Grey-Box-Test einfach erklärt
Penetrationstests unterscheiden sich unter anderem darin, wie viel das Prüfteam vorab weiß. Beim Black-Box-Test startet es fast ohne Informationen, beim White-Box-Test bekommt es umfassenden Einblick bis hin zum Quellcode. Der Grey-Box-Test liegt dazwischen – daher der Name „graue Box“.
Ein Vergleich: Sie lassen die Sicherheit Ihres Bürogebäudes prüfen. Beim Black-Box-Ansatz steht der Prüfer vor dem Zaun und sucht erst einmal die Eingänge. Beim Grey-Box-Ansatz erhält er einen Besucherausweis und einen Grundriss. Er spart sich die Suche und kann sofort prüfen, ob ein Besucher in Räume gelangt, die für ihn tabu sein sollten.
In der IT ist das oft die wichtigste Frage: Was kann jemand anrichten, der schon einen Fuß in der Tür hat? Gemeint ist etwa ein Angreifer mit erbeuteten Zugangsdaten oder ein Innentäter.
So funktioniert ein Grey-Box-Test
- Scoping: Sie legen gemeinsam mit dem Prüfteam fest, was getestet wird (der Scope) und welche Informationen das Team dafür erhält.
- Bereitstellung: Typisch sind Testkonten mit verschiedenen Rollen (etwa Kunde, Sachbearbeitung, Administration), eine Schnittstellendokumentation, Netzpläne oder ein Standard-Arbeitsplatzrechner für interne Tests.
- Test: Das Prüfteam greift mit den Methoden echter Angreifer an – von einem realistischen Ausgangspunkt aus. Es prüft etwa, ob ein Kunde fremde Bestellungen sieht oder ein normales Benutzerkonto Administratorrechte erlangen kann.
- Bericht: Sie erhalten die Befunde mit Risikobewertung und konkreten Maßnahmenempfehlungen.
Typische Szenarien sind:
- Webanwendung oder Programmierschnittstelle (API) mit Login: Mit mindestens zwei Konten pro Rolle lässt sich prüfen, ob Nutzende auf Daten anderer zugreifen können. Diese Lücke ist als IDOR bekannt.
- Assumed Breach („angenommener Einbruch“): Der Test beginnt mit einem gewöhnlichen Benutzerkonto im internen Netz, so als wäre ein Phishing-Angriff bereits gelungen.
- Cloud-Umgebung: Das Prüfteam erhält eine Identität mit typischen Rechten und prüft, wie weit sich der Zugriff ausweiten lässt.
Ein Beispiel aus der Praxis
Ein Dienstleister für Lohnabrechnung betreibt ein Webportal, in dem Firmenkunden die Daten ihrer Beschäftigten pflegen. Für den Penetrationstest stellt er je zwei Testkonten für die Rollen „Sachbearbeitung“ und „Kundenadministration“ bereit, verteilt auf zwei eigens angelegte Testfirmen. Weil das Prüfteam keine Zeit mit dem Erraten von Zugängen verbringt, kann es die Bereiche hinter dem Login gründlich untersuchen.
Dabei fällt auf: Über eine veränderte Anfrage kann eine Kundenadministratorin Benutzer in einer fremden Firma anlegen. Ein reiner Black-Box-Test wäre ohne gültiges Konto kaum bis zu dieser Funktion vorgedrungen.
Warum ist das für Unternehmen wichtig?
Die Zeit für einen Penetrationstest ist begrenzt. Je weniger davon in die reine Informationsbeschaffung fließt, desto mehr bleibt für die Tiefe. Deshalb bietet der Grey-Box-Ansatz meist das beste Verhältnis von Testtiefe und Aufwand.
Er ist zudem realistisch. Viele Angriffe beginnen mit gestohlenen Zugangsdaten, etwa durch Phishing oder Datenlecks. Ein Grey-Box-Test bildet genau diese Lage ab. Fehler in Berechtigungen und Geschäftslogik werden außerdem oft erst mit gültigen Konten sichtbar.
Eine Grenze hat der Ansatz: Er zeigt nicht, wie ein Angreifer überhaupt den ersten Zugang erlangt. Wer auch das wissen möchte, kombiniert ihn mit einem Black-Box-Anteil, etwa einem externen Test ohne Vorwissen.
Worauf Sie achten sollten
- Ziel festlegen: Klären Sie, welches Angreiferszenario der Test abbilden soll – etwa Kunde, Beschäftigte oder Dienstleister.
- Realistische Testkonten: Stellen Sie für jede Rolle eigene Konten mit realistischen Rechten bereit, nicht pauschal mit Administratorrechten.
- Zwei Konten pro Rolle: Nur so lassen sich Zugriffe über Benutzer- und Mandantengrenzen hinweg prüfen, also zwischen verschiedenen Kundenfirmen auf derselben Plattform.
- Unterlagen bereitstellen: API-Dokumentation, Netzpläne und Rollenkonzept beschleunigen den Test.
- Umgebung klären: Legen Sie fest, ob in der Produktiv- oder einer Testumgebung geprüft wird und welche Testdaten verwendet werden.
- Aufräumen: Deaktivieren oder löschen Sie die Testkonten nach Abschluss.
Wie Rootsektor unterstützt
Für die meisten Webanwendungen, APIs und internen Netze empfehlen wir einen Grey-Box-Ansatz. Welche Informationen und Testkonten sinnvoll sind, klären wir im Scoping – passend zu Ihrem Ziel und Ihrem Budget. Mehr über Testarten und Ablauf erfahren Sie auf unserer Seite Penetration Testing. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot; anfordern können Sie es über unser Pentest-Angebot.