Penetration TestingSchwachstellen finden, bevor Angreifer es tun.

Ein Schwachstellenscan prüft Systeme automatisiert auf bekannte Lücken, etwa fehlende Patches oder unsichere Konfigurationen, und liefert eine Liste möglicher Funde. Ein Penetrationstest geht weiter: Fachleute prüfen manuell, ob Schwachstellen tatsächlich ausnutzbar sind, verketten sie und untersuchen Logik und Berechtigungen. Scans eignen sich für die laufende Kontrolle, Pentests für eine fundierte Risikobewertung.

Beim Black-Box-Test erhalten die Tester keine Vorabinformationen und agieren wie ein externer Angreifer. Beim Grey-Box-Test stehen Testkonten und Grundinformationen bereit, was die Prüfung effizienter macht und mehr Funktionen abdeckt. Beim White-Box-Test gibt es zusätzlich Zugriff auf Dokumentation oder Quellcode. Für Webanwendungen empfehlen wir meist Grey-Box, weil so in begrenzter Zeit die größte Prüftiefe erreicht wird.

Das hängt vom Umfang ab. Ein Test einer überschaubaren Webanwendung oder eines externen Perimeters dauert typischerweise wenige Tage, ein interner Netzwerk- und Active-Directory-Test oder eine komplexe Plattform mit vielen Rollen und Schnittstellen entsprechend länger. Hinzu kommen Vorbereitung und Berichtserstellung. Im Scoping legen wir den Aufwand transparent fest und nennen einen Festpreis.

Wir minimieren dieses Risiko durch abgestimmte Testzeiträume, den Verzicht auf bewusst destruktive Angriffe wie Denial of Service und definierte Notfallkontakte. Produktive Systeme mit hoher Verfügbarkeitsanforderung testen wir mit besonderer Vorsicht oder, wo möglich, in einer Staging-Umgebung. Treten Auffälligkeiten auf, pausieren wir den Test und stimmen das weitere Vorgehen mit Ihnen ab.

Ein Penetrationstest ist nur mit ausdrücklicher Einwilligung des Systemverantwortlichen zulässig. Wir arbeiten deshalb immer auf Basis einer schriftlichen Beauftragung mit definiertem Umfang, Zeitraum und Ansprechpartnern. Betreiben Dienstleister wie Hoster oder Cloud-Anbieter Teile der Systeme, beachten wir deren Testrichtlinien oder holen deren Zustimmung ein. Eine rechtliche Beratung ersetzt dies nicht.

Als Richtwert empfehlen sich Penetrationstests für kritische Systeme mindestens einmal jährlich sowie nach wesentlichen Änderungen, etwa einem großen Release, einer Cloud-Migration oder einer neuen Remote-Access-Lösung. Zwischen den Tests sorgen automatisierte Schwachstellenscans und ein konsequentes Patch-Management dafür, dass neu bekannt gewordene Lücken nicht unbemerkt bleiben.

Der Bericht enthält eine Management Summary mit Gesamteinschätzung, eine Beschreibung von Umfang und Methodik sowie für jede Schwachstelle die technische Erläuterung, Belege zur Reproduzierbarkeit, eine Risikobewertung nach CVSS und konkrete Empfehlungen zur Behebung. Ergänzend erhalten Sie eine priorisierte Maßnahmenübersicht, die sich direkt in Ticketsysteme oder Ihren ISMS-Maßnahmenplan übernehmen lässt.

Beide Rahmenwerke verlangen, dass Sicherheitsmaßnahmen nicht nur umgesetzt, sondern auch auf Wirksamkeit überprüft werden. Penetrationstests sind dafür ein anerkanntes Mittel und liefern dokumentierte Nachweise. Sie sind jedoch eine von mehreren Maßnahmen: Risikomanagement, Vorfallbehandlung und Schulungen gehören ebenso dazu. Wie Pentests in Ihr Compliance-Programm passen, klären wir gemeinsam.