Penetrationstest: Schwachstellen finden, bevor es andere tun

Die meisten Sicherheitslücken sind nicht spektakulär. Ein vergessener Testzugang, ein veraltetes Plugin, eine zu großzügig gesetzte Berechtigung – einzeln harmlos, in Kombination oft der Weg zum vollständigen Zugriff. Ein Penetrationstest macht genau diese Kette sichtbar, indem er kontrolliert nachstellt, was ein echter Angreifer versuchen würde.

Pentest ist nicht gleich Schwachstellenscan

Der Unterschied wird ständig verwischt, meist von Anbietern, die das eine verkaufen und das andere versprechen.

| | Schwachstellenscan | Penetrationstest | |---|---|---| | Vorgehen | Automatisiert gegen eine Signaturliste | Manuell, kombinierend, kreativ | | Ergebnis | Liste bekannter Lücken | Nachgewiesene Angriffswege | | Falschmeldungen | Viele, müssen aussortiert werden | Verifiziert, weil ausgenutzt | | Findet Ketten? | Nein | Ja – das ist der eigentliche Zweck | | Aufwand | Minuten bis Stunden | Tage bis Wochen |

Ein Scanner meldet zehn mittelschwere Befunde. Ein Tester zeigt, dass drei davon zusammen Domänenadministrator ergeben. Das ist der Unterschied, und deshalb ersetzt keines das andere: Der Scan gehört in den laufenden Betrieb, der Pentest in den Rhythmus.

Wie das BSI Pentests einordnet

Das BSI hat mit seinem Durchführungskonzept für Penetrationstests einen Rahmen vorgelegt, der bei der Auftragsgestaltung hilft. Tests werden dort anhand mehrerer Kriterien beschrieben – unter anderem der Informationsbasis und der Aggressivität.

Zwei Empfehlungen daraus überraschen viele:

Das BSI rät generell zu White-Box-Tests. Der Reflex geht meist zum Black-Box-Test, weil er „realistischer" wirkt – der Tester weiß nichts, wie ein echter Angreifer. Das Problem: Ein Tester hat Tage, ein Angreifer hat Monate. Was der Tester in der begrenzten Zeit nicht findet, findet der Angreifer später trotzdem. Mit Vorwissen prüft derselbe Aufwand deutlich mehr Fläche.

Moderate Aggressivität statt maximaler. Ein Test soll Schwachstellen nachweisen, sie aber nur dann aktiv ausnutzen, wenn es unvermeidbar ist – und dann mit hinreichend erprobten Mitteln. Ein aggressiver Test fällt zudem schnell auf und passt schlecht zu einem verdeckten Vorgehen.

Für die Beauftragung heißt das: Legen Sie diese Punkte vorher fest und schreiben Sie sie in den Vertrag, statt sie dem Tester zu überlassen.

Die rechtliche Seite – kein Formalismus

Ein Penetrationstest greift aktiv in Systeme ein. Ohne wirksame Beauftragung berührt das in Deutschland die §§ 202a ff. StGB – Ausspähen und Abfangen von Daten. Ein Häkchen auf einer Webseite genügt dafür nicht.

Was Sie brauchen, ist eine schriftliche Beauftragung, oft Letter of Permission to Attack genannt, mit mindestens diesen Angaben:

• benannte Ziele – IP-Bereiche, Domains, Anwendungen; und ausdrücklich, was nicht dazugehört
• Prüffenster – Zeitraum und Uhrzeiten
• Ansprechpartner auf beiden Seiten, erreichbar auch nachts
• Abbruchkriterien – wann wird gestoppt, wer darf stoppen
• Umgang mit gefundenen Daten – insbesondere personenbezogenen

Ein Sonderfall, den viele übersehen: Liegt das Ziel bei einem Hoster oder in einer Cloud, ist zusätzlich dessen Zustimmung nötig. Sie können nur beauftragen, worüber Sie verfügen.

Wie ein Test abläuft

1. Abstimmung – Ziel, Umfang, Informationsbasis, Prüffenster, Ansprechpartner.
2. Aufklärung – was ist überhaupt da? Häufig der aufschlussreichste Teil, weil Systeme auftauchen, von denen niemand mehr wusste.
3. Prüfung – methodisch entlang eines anerkannten Vorgehens, nicht nach Bauchgefühl.
4. Ausnutzung – kontrolliert, im vereinbarten Rahmen, mit Nachweis statt Schaden.
5. Bericht – nach Risiko priorisiert, mit konkreten Empfehlungen und einer Zusammenfassung, die auch die Geschäftsführung versteht.
6. Nachtest – nach der Behebung. Ohne diesen Schritt wissen Sie nicht, ob es wirklich zu ist.

Der Nachtest wird am häufigsten weggespart und ist am zweitwichtigsten nach dem Test selbst.

Woran Sie ein gutes Angebot erkennen

• Der Umfang ist konkret. „Pentest Ihrer Infrastruktur" ist kein Umfang. Systeme, Anzahl, Tiefe gehören ins Angebot.
• Es steht Aufwand drin, nicht nur ein Preis. Personentage sagen mehr über die Prüftiefe als jede Zertifikatsliste.
• Der Bericht ist Teil der Leistung, inklusive Management-Zusammenfassung und Nachtest-Option.
• Manuelle Anteile werden benannt. Wer nur einen Scanner laufen lässt und das Ergebnis als Pentest verkauft, ist an dieser Stelle vage.
• Es gibt eine Klärung zum Umgang mit personenbezogenen Daten.

Wann sich der Aufwand lohnt

Vor dem Livegang neuer Anwendungen, nach größeren Änderungen an der Infrastruktur, im Rahmen von Zertifizierungen – und in einem regelmäßigen Turnus, weil ein Test eine Momentaufnahme ist.

Eine sinnvolle Reihenfolge: Erst die passiv sichtbaren Punkte abarbeiten, dann härten, dann testen. Ein Pentest, der Ihnen bestätigt, was ein kostenloser Schwachstellencheck auch gefunden hätte, ist teuer bezahltes Bekanntes. Der Test lohnt sich dort, wo Sie wissen wollen, ob die verbleibende Angriffsfläche wirklich ausnutzbar ist.

Der eigentliche Wert liegt danach

Der Bericht ist nicht das Ziel, sondern der Startpunkt. Der Nutzen entsteht, wenn die Funde behoben und die Ursachen dahinter angegangen werden – meist organisatorische Themen wie Patch-Management oder Berechtigungsvergabe. Ein Pentest, dessen Befunde ein Jahr später noch offen sind, war eine teure Bestätigung.

Stand: August 2026. Einordnung nach dem BSI-Durchführungskonzept für Penetrationstests.

Weiterführend: Schwachstellenmanagement · Systemhärtung mit CIS Benchmarks · Cyber-Risiko-Check · Zertifizierungen