Offensive Sicherheitsprüfung

Was ist ein Penetrationstest?

Pentest

Ein Penetrationstest ist ein beauftragter, zeitlich begrenzter Angriff auf die eigenen Systeme: Fachleute suchen Schwachstellen, nutzen sie kontrolliert aus und belegen anschließend, was ein echter Angreifer damit hätte erreichen können.

Bevor eine Zertifizierung ansteht oder eine neue Anwendung ans Netz geht, will jemand wissen, ob sie einem ernsthaften Angriffsversuch standhält, und dafür wird ein Test beauftragt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Voraussetzung: Schriftliche Beauftragung mit Freigabe
Varianten: Black Box, Grey Box, White Box
Ergebnis: Bericht mit Nachweis, Bewertung und Empfehlung
Verwechselt mit: Schwachstellenscan

Der Auftrag steht vor dem ersten Scan

Vor dem Test wird schriftlich festgelegt, welche Systeme, Adressbereiche und Konten in Frage kommen, in welchem Zeitfenster gearbeitet wird und welche Techniken ausgeschlossen sind, etwa Überlastungsangriffe auf Produktivsysteme. Dazu gehören ein Notfallkontakt auf beiden Seiten und eine Absprache, was passiert, wenn im Test ein laufender echter Angriff entdeckt wird.

Diese Freigabe ist keine Formalie. Ohne ausdrückliche Erlaubnis des Betreibers ist das Vorgehen strafbar. Liegen Systeme bei einem Anbieter, muss auch dieser einverstanden sein, bei Cloud-Diensten sind die Regeln des Anbieters zu beachten. Ein Test, der ohne diese Zustimmung startet, bringt Auftraggeber und Testteam in Schwierigkeiten.

Black, Grey und White Box

Beim Black-Box-Test bekommt das Team keinerlei Vorwissen und geht vor wie ein Angreifer von außen. Das wirkt realistisch, verbraucht aber viel Zeit für Aufklärung, die nicht in die eigentliche Prüfung fließt. Beim White-Box-Test liegen Architektur, Quelltext und Zugänge offen, dadurch findet das Team in derselben Zeit deutlich mehr.

Der Grey-Box-Test liegt dazwischen und ist der übliche Fall: ein normales Benutzerkonto, Grundwissen über die Anwendung, keine internen Unterlagen. Damit wird die häufigste Bedrohungslage abgebildet, nämlich jemand mit gültigem Zugang, der mehr erreichen will als vorgesehen.

Der Bericht ist das eigentliche Produkt

Ein brauchbarer Bericht beschreibt jeden Fund so, dass er nachvollzogen werden kann, ordnet ihn nach Auswirkung und Aufwand ein und nennt einen konkreten Weg zur Behebung. Eine Zusammenfassung für die Leitung gehört dazu, in der steht, welches Geschäftsrisiko die Funde bedeuten, nicht welche Werkzeuge eingesetzt wurden.

Ebenso wichtig ist der Nachtest nach der Behebung. Ohne ihn bleibt offen, ob eine Korrektur wirklich greift oder nur den offensichtlichen Weg verstellt. Viele Anbieter haben einen solchen Nachtest bereits im Angebot, das solltest du aber vor der Beauftragung klären.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Penetrationstest und was oft damit gleichgesetzt wird

Penetrationstest gegen Schwachstellenscan

Ein Scanner vergleicht gefundene Versionen und Konfigurationen automatisiert mit Datenbanken bekannter Lücken. Er liefert Hinweise, aber keinen Nachweis der Ausnutzbarkeit und erkennt keine Fehler in der Geschäftslogik. Der Scan ist Routine, der Test ist Handarbeit.

Penetrationstest gegen Red Teaming

Eine Red-Team-Übung verfolgt ein Ziel, etwa Zugriff auf ein bestimmtes System, arbeitet über Wochen, bezieht Menschen und Gebäude ein und misst vor allem, ob die eigene Erkennung anschlägt. Ein Penetrationstest sucht dagegen in einem festen Bereich möglichst viele Schwachstellen.

Penetrationstest gegen Bug Bounty

Bei einem Bug-Bounty-Programm melden externe Forschende dauerhaft Funde gegen Prämie. Das ist breiter und läuft ständig, liefert aber keine planbare Abdeckung eines definierten Bereichs und keinen Bericht zum Stichtag.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Der Aufwand beginnt nach dem Test, nicht während des Tests

Die Testtage sind der kleinere Teil. Danach liegt ein Bericht vor, dessen Funde jemand bewerten, zuordnen und terminieren muss, oft quer über Fachbereiche und externe Dienstleister hinweg. Wer diesen Teil nicht einplant, hat ein Jahr später denselben Bericht mit denselben Punkten und dazu einen schriftlichen Nachweis, dass die Lücken bekannt waren. Das ist im Schadensfall die unangenehmste Konstellation.

Der Zuschnitt entscheidet über den Wert. Wird der Umfang so eng gezogen, dass die alten Systeme, die Fernwartungszugänge und die Testumgebung mit Echtdaten außen vor bleiben, prüft der Test genau die Bereiche, die ohnehin gepflegt sind. Ebenso wichtig sind die Absprachen davor: Zeitfenster, eine erreichbare Ansprechstelle für den Notfall, der Umgang mit Produktivsystemen und bei Cloud-Diensten die Regeln des Anbieters.

Und ein Test ist eine Momentaufnahme. Er gilt für den geprüften Stand, nicht für das System nach dem nächsten Release. Sinnvoll ist deshalb ein von vornherein vereinbarter Nachtest für die kritischen Funde, weil erst er belegt, dass die Behebung tatsächlich greift und nicht nur ein Ticket geschlossen wurde.

Penetrationstest lernen

Vorgehen, Werkzeuge und Berichtsaufbau lernst du strukturiert über die Zertifizierungswege des EC-Council .

Wer die gefundenen Lücken anschließend selbst schließen soll, ist mit den Weiterbildungen zur Absicherung eigener Systeme gut bedient.

Wissen prüfen

Sitzt Penetrationstest schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die Penetrationstest behandeln

Häufige Fragen

Wie oft sollte getestet werden?

Einmal jährlich für nach außen erreichbare Systeme ist ein verbreiteter Rhythmus, zusätzlich nach größeren Änderungen an Architektur, Anmeldeverfahren oder Zahlungsabläufen. Ein Test auf einem Stand, der zwei Releases zurückliegt, sagt wenig über die heutige Lage aus.

Darf ich die Systeme meines Dienstleisters testen?

Nur mit dessen schriftlicher Zustimmung. Ein Vertrag über die Nutzung eines Dienstes ist keine Erlaubnis, ihn anzugreifen. Bei Cloud-Anbietern gibt es dafür festgelegte Verfahren und Einschränkungen, die vor dem Test zu klären sind.

Geht bei einem Test etwas kaputt?

Das Risiko besteht, gerade bei älteren Systemen und bei Ausnutzungsversuchen. Deshalb werden Zeitfenster, ausgeschlossene Techniken und ein Notfallkontakt vorher vereinbart, und empfindliche Systeme werden nach Möglichkeit in einer gleichartigen Testumgebung geprüft.

Persönlich für dich da