Penetrationstest (Pentest): Angriff mit Erlaubnis

Was ein Penetrationstest ist

Bei einem Penetrationstest greifen Sicherheitsfachleute Systeme, Netzwerke oder Anwendungen mit den Methoden echter Angreifer an, aber mit Erlaubnis und nach festen Regeln. Anders als ein automatischer Schwachstellenscan bleibt ein Pentest nicht bei der Liste möglicher Lücken stehen: Er zeigt, ob sich eine Lücke ausnutzen lässt und welche Folgen das hätte, etwa Zugriff auf vertrauliche Daten oder Administratorrechte.

Pentests gibt es für verschiedene Ziele: die von außen erreichbare Infrastruktur, das interne Netz, Webanwendungen und Schnittstellen, Cloud-Umgebungen oder Mitarbeitende im Rahmen von Social Engineering. Wie viel die Tester vorab wissen, bestimmt die Testart.

Black-Box, Grey-Box und White-Box im Vergleich

So läuft ein Pentest ab

Am Anfang stehen Umfang, Zeitraum und Regeln, schriftlich vereinbart. Ohne diese Beauftragung wäre der Test ein unerlaubter Zugriff auf fremde Systeme. Danach sammeln die Tester Informationen über das Ziel, suchen nach Schwachstellen und versuchen, sie auszunutzen und sich weiter im Netz zu bewegen. Jeder Befund wird mit Beleg, Risikobewertung und Empfehlung dokumentiert. Nach der Behebung prüft ein Nachtest, ob die Lücken tatsächlich geschlossen sind. Orientierung für das Vorgehen gibt der Praxis-Leitfaden für IS-Penetrationstests des BSI.

Pentest oder Schwachstellenmanagement?

Beides ergänzt sich. Das Schwachstellenmanagement ist ein laufender Prozess: Systeme werden regelmäßig gescannt, bekannte Lücken bewertet, priorisiert und geschlossen. Ein Pentest ist eine gezielte Prüfung zu einem Zeitpunkt, die zeigt, was ein Angreifer mit den vorhandenen Lücken tatsächlich erreichen kann, auch durch die Kombination mehrerer kleiner Schwächen. Der Scan findet die Breite, der Pentest prüft die Tiefe. Eine Gegenüberstellung finden Sie im Eintrag Schwachstellenmanagement.

Pentests als Pflicht: NIS2, DORA und ISO 27001

Für Einrichtungen unter NIS2 verlangt das BSI-Gesetz Konzepte und Verfahren, um die Wirksamkeit der Sicherheitsmaßnahmen zu bewerten (§ 30 Abs. 2 Nr. 6 BSIG). Regelmäßige Pentests sind ein anerkannter Weg dafür. DORA schreibt Finanzunternehmen ein Programm zum Testen der digitalen operationalen Resilienz vor (Art. 24 bis 27); bestimmte Unternehmen müssen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchführen. Auch für die ISO/IEC 27001 dienen Pentests als Nachweis wirksamer Kontrollen.

Grenzen des klassischen Pentests

Ein Pentest ist eine Momentaufnahme. Zwischen zwei Tests ändern sich Systeme, Cloud-Dienste und Berechtigungen, und neue Lücken bleiben bis zum nächsten Test unentdeckt. Zudem prüft er nur den vereinbarten Umfang. Kontinuierliches Pentesting schließt diese Lücke, indem es Angriffe automatisiert und regelmäßig wiederholt. Erkannte Angriffe stoppt ein Security Operations Center, und für den Ernstfall braucht es ein Immutable Backup.