Jeden Tag werden Unternehmen angegriffen. Phishing-Mails, Ransomware, gestohlene Zugangsdaten, die Methoden sind vielfältig, das Ziel ist immer dasselbe: in Systeme eindringen, Daten stehlen oder den Betrieb ganz lahmlegen. Die entscheidende Frage lautet nicht, ob ein Angriff kommt, sondern wann und ob Ihr Unternehmen dann standhält. Genau das testet ein Penetrationstest (kurz: Pentest). Dieser Artikel erklärt, was ein Pentest ist, wie er abläuft, welche Arten es gibt und wann er sinnvoll ist.
Was ist ein Penetrationstest? Definition und Grundprinzip
Ein Penetrationstest (auch Pentest, Pen-Test oder Penetration Test) ist ein gezielter, autorisierter Angriff auf ein IT-System, eine Anwendung oder eine Netzwerkinfrastruktur. Sicherheitsexperten, sogenannte Pentester oder Ethical Hacker, versuchen dabei, reale Angriffsmethoden einzusetzen, um Schwachstellen zu finden, bevor es echte Angreifer tun.
Kurzgefasst:
Die wichtigsten Arten von Penetrationstests
Black-Box-Test
White-Box-Test
Grey-Box-Test
| Testtyp | Simuliert |
|---|---|
| Black-Box | Externer Angreifer ohne Vorwissen |
| White-Box | Interner Angreifer mit vollem Zugriff |
| Grey-Box | Angreifer mit eingeschränktem Zugang (realistischster Fall) |
Was wird bei einem Pentest getestet?
Netzwerk-Penetrationstest
Web Application Penetrationstest
Social Engineering Pentest
WLAN- und Infrastruktur-Pentest
Wie läuft ein Penetrationstest ab?
- Aufklärung & Informationssammlung: Der Pentester sammelt öffentlich verfügbare Informationen über das Ziel, Domainnamen, IP-Ranges, Mitarbeiter-Profile, E-Mail-Formate. Das klingt harmlos, ist aber die Grundlage jedes echten Angriffs.
- Schwachstellenanalyse: Automatisierte und manuelle Werkzeuge scannen das Ziel auf bekannte Sicherheitslücken, veraltete Software, Fehlkonfigurationen und offene Ports.
- Exploitation: Identifizierte Schwachstellen werden aktiv ausgenutzt, kontrolliert und dokumentiert. Ziel ist der Beweis, dass eine Lücke tatsächlich ausnutzbar ist und welche Konsequenzen das hätte.
- Post-Exploitation: Was könnte ein Angreifer nach dem ersten Einbruch tun? Lateral Movement, Privilege Escalation, Datenzugriff, dieser Schritt zeigt den realen Schadensumfang.
- Dokumentation & Bericht: Alle Befunde werden lückenlos dokumentiert. Der Abschlussbericht enthält eine Zusammenfassung für die Geschäftsführung sowie technische Details und konkrete Handlungsempfehlungen für die IT.
Wichtig:
Wann braucht ein Unternehmen einen Penetrationstest?
- Nach größeren System- oder Infrastrukturveränderungen (neue Software, Cloud-Migration, neue Standorte)
- Vor dem Launch einer neuen Webanwendung oder eines Kundenportals
- Nach einem Sicherheitsvorfall, um sicherzustellen, dass alle Einfallstore geschlossen sind
- Im Rahmen von Compliance-Anforderungen (NIS-2, ISO 27001, DSGVO, BSI-Grundschutz)
- Als regelmäßige Maßnahme, mindestens einmal jährlich empfohlen
- Wenn das letzte Sicherheits-Audit schon länger als 12 Monate zurückliegt
NIS-2 & Penetrationstests:
Penetrationstest vs. Vulnerability Scan: Was ist der Unterschied?
| Vulnerability Scan | Penetrationstest |
|---|---|
| Automatisiert | Manuell + automatisiert |
| Findet bekannte Schwachstellen | Prüft ob Schwachstellen wirklich ausnutzbar sind |
| Schnell & kostengünstig | Zeitintensiver, tiefergehend |
| Kein Beweis der Ausnutzbarkeit | Liefert den Beweis durch echte Exploitation |
| Gut als laufendes Monitoring | Notwendig für tiefe Sicherheitsanalyse |
Penetrationstest von CompiPower: Reale Angriffe, echter Schutz
Unsere Pentest-Leistungen im Überblick:
- Black-, White- und Grey-Box-Penetrationstests für Netzwerke und Infrastruktur
- Web Application Pentests für Portale, Shops und APIs
- Social Engineering Tests und Phishing-Simulationen
- WLAN- und physische Sicherheitsprüfungen
- DSGVO- und NIS-2-konforme Dokumentation und Abschlussberichte
- Konkrete Handlungsempfehlungen statt theoretischer Risikolisten
Ein Pentest ist kein Misstrauensvotum, er ist Verantwortung
Häufig gestellte Fragen (FAQ)
Ein Penetrationstest (Pentest) ist ein autorisierter, kontrollierter Angriff auf IT-Systeme, Netzwerke oder Anwendungen. Sicherheitsexperten versuchen dabei mit denselben Methoden wie echte Hacker in Systeme einzudringen, um Sicherheitslücken zu finden, bevor Angreifer sie ausnutzen. Das Ergebnis ist ein detaillierter Bericht mit konkreten Handlungsempfehlungen.
Keiner, beide Begriffe bezeichnen dasselbe. 'Pentest' ist die gängige Abkürzung für 'Penetrationstest' oder 'Penetration Test'. Auch 'Pen-Test' wird synonym verwendet. Im deutschsprachigen Raum ist 'Penetrationstest' der formellere Begriff, 'Pentest' der im Alltag und unter Fachleuten gebräuchlichere.
Das hängt stark vom Umfang ab. Ein einfacher Web-Application-Pentest für eine einzelne Anwendung kann in 2-3 Tagen abgeschlossen sein. Ein vollständiger Infrastruktur-Pentest für ein mittelständisches Unternehmen dauert typischerweise 5-10 Tage. Hinzu kommt die Zeit für die Erstellung des Abschlussberichts. Ein seriöser Pentest-Anbieter definiert Scope und Zeitrahmen vorab klar.
Die Kosten eines Pentests hängen von Umfang, Komplexität und Dauer ab. Einfache Web-Application-Tests starten ab einigen hundert Euro, umfangreiche Infrastruktur-Pentests für mittelständische Unternehmen können mehrere tausend Euro kosten. Entscheidend ist: Die Kosten eines Pentests sind fast immer ein Bruchteil des Schadens, den ein erfolgreicher Cyberangriff verursacht.
Ja, solange er autorisiert ist. Ein Penetrationstest muss vor Beginn schriftlich beauftragt werden, mit klar definiertem Scope (welche Systeme getestet werden dürfen) und Zeitrahmen. Ohne diese Genehmigung wäre ein Pentest illegal. Seriöser Pentest-Anbieter erstellen immer eine schriftliche Vereinbarung, bevor irgendein Test beginnt.
