Was ist ein Penetrationstest?

Der Auftrag steht vor dem ersten Scan

Vor dem Test wird schriftlich festgelegt, welche Systeme, Adressbereiche und Konten in Frage kommen, in welchem Zeitfenster gearbeitet wird und welche Techniken ausgeschlossen sind, etwa Überlastungsangriffe auf Produktivsysteme. Dazu gehören ein Notfallkontakt auf beiden Seiten und eine Absprache, was passiert, wenn im Test ein laufender echter Angriff entdeckt wird.

Diese Freigabe ist keine Formalie. Wer sich ohne Erlaubnis Zugang zu fremden, besonders gesicherten Daten verschafft, macht sich nach § 202a StGB strafbar, und erst die Zustimmung des Betreibers macht aus dem Angriff einen Test. Liegen Systeme bei einem Dienstleister, muss auch dieser einverstanden sein, bei Cloud-Diensten gelten zusätzlich die Testregeln des Anbieters.

So läuft ein Penetrationstest ab

Der Praxis-Leitfaden des BSI teilt die eigentliche Durchführung in Einarbeitung, Test und Bericht. Rechnet man Vorbereitung und Nacharbeit dazu, ergibt sich ein Ablauf in sechs Schritten, wie ihn die meisten Anbieter beschreiben.

1. 1

   Scoping und Vertrag

   Prüfobjekt, Prüftiefe, Zeitraum, Ansprechpersonen und ausgeschlossene Techniken werden festgelegt und schriftlich freigegeben.

2. 2

   Einarbeitung und Aufklärung

   Das Team sichtet Unterlagen oder sammelt öffentlich verfügbare Informationen, etwa erreichbare Dienste, Subdomains und eingesetzte Software.

3. 3

   Schwachstellensuche

   Mit Scannern und von Hand werden mögliche Lücken gesucht, von veralteten Versionen über Fehlkonfigurationen bis zu Fehlern in der Anwendungslogik.

4. 4

   Ausnutzung

   Vielversprechende Funde werden kontrolliert ausgenutzt, um zu belegen, wie weit ein Angreifer tatsächlich käme, etwa bis zu Administratorrechten oder Kundendaten.

5. 5

   Bericht und Abschlussgespräch

   Jeder Fund wird nachvollziehbar beschrieben, nach Schwere bewertet und mit einer Empfehlung zur Behebung versehen.

6. 6

   Nachtest

   Nach der Behebung prüft das Team, ob die Korrekturen greifen oder nur den offensichtlichen Weg verstellen.

Als methodische Grundlage dienen oft öffentliche Leitfäden, für Webanwendungen etwa der OWASP Web Security Testing Guide, für technische Sicherheitsprüfungen allgemein die NIST-Publikation SP 800-115.

Arten von Penetrationstests

Penetrationstests unterscheiden sich vor allem darin, was geprüft wird. Die Wahl hängt davon ab, welche Angriffswege für dein Unternehmen realistisch sind.

Quer dazu steht die Frage, wie viel das Team vorab weiß. Beim Black-Box-Test bekommt es keinerlei Vorwissen und geht vor wie ein Angreifer von außen. Das wirkt realistisch, verbraucht aber viel Zeit für Aufklärung. Beim White-Box-Test liegen Architektur, Quelltext und Zugänge offen, dadurch findet das Team in derselben Zeit deutlich mehr. Das BSI empfiehlt in seinem Leitfaden grundsätzlich White-Box-Tests, weil sie effizienter sind und das Risiko unbeabsichtigter Schäden senken. Der Grey-Box-Test liegt dazwischen: ein normales Benutzerkonto, Grundwissen über die Anwendung, keine internen Unterlagen.

Wie lange ein Penetrationstest dauert

Eine feste Dauer gibt es nicht, sie hängt am Umfang. Eine einzelne Webanwendung mit überschaubarer Rechtestruktur lässt sich oft in wenigen Testtagen prüfen, ein interner Test eines großen Netzes mit mehreren Standorten braucht eher Wochen. Den Ausschlag geben die Zahl der Systeme oder Anwendungsfunktionen, die Zahl der Benutzerrollen, die Prüftiefe und die Frage, ob Black, Grey oder White Box getestet wird.

Zur eigentlichen Testzeit kommen Vorbereitung, Berichtserstellung und Nachtest. Vom ersten Gespräch bis zum fertigen Bericht vergehen deshalb meist mehrere Wochen, und gute Anbieter sind oft lange im Voraus ausgebucht. Wer einen Test vor einem Go-live oder einem Audit braucht, sollte ihn entsprechend früh beauftragen.

Der Bericht ist das eigentliche Produkt

Ein brauchbarer Bericht beschreibt jeden Fund so, dass er nachvollzogen werden kann, ordnet ihn nach Auswirkung und Ausnutzbarkeit ein, oft angelehnt an das Bewertungssystem CVSS, und nennt einen konkreten Weg zur Behebung. Eine Zusammenfassung für die Leitung gehört dazu, in der steht, welches Geschäftsrisiko die Funde bedeuten, nicht welche Werkzeuge eingesetzt wurden.

Ein Bericht, der nur Scannerausgaben aneinanderreiht, ist ein Warnsignal. Er deutet darauf hin, dass der manuelle Teil, also das eigentliche Angreifen und Verknüpfen von Schwachstellen, zu kurz gekommen ist.