationstest, kurz Pentest, ist ein beauftragter und kontrollierter Angriff auf IT-Systeme, Netzwerke oder Anwendungen. Fachleute versuchen dabei mit den Methoden echter Angreifer, Schwachstellen zu finden und auszunutzen. Das BSI beschreibt das Ziel so, dass Penetrationstests „die Erfolgsaussichten eines vorsätzlichen Angriffs einschätzen“ sollen. Damit prüfen sie, ob vorhandene Sicherheitsmaßnahmen wirken und welche weiteren Maßnahmen nötig sind.
Der entscheidende Unterschied zu einem Angriff: Der Test ist schriftlich beauftragt, der Umfang ist vorher festgelegt, und am Ende steht kein Schaden, sondern ein Bericht mit konkreten Empfehlungen.
Welche Ziele verfolgt ein Penetrationstest?
- Schwachstellen finden, bevor Angreifer sie finden: Konfigurationsfehler, fehlende Updates, schwache Passwörter, unsichere Schnittstellen.
- Risiken realistisch bewerten: Nicht jede Schwachstelle ist gleich gefährlich. Ein Pentest zeigt, welche tatsächlich ausnutzbar ist und wie weit ein Angreifer damit kommt.
- Schutzmaßnahmen überprüfen: Erkennt das Monitoring den Angriff? Hält die Netzwerktrennung? Reagiert das Team?
- Nachweise erbringen: gegenüber Kunden, Versicherern, Prüfern und Aufsichtsbehörden.
- Prioritäten setzen: Das Budget fließt dorthin, wo das Risiko am größten ist.
Wie wichtig das ist, zeigt der BSI-Lagebericht 2025: Im Schnitt wurden 119 neue Schwachstellen pro Tag bekannt. Welche davon in Ihrer Umgebung tatsächlich ein Einfallstor sind, zeigt erst die Prüfung.
Penetrationstest, Schwachstellenscan, Audit und Red Teaming
Die Begriffe werden oft vermischt. Sie bezeichnen aber unterschiedliche Prüfungen mit unterschiedlicher Tiefe:
| Verfahren | Was passiert | Ergebnis |
|---|---|---|
| Schwachstellenscan | automatisierte Suche nach bekannten Schwachstellen | Liste möglicher Lücken, ohne Nachweis der Ausnutzbarkeit |
| Penetrationstest | gezielte, überwiegend manuelle Angriffe auf festgelegte Systeme | nachgewiesene Schwachstellen, Angriffswege und Empfehlungen |
| Sicherheitsaudit | Prüfung von Konfigurationen, Prozessen und Dokumenten gegen Vorgaben | Bewertung der Umsetzung von Regeln und Standards |
| Red Teaming | realistische Angriffssimulation über längere Zeit, oft ohne Vorwarnung des Sicherheitsteams | Bewertung von Erkennung und Reaktion der gesamten Organisation |
Ein Schwachstellenscan ist schnell und günstig, liefert aber viele Treffer ohne Einordnung und übersieht Logikfehler oder Kombinationen kleiner Lücken. Der Penetrationstest geht weiter: Er prüft, ob sich eine Lücke wirklich ausnutzen lässt und was danach möglich ist. Sinnvoll ist die Kombination: regelmäßige Scans für den laufenden Überblick, Penetrationstests für die Tiefe. Einen schnellen Einstieg in den eigenen Sicherheitsstand bietet unser IT-Security-Audit-Selbstcheck.
Welche Arten von Penetrationstests gibt es?
Je nachdem, was geprüft wird, unterscheidet man verschiedene Arten:
| Art | Prüfgegenstand | Typische Frage |
|---|---|---|
| Externer Penetrationstest | aus dem Internet erreichbare Systeme wie Firewall, VPN, Mailserver, Webseiten | Kommt ein Angreifer von außen hinein? |
| Interner Penetrationstest | Firmennetz, Server, Active Directory, Arbeitsplätze | Wie weit kommt ein Angreifer, der bereits im Netz ist? |
| Webanwendungstest | Webseiten, Kundenportale, Onlineshops, Schnittstellen (APIs) | Lassen sich Daten auslesen oder Funktionen missbrauchen? |
| Cloud-Penetrationstest | Cloud-Konten, Microsoft 365, Azure, AWS | Gibt es Fehlkonfigurationen oder zu weitreichende Rechte? |
| WLAN-Test | Funknetze, Gastnetze | Lässt sich das WLAN knacken oder das Gastnetz verlassen? |
| Social-Engineering-Test | Mitarbeitende, Prozesse | Fallen Beschäftigte auf Phishing oder falsche Anrufer herein? |
| Physischer Test | Gebäude, Serverräume, Zutrittskontrollen | Kommt ein Fremder ins Gebäude und an Geräte? |
| OT-Test | Produktionsanlagen, Steuerungen, Gebäudetechnik | Sind Anlagen aus dem Büronetz erreichbar und angreifbar? |
Besonders aufschlussreich ist der interne Test. Er zeigt, was passiert, wenn ein Angreifer bereits einen Rechner übernommen hat, etwa über eine Phishing-Mail. Viele Unternehmen sind nach außen gut geschützt, intern aber kaum: Ein einziger kompromittierter Laptop genügt dann, um sich bis zum Domänencontroller vorzuarbeiten. Wie solche Bewegungen im Netz ablaufen, beschreiben wir im Beitrag Lateral Movement erkennen.
Black Box, Grey Box und White Box
Neben dem Prüfgegenstand unterscheiden sich Penetrationstests darin, wie viel die Tester vorab wissen:
- Black Box: Die Tester erhalten nur den Firmennamen oder eine Adresse und starten wie ein externer Angreifer ohne Vorwissen. Das ist realistisch, kostet aber viel Zeit für die Informationssuche.
- White Box: Die Tester erhalten Netzpläne, Zugangsdaten, Dokumentationen und teils Quellcode. So können sie in derselben Zeit deutlich mehr Schwachstellen finden.
- Grey Box: Ein Mittelweg, etwa mit einem normalen Benutzerkonto. Er bildet einen Angreifer ab, der ein Konto erbeutet hat, oder einen Innentäter.
In der Praxis ist Grey Box oft der beste Kompromiss. Ein reiner Black-Box-Test verbraucht viel Budget für Aufklärung, die ein echter Angreifer in Wochen erledigt, der Tester aber in wenigen Tagen schaffen muss.
Wie das BSI Penetrationstests einordnet
Das BSI hat in seiner Studie Durchführungskonzept für Penetrationstests ein Schema entwickelt, mit dem sich jeder Test genau beschreiben lässt. Es eignet sich gut, um mit einem Anbieter den Auftrag festzulegen:
| Kriterium | Ausprägungen |
|---|---|
| Informationsbasis | Black Box oder White Box |
| Aggressivität | passiv, vorsichtig, abwägend oder aggressiv |
| Umfang | vollständig, begrenzt oder fokussiert |
| Vorgehensweise | verdeckt oder offensichtlich |
| Technik | Netzwerk, andere Kommunikationswege, physischer Zugang, Social Engineering |
| Ausgangspunkt | von außen oder von innen |
Für Unternehmen bedeutet das: Ein Angebot über „einen Pentest“ ist erst vergleichbar, wenn diese Punkte geklärt sind. Zwei Anbieter können mit demselben Wort sehr unterschiedliche Leistungen meinen.
Wie läuft ein Penetrationstest ab?
Das BSI beschreibt in seiner Studie fünf Phasen:
- Vorbereitung: Ziele, Umfang, Zeitraum, Ansprechpartner und Notfallkontakte werden schriftlich festgelegt.
- Informationsbeschaffung: Die Tester sammeln Informationen über die Zielsysteme, etwa erreichbare Dienste, Softwareversionen und Zugänge.
- Bewertung: Mögliche Angriffswege werden ausgewählt und die Risiken des Tests selbst abgewogen.
- Aktive Eindringversuche: Die Tester versuchen, Schwachstellen auszunutzen. Das ist die heikelste Phase, weil hier Systeme beeinträchtigt werden können.
- Abschlussanalyse: Ergebnisse werden ausgewertet, bewertet und in einem Bericht mit Empfehlungen festgehalten.
Nach der Behebung der Schwachstellen folgt idealerweise ein Nachtest, der prüft, ob die Maßnahmen wirken. Wie die einzelnen Phasen in der Praxis aussehen, wie lange ein Test dauert und wie sich Unternehmen vorbereiten, erklären wir ausführlich im Beitrag Penetrationstest-Ablauf.
Was ein Penetrationstest häufig aufdeckt
Die Ergebnisse unterscheiden sich je nach Umgebung, einige Befunde tauchen aber immer wieder auf:
- Fehlende Updates auf Servern, Netzwerkgeräten und Anwendungen.
- Schwache oder mehrfach verwendete Passwörter, vor allem bei Dienst- und Administratorkonten.
- Zu weitreichende Rechte im Active Directory, die einen schnellen Aufstieg zum Domänenadministrator ermöglichen.
- Fehlende Netzwerktrennung, sodass vom Arbeitsplatz aus alle Server erreichbar sind. Mehr dazu im Beitrag Was ist Mikrosegmentierung?.
- Fehler in Webanwendungen, etwa unzureichende Prüfung von Eingaben oder fehlerhafte Zugriffskontrollen. Als Referenz dienen hier häufig die Prüfleitfäden des OWASP-Projekts.
- Fehlkonfigurationen in der Cloud, etwa öffentlich erreichbare Speicher oder Konten ohne Multi-Faktor-Authentifizierung.
- Alte, vergessene Systeme, die niemand mehr pflegt, die aber noch im Netz hängen.
- Fehlende Erkennung: Der Angriff läuft durch, ohne dass ein Alarm auslöst.
Gerade der letzte Punkt wird oft unterschätzt. Ein Pentest zeigt nicht nur Lücken, sondern auch, ob Ihr Security Monitoring einen echten Angriff bemerken würde.
Rechtliche Voraussetzungen: ohne Auftrag kein Test
Ein Penetrationstest ist technisch dasselbe wie ein Angriff. Rechtlich entscheidet die Einwilligung. Wer ohne Erlaubnis Zugangssicherungen überwindet, kann sich nach § 202a StGB strafbar machen. Deshalb gelten klare Regeln:
- Schriftlicher Auftrag durch eine berechtigte Person im Unternehmen, mit genauem Umfang, Zeitraum und Ausnahmen.
- Zustimmung Dritter: Gehören Systeme einem Hoster, Cloud-Anbieter oder Dienstleister, müssen deren Regeln beachtet oder deren Zustimmung eingeholt werden.
- Datenschutz: Wenn Tester auf personenbezogene Daten stoßen können, braucht es einen Vertrag zur Auftragsverarbeitung nach DSGVO und Regeln zur Vertraulichkeit.
- Notfallregeln: Wer wird informiert, wenn ein System ausfällt oder die Tester auf Spuren eines echten Angriffs stoßen?
- Mitbestimmung: Bei Social-Engineering-Tests, die Beschäftigte betreffen, sollte der Betriebsrat frühzeitig eingebunden werden.
Wann ist ein Penetrationstest sinnvoll und wie oft?
Das BSI empfiehlt, Penetrationstests in regelmäßigen Abständen zu wiederholen. Zusätzlich gibt es typische Anlässe:
- Vor dem Start eines neuen Kundenportals, Onlineshops oder einer neuen Anwendung.
- Nach größeren Änderungen, etwa einem Umzug in die Cloud, einer neuen Firewall oder einer Firmenübernahme.
- Nach einem Sicherheitsvorfall, um weitere Lücken zu finden.
- Vor Audits und Zertifizierungen, etwa nach ISO 27001.
- Auf Anforderung von Kunden, Versicherern oder Aufsichtsbehörden.
Für die meisten Unternehmen hat sich ein jährlicher Test der wichtigsten Systeme bewährt, ergänzt durch laufende Schwachstellenscans.
Pflichten aus NIS2, DORA und ISO 27001
Für bestimmte Unternehmen ist die Überprüfung der eigenen Sicherheit Pflicht:
- NIS2: § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Penetrationstests sind ein naheliegender Weg, diese Wirksamkeit zu belegen. Einen Überblick gibt unser Beitrag NIS2-Richtlinie einfach erklärt.
- DORA: Finanzunternehmen müssen nach der Verordnung (EU) 2022/2554 ein Testprogramm unterhalten, zu dem ausdrücklich Penetrationstests gehören. Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich zu testen. Ausgewählte Finanzunternehmen müssen nach Art. 26 zusätzlich mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchführen. Die BaFin teilt den betroffenen Unternehmen das per Bescheid mit. Mehr dazu im Beitrag Was ist DORA-Compliance?.
- ISO 27001: Die Norm verlangt den Umgang mit technischen Schwachstellen und Sicherheitsprüfungen bei Entwicklung und Abnahme. Penetrationstests sind dafür ein gängiger Nachweis.
Was kostet ein Penetrationstest?
Eine seriöse Pauschale gibt es nicht. Abgerechnet wird meist nach Personentagen, und deren Zahl hängt vor allem vom Umfang ab:
- Anzahl und Art der Systeme, Anwendungen und Standorte
- Komplexität der Umgebung, etwa Cloud, Hybrid oder OT
- gewünschte Prüftiefe und Ansatz (Black, Grey oder White Box)
- Anzahl der Benutzerrollen bei Webanwendungen
- Umfang von Bericht, Präsentation und Nachtest
Ein fokussierter Test einer einzelnen Webanwendung ist deutlich kleiner als ein interner Test mehrerer Standorte mit Active Directory und Cloud. Wichtig ist, dass der Zeitrahmen zum Umfang passt: Ein großer Umfang in zu wenigen Tagen führt zu oberflächlichen Ergebnissen. Gemessen an den Folgen eines erfolgreichen Angriffs, mit Betriebsunterbrechung, Wiederherstellung und möglichem Datenabfluss, ist ein gezielter Test meist die günstigere Investition.
Worauf Sie bei der Auswahl eines Anbieters achten sollten
| Kriterium | Prüffrage |
|---|---|
| Qualifikation | Welche Erfahrung und Zertifizierungen haben die Tester? Gibt es Referenzen in Ihrer Branche? |
| Unabhängigkeit | Prüft der Anbieter Systeme, die er selbst betreibt oder verkauft hat? |
| Vier-Augen-Prinzip | Arbeiten mindestens zwei Personen am Test? |
| Manuelle Prüfung | Wird wirklich manuell getestet oder nur ein Scanner laufen gelassen? |
| Bericht | Gibt es einen Beispielbericht mit Management-Zusammenfassung und technischen Details? |
| Nachtest | Ist ein Nachtest nach der Behebung enthalten? |
| Vertraulichkeit | Wie werden Ergebnisse gespeichert, übertragen und gelöscht? |
| Haftung | Gibt es eine Berufshaftpflicht und klare Regeln für Ausfälle? |
Eine Orientierung bietet das BSI mit seiner Liste zertifizierter IT-Sicherheitsdienstleister, zu deren Leistungsbereichen auch Penetrationstests gehören.
Was ein guter Pentest-Bericht enthält
Der Bericht ist das eigentliche Ergebnis des Tests. Ein guter Bericht enthält:
- Management-Zusammenfassung: Wie steht es um die Sicherheit, wo liegen die größten Risiken, was ist zu tun?
- Umfang und Vorgehen: Was wurde wann wie getestet, was nicht?
- Befunde mit Bewertung: jede Schwachstelle mit Schweregrad, häufig nach CVSS, und Einschätzung der Ausnutzbarkeit.
- Nachweise: Screenshots und Schritte, damit die IT den Befund nachvollziehen kann.
- Konkrete Empfehlungen: nicht nur „patchen“, sondern was genau, in welcher Reihenfolge.
- Angriffswege: wie sich einzelne Lücken zu einem vollständigen Angriff verketten lassen.
Grenzen eines Penetrationstests
Ein Pentest ist eine Momentaufnahme. Schon kurz danach können neue Schwachstellen bekannt werden, neue Systeme hinzukommen oder Konfigurationen sich ändern. Er prüft nur den vereinbarten Umfang und nur im vereinbarten Zeitraum. Und er findet nicht zwingend alles: Ein bestandener Test bedeutet nicht, dass es keine Lücken gibt, sondern dass in diesem Rahmen keine ausnutzbaren gefunden wurden.
Deshalb ersetzt ein Penetrationstest weder ein laufendes Schwachstellenmanagement noch eine Überwachung rund um die Uhr. Er ergänzt beides und zeigt, wo nachgeschärft werden muss. Auch unbekannte Lücken, sogenannte Zero-Day-Exploits, lassen sich durch einen Pentest nicht ausschließen. Hier hilft nur ein Netz, das einen Angriff früh erkennt und seine Ausbreitung begrenzt.
Praxisbeispiel: Ein Handelsunternehmen mit 150 Beschäftigten
Ein Großhändler betreibt einen Onlineshop, ein Kundenportal und eine Microsoft-365-Umgebung. Der externe Test zeigt: Shop und Portal sind solide abgesichert, aber ein vergessener Testserver ist aus dem Internet erreichbar und läuft mit einer veralteten Softwareversion.
Der interne Grey-Box-Test beginnt mit einem normalen Benutzerkonto. Innerhalb eines Tages finden die Tester ein Dienstkonto mit schwachem Passwort und weitreichenden Rechten. Darüber erreichen sie den Domänencontroller. Das Monitoring schlägt nicht an. Der Bericht priorisiert drei Maßnahmen: Testserver abschalten, Dienstkonten mit starken Passwörtern und minimalen Rechten versehen, Überwachung für Anmeldungen privilegierter Konten einrichten. Der Nachtest drei Monate später bestätigt, dass alle drei Wege geschlossen sind.
Penetrationstest mit der Deutschen Cyberkom
Wir führen externe und interne Penetrationstests, Webanwendungstests, Red Teaming und Social-Engineering-Tests durch, für IT-Umgebungen ebenso wie für industrielle OT-Umgebungen. Dabei legen wir gemeinsam mit Ihnen Umfang und Prüftiefe fest, testen strukturiert und bereiten die Ergebnisse so auf, dass sie für Ihre IT ebenso verständlich sind wie für die Geschäftsleitung. Auf Wunsch begleiten wir die Behebung und führen den Nachtest durch. Mehr dazu auf unserer Seite Penetrationstest.
Fazit: Testen, bevor es jemand anderes tut
Ein Penetrationstest zeigt, wie Ihre IT einem echten Angriff standhält. Er findet ausnutzbare Schwachstellen, macht Angriffswege sichtbar und liefert eine klare Liste, was zuerst zu tun ist. Entscheidend sind ein sauber festgelegter Umfang, ein schriftlicher Auftrag, qualifizierte Tester und ein Bericht, mit dem Ihre IT arbeiten kann. Regelmäßig wiederholt und mit laufenden Scans und Überwachung kombiniert, wird der Pentest so zu einem festen Baustein Ihrer IT-Sicherheit.
Sie möchten wissen, wie Ihre IT einem echten Angriff standhält? Wir beraten Sie zu Umfang und Ablauf eines Penetrationstests. Jetzt kostenlose Erstberatung buchen.
Quellen
- BSI: IS-Penetrationstest und IS-Webcheck
- BSI: Studie Durchführungskonzept für Penetrationstests
- BSI: Zertifizierte IT-Sicherheitsdienstleister
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
- § 30 BSIG: Risikomanagementmaßnahmen
- § 202a StGB: Ausspähen von Daten
- Verordnung (EU) 2022/2554 (DORA)
- BaFin: Testen der digitalen operationalen Resilienz und TLPT
