Was ist ein Black-Box-Test?

Black-Box-Test einfach erklärt

Der Begriff „Black Box“ stammt aus der Technik: Gemeint ist ein schwarzer Kasten, in den man nicht hineinsehen kann. Man sieht nur, was hineingeht und was herauskommt. Bei einem Black-Box-Test im Rahmen eines Penetrationstests heißt das: Das Prüfteam kennt weder Netzpläne noch Quellcode noch Zugangsdaten. Oft erhält es nur einen Firmennamen, eine Internetadresse oder einen Bereich von IP-Adressen, den „Hausnummern“ Ihrer Systeme im Internet.

Ein Vergleich: Sie beauftragen jemanden, die Einbruchssicherheit Ihres Firmengebäudes zu testen, und nennen nur die Adresse. Keinen Grundriss, keinen Schlüssel, keinen Hinweis auf die Alarmanlage. Er muss selbst herausfinden, wo Türen und Fenster sind und welche davon nachgeben.

Das Gegenstück ist der White-Box-Test, bei dem das Prüfteam umfassende Informationen erhält. Dazwischen liegt der Grey-Box-Test mit gezielt bereitgestelltem Teilwissen, etwa Testkonten.

So funktioniert ein Black-Box-Test

Ein Black-Box-Test folgt den Phasen eines echten Angriffs – nur autorisiert, dokumentiert und im vereinbarten Rahmen:

1. Rahmen festlegen: Auch ohne technisches Vorwissen braucht der Test klare Regeln. Welche Ziele dürfen geprüft werden, wann und mit welchen Methoden? Das legt der Prüfumfang fest, der Scope.
2. Informationen sammeln: Das Prüfteam recherchiert in öffentlichen Quellen (OSINT) und tastet die Systeme ab. Welche Server, Dienste und Anwendungen sind erreichbar? Welche Software läuft dort, in welcher Version?
3. Schwachstellen suchen: Die gefundenen Angriffspunkte werden mit Werkzeugen und vor allem manuell untersucht.
4. Ausnutzen und nachweisen: Wo vereinbart, belegt das Prüfteam kontrolliert, dass sich eine Lücke tatsächlich ausnutzen lässt und was ein Angreifer damit erreichen könnte.
5. Dokumentieren: Alle Befunde fließen mit Bewertung und Maßnahmenempfehlungen in den Bericht.

Auch das BSI unterscheidet in seinem Durchführungskonzept für Penetrationstests Tests unter anderem nach der Informationsbasis – also danach, wie viel das Prüfteam vorab weiß.

Ein Beispiel aus der Praxis

Ein Familienunternehmen aus der Lebensmittelbranche will wissen, was ein Fremder ohne Insiderwissen über das Internet erreichen kann. Das Prüfteam erhält nur den Firmennamen und die Hauptdomain. Bei der Recherche stößt es auf ein Fernwartungsportal, das ein Dienstleister vor Jahren eingerichtet hatte und das im Unternehmen niemand mehr auf dem Schirm hatte. Die Software dort ist veraltet und enthält eine bekannte Schwachstelle.

Der Test zeigt eindrücklich, wie realistisch die Gefahr ist: Das Portal war für jeden im Internet sichtbar. Gleichzeitig wird eine Grenze deutlich. Der passwortgeschützte Bestellbereich für Großkunden bleibt ungeprüft, weil das Prüfteam keine Zugangsdaten hat. Für die nächste Prüfung entscheidet sich das Unternehmen deshalb für einen Grey-Box-Test mit Testkonten.

Warum ist das für Unternehmen wichtig?

Ein Black-Box-Test beantwortet eine Frage, die viele Geschäftsführungen umtreibt: Was sieht und erreicht ein Fremder, der gezielt einen Weg in unser Unternehmen sucht? Er macht die von außen sichtbare Angriffsfläche greifbar – einschließlich vergessener Systeme, die in keiner Dokumentation stehen.

Die Methode hat aber Grenzen:

• Zeit: Ein echter Angreifer kann sich viel Zeit lassen, ein Pentest hat ein festes Zeitbudget. Ein Teil davon fließt in die Informationsbeschaffung statt in die eigentliche Prüfung.
• Tiefe: Bereiche hinter einer Anmeldung bleiben ohne Zugangsdaten oft ungeprüft. Gerade dort stecken aber häufig gefährliche Fehler, etwa bei Berechtigungen.
• Trügerische Sicherheit: Findet ein Black-Box-Test nichts, heißt das nicht, dass es nichts gibt. Ein Angreifer mit gestohlenen Zugangsdaten startet von einer ganz anderen Position.

Worauf Sie achten sollten

• Ziel klären: Wollen Sie die Außensicht eines Fremden simulieren oder möglichst viele Schwachstellen finden? Für Letzteres ist ein Grey- oder White-Box-Test meist effizienter.
• Scope sauber festlegen: Auch beim Black-Box-Test muss feststehen, welche Systeme geprüft werden dürfen. Bei Systemen, die Dritte für Sie betreiben, etwa Hosting- oder Cloud-Anbieter, muss geklärt sein, ob und wie getestet werden darf.
• Ansätze kombinieren: Ein Black-Box-Teil für die Außensicht, ergänzt um einen Grey-Box-Teil mit Testkonten, verbindet oft Realismus und Testtiefe.
• Ansprechperson benennen: Legen Sie fest, wer während des Tests erreichbar ist – etwa wenn eine kritische Lücke auftaucht oder ein System ungewöhnlich reagiert.
• Ergebnisse richtig einordnen: Lesen Sie den Bericht als Momentaufnahme der Außensicht, nicht als Beleg für umfassende Sicherheit.

Wie Rootsektor unterstützt

Ob Black-, Grey- oder White-Box: Im Scoping besprechen wir mit Ihnen, welcher Ansatz zu Ihren Zielen passt, und kombinieren die Varianten bei Bedarf. Einen Überblick über unsere Leistungen finden Sie unter Penetration Testing. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot, und der Retest der behobenen Schwachstellen ist kostenlos. Ihre Anfrage stellen Sie über die Seite Pentest-Angebot.