Was ist ein Penetrationstest?

Penetrationstest einfach erklärt

Stellen Sie sich vor, Sie beauftragen eine Sicherheitsexpertin, in Ihr eigenes Firmengebäude einzubrechen. Sie rüttelt an Türen, prüft Fenster, testet die Alarmanlage und schaut, ob ein Schlüssel unter der Fußmatte liegt. Alles, was ihr gelingt, schreibt sie auf – samt Tipps, wie Sie die Lücken schließen. Genau das ist ein Penetrationstest, nur für Ihre IT: für Server, Webanwendungen, Netzwerke und Cloud-Dienste, aber auch für Abläufe, an denen Menschen beteiligt sind.

Das Wort stammt vom englischen „penetration“, also Eindringen. Im Alltag sagt man meist kurz Pentest. Die Fachleute heißen Penetrationstester oder Pentester. Sie denken wie Angreifer, arbeiten aber in Ihrem Auftrag und halten sich an vorher vereinbarte Regeln.

Ein Pentest ist mehr als ein automatischer Schwachstellenscan. Ein Scanner gleicht Systeme mit Listen bekannter Fehler ab – ähnlich wie ein Kontrolleur, der mit einer Checkliste nachsieht, ob an jedem Fenster ein Schloss ist. Ein Pentest geht weiter: Fachleute prüfen von Hand, ob sich eine Lücke wirklich ausnutzen lässt, ob sich mehrere kleine Schwächen zu einem gefährlichen Angriffsweg verbinden und was ein Angreifer am Ende erreichen könnte. Einen Überblick über die verschiedenen Testarten finden Sie auf unserer Seite Penetration Testing.

So läuft ein Penetrationstest ab

Seriöse Pentests folgen einem festen Ablauf. Orientierung geben öffentliche Leitfäden wie das „Durchführungskonzept für Penetrationstests“ des BSI oder der OWASP Testing Guide, ein frei verfügbarer Prüfleitfaden für Webanwendungen.

1. Ziel und Prüfumfang festlegen: Gemeinsam wird geklärt, was getestet wird und was nicht. Diesen Rahmen nennt man Scope. Dazu gehören auch Zeitfenster, Ansprechpersonen und Tabus, etwa besonders empfindliche Systeme.
2. Schriftliche Erlaubnis einholen: Ohne Zustimmung des Systeminhabers kann dasselbe Vorgehen strafbar sein, etwa als Ausspähen von Daten nach § 202a StGB. Deshalb werden die Spielregeln – die sogenannten Rules of Engagement – vorab schriftlich festgehalten.
3. Informationen sammeln: Das Prüfteam erkundet die Ziele. Welche Dienste sind aus dem Internet erreichbar? Welche Software läuft in welcher Version?
4. Schwachstellen suchen und ausnutzen: Mit Werkzeugen, vor allem aber mit Erfahrung und Handarbeit sucht das Team nach Lücken. Vielversprechende Funde werden kontrolliert ausgenutzt, oft mit einem Exploit – einem Stück Angriffscode. Erst das zeigt, ob eine Lücke echt ist.
5. Ergebnisse dokumentieren: Der Pentest-Bericht beschreibt jede Schwachstelle nachvollziehbar, bewertet ihr Risiko und nennt konkrete Gegenmaßnahmen.
6. Behebung nachprüfen: Sind die Lücken geschlossen, kontrolliert ein Retest, ob die Maßnahmen wirklich greifen.

Wie viel das Prüfteam vorab weiß, bestimmt die Testperspektive. Beim Black-Box-Test startet es ohne Vorwissen wie ein Außenstehender. Beim Grey-Box-Test erhält es zum Beispiel Testzugänge, beim White-Box-Test vollen Einblick bis hin zum Quellcode. Geprüft werden können Webshops, Schnittstellen (APIs), Apps, Netzwerke, WLAN, Cloud-Umgebungen, KI-Anwendungen und Industrieanlagen – und mit Social-Engineering-Tests auch die Frage, wie leicht sich Menschen täuschen lassen.

Ein Beispiel aus der Praxis

Ein erfundenes, aber typisches Szenario: Ein mittelständischer Onlinehändler lässt vor dem Start seines neuen Kundenportals einen Pentest durchführen. Ein automatischer Scan hatte zuvor nichts Auffälliges gefunden. Der Pentester meldet sich mit einem gewöhnlichen Testkonto an und ändert in der Adresszeile des Browsers die Nummer einer Bestellung. Plötzlich sieht er die Rechnung eines fremden Kunden – mit Name, Anschrift und bestellten Artikeln.

Für einen Scanner ist dieser Fehler unsichtbar, denn technisch funktioniert alles. Erst ein Mensch erkennt, dass die Anwendung nicht prüft, wem eine Bestellung gehört. Fachleute sprechen von IDOR. Das Prüfteam meldet den Fund sofort, das Entwicklungsteam behebt ihn vor dem Livegang, und der Retest bestätigt die Korrektur. Unentdeckt hätten Angreifer auf diesem Weg die Daten der gesamten Kundschaft abrufen können.

Warum ist das für Unternehmen wichtig?

Angreifern genügt eine einzige offene Tür. Ein Penetrationstest zeigt Ihnen diese Türen, bevor jemand anderes sie findet – und er zeigt, welche davon wirklich gefährlich sind. So setzen Sie Ihr Budget dort ein, wo es am meisten bewirkt.

Hinzu kommen Anforderungen von außen. Eine allgemeine Pentest-Pflicht gibt es in Deutschland nicht. Viele Regelwerke sehen aber vor, die Wirksamkeit von Sicherheitsmaßnahmen regelmäßig zu überprüfen, etwa Art. 32 der DSGVO, die NIS2-Vorgaben oder die Norm ISO/IEC 27001. Für Finanzunternehmen schreibt die EU-Verordnung DORA ein Testprogramm vor, und der Kartenzahlungsstandard PCI DSS 4.0.1 fordert Penetrationstests ausdrücklich. Auch Kunden, Partner oder Versicherer können einen Nachweis verlangen.

Worauf Sie achten sollten

• Klares Ziel: Legen Sie fest, was der Test leisten soll – etwa einen Nachweis für ein Audit oder die Absicherung einer neuen Anwendung vor dem Start.
• Sauberer Prüfumfang: Ein präzise beschriebener Scope macht Angebote vergleichbar und verhindert Überraschungen.
• Echte Handarbeit: Fragen Sie nach, wie viel manuelle Prüfung im Test steckt. Ein automatischer Scan mit neuem Etikett ist kein Pentest.
• Schriftliche Freigabe: Achten Sie auf eine schriftliche Beauftragung mit Zielen, Zeitraum und Tabus. Bei gehosteten Systemen gelten zusätzlich die Regeln des Hosters oder Cloud-Anbieters.
• Verständlicher Bericht: Ein guter Bericht enthält eine Management Summary für die Geschäftsführung und einen technischen Teil mit Nachweisen und Maßnahmen.
• Nachprüfung einplanen: Klären Sie vorab, ob ein Retest der behobenen Schwachstellen enthalten ist.
• Regelmäßig testen: Als Faustregel gilt mindestens einmal im Jahr und zusätzlich nach größeren Änderungen, etwa einem Umzug in die Cloud.

Wie Rootsektor unterstützt

Rootsektor führt Penetrationstests unter anderem für Webanwendungen, APIs, Netzwerke, Cloud-Umgebungen, KI-Anwendungen und Industrieanlagen durch – manuell und orientiert an anerkannten Standards. Nach dem Scoping erhalten Sie ein Festpreisangebot, und der Retest der behobenen Schwachstellen ist kostenlos. Alle Testarten finden Sie unter Penetration Testing, Ihren Prüfumfang beschreiben Sie im Pentest-Angebot.