Penetrationstest

Bei einem Penetrationstest versuchen Sicherheitsfachleute mit ausdrücklicher Erlaubnis eines Unternehmens, in dessen Systeme einzudringen. Anders als automatisierte Prüfungen zeigt ein Pentest, ob sich mehrere kleine Schwächen zu einem echten Angriffsweg verbinden lassen und welche Folgen das hätte. Das Ergebnis ist ein Bericht mit priorisierten Befunden und Empfehlungen.

Wie funktioniert ein Penetrationstest?

Ein Pentest folgt einem festen Rahmen:

1. Auftrag und Umfang: Ziele, Systeme, Zeitfenster, Ansprechpersonen und Grenzen werden schriftlich festgelegt. Ohne diese Freigabe wären die Zugriffe rechtlich nicht gedeckt.
2. Informationsbeschaffung: Die Testenden ermitteln, welche Systeme und Dienste erreichbar sind.
3. Analyse und Ausnutzung: Gefundene Schwachstellen werden kontrolliert überprüft, um ihre reale Auswirkung einzuschätzen.
4. Bericht: Befunde werden mit Risiko, Nachweis und konkreten Empfehlungen dokumentiert.
5. Nachtest: Nach der Behebung wird geprüft, ob die Maßnahmen wirken.

Je nach Kenntnisstand der Testenden spricht man von Black-Box-, Grey-Box- oder White-Box-Tests. Bei einem Black-Box-Test erhalten sie keine Vorabinformationen, bei einem White-Box-Test umfassende Einblicke, etwa in Konfigurationen oder Quellcode.

Typische Beispiele

• Externer Test der aus dem Internet erreichbaren Systeme wie Webserver, VPN-Zugang und Mailserver.
• Interner Test, der von einem Arbeitsplatz aus prüft, wie weit ein Angreifer im Netzwerk käme.
• Test einer Webanwendung oder eines Kundenportals vor dem Livegang.
• Prüfung von Cloud-Konfigurationen, etwa in Microsoft 365.
• Ergänzende Tests zu Social Engineering, sofern sie ausdrücklich vereinbart sind.

Worauf Unternehmen achten sollten

• Ziel und Umfang klar definieren und schriftlich freigeben, inklusive Zustimmung von Dienstleistern, deren Systeme betroffen sind.
• Auf nachvollziehbare Berichte mit priorisierten, umsetzbaren Empfehlungen achten.
• Zeit und Budget für die Behebung und den Nachtest einplanen.
• Pentests in regelmäßigen Abständen und nach größeren Änderungen wiederholen.

Abgrenzung

Ein Schwachstellenscan prüft automatisiert und regelmäßig auf bekannte Lücken und ist Teil des Schwachstellenmanagements. Ein Penetrationstest ist dagegen eine zeitlich begrenzte, überwiegend manuelle Tiefenprüfung. Beide ergänzen einander. Ein Red-Team-Einsatz geht noch weiter: Er simuliert über längere Zeit einen realistischen Angreifer, um auch Erkennung und Reaktion zu testen, etwa durch ein Security Operations Center.