Was ist ein Penetrations­test?

Penetrations­test: Definition

Beim Penetrationstest, kurz Pentest, versetzen sich Sicherheitsexperten in die Rolle eines Angreifers. Mit denselben Methoden und Werkzeugen versuchen sie, in ein vorher festgelegtes System einzudringen – etwa eine Web-App, eine Schnittstelle oder das Firmennetzwerk.

Entscheidend ist die schriftliche Beauftragung: Nur mit ausdrücklicher Erlaubnis des Verantwortlichen und klar definiertem Umfang ist ein solcher Test zulässig. Ohne diese Grundlage wäre derselbe Vorgang ein strafbarer Angriff. Dieser Beitrag ersetzt keine Rechtsberatung.

So läuft ein Penetrations­test ab

Ein professioneller Pentest folgt einem festen Ablauf. Orientierung bieten etwa Leitfäden des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder der OWASP Web Security Testing Guide.

Je nach Vorwissen der Tester unterscheidet man Black-Box-Tests ohne Insiderinformationen, Grey-Box-Tests mit Teilinformationen wie einem Testzugang und White-Box-Tests mit Einblick in Quellcode und Dokumentation. Welche Variante sinnvoll ist, hängt vom Ziel ab: Ein Grey-Box-Test bietet oft ein gutes Verhältnis aus Realitätsnähe und Aufwand.

• Vorbereitung: Ziele, Umfang, Zeitfenster und Ansprechpartner festlegen
• Informationsbeschaffung über das Zielsystem
• Schwachstellenanalyse mit automatisierten und manuellen Methoden
• Kontrollierte Ausnutzung gefundener Lücken
• Bericht mit Risikobewertung und Handlungsempfehlungen
• Nachtest, ob die Lücken wirksam geschlossen wurden

Vorteile und Grenzen

Ein Pentest zeigt, wie angreifbar ein System tatsächlich ist – nicht nur theoretisch. Er findet Fehler in der Geschäftslogik, die automatische Scanner übersehen, und liefert eine priorisierte Liste, was zuerst behoben werden sollte. Zudem dient der Bericht als Nachweis gegenüber Kunden, Versicherern oder Prüfern.

Die Grenzen: Ein Pentest ist eine Momentaufnahme. Schon das nächste Update kann neue Lücken öffnen. Zudem findet er nur, was im vereinbarten Umfang liegt. Er ersetzt daher weder eine sichere Entwicklung noch ein regelmäßiges Patch-Management.

Wichtig ist außerdem die Qualität des Berichts: Er sollte jede Schwachstelle nachvollziehbar beschreiben, nach Schweregrad einordnen und konkrete Schritte zur Behebung nennen – verständlich für Technik und Geschäftsführung.

Wann ist ein Penetrations­test sinnvoll? Ein Praxisbeispiel

Sinnvoll ist ein Pentest vor dem Start einer Anwendung mit sensiblen Daten, nach größeren Umbauten, in regelmäßigen Abständen bei kritischen Systemen und wenn Kunden oder Versicherungen einen Nachweis verlangen. Auch neue Schnittstellen zu Partnern oder Kunden sind ein guter Anlass.

Ein Beispiel: Vor dem Livegang eines Kundenportals mit Vertragsdaten beauftragt ein Unternehmen einen Grey-Box-Test. Die Tester finden eine Upload-Funktion, über die sich beliebige Dateien ohne Prüfung hochladen lassen. Die Lücke wird vor dem Start geschlossen und im Nachtest bestätigt. Nano Concepts unterstützt dabei, Anwendungen vor einem Test abzusichern, und behebt gefundene Schwachstellen im Code.