Viele Unternehmen glauben, ihre IT sei sicher — bis jemand anderes das Gegenteil beweist. Ein Penetrationstest macht genau das: Er prüft, wie weit ein echter Angreifer kommen würde.
Das Ziel ist nicht, ein Unternehmen zu erschrecken. Es geht darum, Schwachstellen zu finden, bevor es jemand mit schlechten Absichten tut — und das kontrolliert, strukturiert und unter definierten Bedingungen.
Was ist ein Penetrationstest?
Ein Penetrationstest (kurz: Pentest) ist ein autorisierter, systematischer Angriff auf IT-Systeme, Netzwerke oder Anwendungen mit dem Ziel, Sicherheitslücken aufzudecken. Die Tester — Security-Experten mit den Methoden echter Angreifer — simulieren reale Angriffszenarien.
Das Ergebnis: Ein detaillierter Bericht mit gefundenen Schwachstellen, ihrer Schwere (Criticality) und konkreten Handlungsempfehlungen. Kein theoretisches Gutachten, sondern Praxis.
Pentest vs. Vulnerability Assessment: Was ist der Unterschied?
Beide Begriffe werden oft vermischt — sie meinen aber verschiedene Dinge:
Vulnerability AssessmentPenetrationstest**Ansatz**Automatisierter Scan nach bekannten SchwachstellenManuelle, aktive Ausnutzung von Schwachstellen**Tiefe**ÜberblickTiefgehend**Ergebnis**Liste potenzieller SchwachstellenNachweis, dass Schwachstellen ausnutzbar sind**Aufwand**GeringerDeutlich höher**Für wen**Periodische GrundprüfungGezielte Sicherheitsüberprüfung
Ein Vulnerability Assessment ist der erste Schritt. Ein Penetrationstest geht tiefer: Er zeigt nicht nur, was theoretisch angreifbar ist — sondern was tatsächlich angegriffen werden kann.
Arten von Penetrationstests
Nach Informationsstand (Black/Grey/White Box)
Black Box: Die Tester erhalten keine Informationen über das Zielsystem — wie ein externer Angreifer, der von vorn beginnt.
White Box: Voller Einblick in Infrastruktur, Quellcode, Dokumentation. Effizient für tiefe Analyse.
Grey Box: Der häufigste Ansatz. Teilinformationen — z. B. Zugangsdaten für ein Nutzerkonto, aber kein Admin-Zugang. Simuliert einen eingeschleusten Angreifer oder einen kompromittierten Mitarbeiter.
Nach Zielbereich
- Netzwerkpentest: Infrastruktur, Firewall-Konfiguration, interne Netzwerksegmentierung
- Webapplikationstest: Sicherheit von Webanwendungen (OWASP Top 10, SQL-Injection, XSS, etc.)
- Social Engineering: Phishing-Simulationen, Pretexting-Anrufe, physischer Zugangsversuch
- Cloud-Pentest: AWS-, Azure- oder GCP-Konfigurationsschwächen
- Mobile App Testing: Sicherheit von Apps auf iOS und Android
Wann ist ein Penetrationstest sinnvoll?
Es gibt keine universelle Antwort — aber klare Situationen, in denen ein Pentest nicht optional ist:
Regulatorische Pflicht
DORA schreibt für bestimmte Finanzinstitute Threat-Led Penetration Testing (TLPT) vor. NIS2 verlangt von betroffenen Unternehmen regelmäßige Sicherheitstests. Auch ISO 27001-Zertifizierungen beinhalten Anforderungen an regelmäßige Sicherheitsüberprüfungen.
Nach größeren IT-Änderungen
Neues ERP-System, neue Cloud-Infrastruktur, Migration auf Microsoft Azure — jede große Änderung schafft neue Angriffsflächen. Ein Pentest direkt nach dem Go-live ist keine Luxus, sondern Qualitätssicherung.
Vor Vertragsschluss mit Großkunden oder Behörden
Immer mehr Auftraggeber fordern Nachweise über Ihre IT-Sicherheit. Ein Pentest-Bericht ist ein konkreter Nachweis.
Nach einem Sicherheitsvorfall
Wer gehackt wurde, muss wissen, wie es dazu kam — und ob der Angriffspfad geschlossen wurde. Ein Pentest nach dem Vorfall ist fast immer sinnvoll.
Regelmäßig — proaktiv
Gute Praxis: einmal jährlich, bei kritischen Systemen öfter. Sicherheit ist kein Zustand, sondern ein Prozess.
Wie läuft ein Penetrationstest ab?
1. Scope-Definition
Was genau soll getestet werden? Welche Systeme, welche Methoden, in welchem Zeitrahmen? Was ist tabu (z. B. Produktivsysteme unter Betrieb)? Dieser Schritt ist entscheidend — und erfordert klare Absprachen.
2. Reconnaissance (Aufklärung)
Die Tester sammeln öffentlich verfügbare Informationen über das Ziel: DNS-Einträge, offene Ports, E-Mail-Adressen, technische Footprints. Oft findet man hier schon erste Ansätze.
3. Schwachstellenanalyse
Systematische Suche nach Sicherheitslücken — in Konfigurationen, Software-Versionen, Authentifizierungsmechanismen.
4. Exploitation
Jetzt wird es ernst: Identifizierte Schwachstellen werden aktiv ausgenutzt — immer im vereinbarten Rahmen. Ziel: den tatsächlichen Schaden eines Angriffs simulieren.
5. Post-Exploitation & Lateral Movement
Wie weit kommt der Angreifer nach dem ersten Einbruch? Kann er sich lateral durch das Netzwerk bewegen? Kann er Daten exfiltrieren oder Systeme übernehmen?
6. Reporting
Der Pentest-Bericht enthält: alle gefundenen Schwachstellen, Proof-of-Concept-Nachweise, Risikobewertungen (CVSS-Scores) und priorisierte Handlungsempfehlungen. Keine Flut von Fachbegriffen — sondern klare Prioritäten.
Was ein guter Pentest-Anbieter mitbringen sollte
- Nachweisliche Erfahrung und Zertifizierungen (OSCP, CEH, CREST)
- Transparenter Scope-Prozess und klare Verträge
- Detailliertes Reporting für technische und nicht-technische Empfänger
- Bereitschaft zur Nachbesprechung und Nachprüfung
- Vertraulichkeitsvereinbarung (NDA) von Anfang an
Penetrationstest und DSGVO: Was zu beachten ist
Ein Pentest berührt oft personenbezogene Daten — wenn Testsysteme mit echten Daten laufen oder Mitarbeiter Teil der Social-Engineering-Simulation sind. Hier braucht es:
- Klare Auftragsverarbeitungsverträge (AVV) mit dem Pentest-Anbieter
- Datensparsamkeit (idealerweise Testsysteme mit anonymisierten Daten)
- Einwilligung oder Unterrichtung bei Social-Engineering-Tests an Mitarbeiter
Fazit
Ein Penetrationstest ist keine Ausgabe — er ist eine Investition in Sicherheit und Handlungsfähigkeit. Wer weiß, wo seine Schwachstellen sind, kann sie schließen. Wer es nicht weiß, erfährt es irgendwann auf die harte Tour.
Die Frage ist nicht ob ein Angreifer Lücken findet — sondern ob Sie diese zuerst kennen.
Wollen Sie wissen, wie gut Ihre IT-Infrastruktur wirklich aufgestellt ist? Unser IT-Sicherheits-Check gibt Ihnen einen strukturierten Überblick — als Basis für einen gezielten Penetrationstest.
FAQ: Penetrationstest Unternehmen
Wie lange dauert ein Penetrationstest?
Das hängt vom Scope ab. Ein gezielter Webapplikationstest kann in 2–3 Tagen abgeschlossen sein. Ein umfassender Infrastruktur-Pentest mit Social Engineering dauert oft 1–2 Wochen.
Wie viel kostet ein Pentest?
Einfache Pentests beginnen ab etwa 3.000–5.000 €. Umfangreichere Projekte (große Infrastruktur, mehrere Systeme) können deutlich teurer werden. Der Schaden eines unentdeckten Angriffs ist in der Regel um ein Vielfaches höher.
Kann ein Pentest laufende Systeme beschädigen?
Ein professioneller Pentest wird so durchgeführt, dass produktive Systeme nicht beeinträchtigt werden. Die Scope-Definition legt genau fest, was getestet werden darf — und was nicht.
