Wissen · Einkaufsleitfaden

Penetrationstest planen und richtig beauftragen

Ein Penetrationstest ist ein kontrollierter Angriffsversuch auf deine Systeme, so wie ihn ein echter Angreifer durchführen würde. Er zeigt, welche Schwachstellen sich tatsächlich ausnutzen lassen. Das Ergebnis hängt weniger von den Tools ab als von einem klaren Umfang, passend qualifizierten Testern und einem Bericht, mit dem dein Team arbeiten kann.

Aktualisiert: 6. November 2026

Was ein Pentest ist und was nicht

Das britische National Cyber Security Centre beschreibt einen Penetrationstest als Methode, um Vertrauen in die Sicherheit eines Systems zu gewinnen, indem man mit den Mitteln eines Angreifers versucht einzudringen. Es betont aber auch: Ein Pentest ist nicht der Hauptweg, um Schwachstellen zu finden. Er prüft deine bestehenden Abläufe und zeigt nur den Zustand an den Testtagen.

Ein Schwachstellenscan ist etwas anderes. Ein Scanner meldet einzelne Schwachstellen automatisiert und liefert oft Fehlalarme. NIST weist darauf hin, dass Scanner Probleme isoliert betrachten, während ein Penetrationstest zeigt, wie sich mehrere kleine Lücken zu einem echten Risiko verbinden. In der Praxis brauchst du beides: regelmäßige Scans für die Breite und einen Pentest für die Tiefe.

Eine Red-Team-Übung ist wieder etwas Eigenes. Das NIST-Glossar definiert ein Red Team als Gruppe, die autorisiert ist, die Angriffsfähigkeiten eines möglichen Gegners nachzuahmen. Solche Übungen prüfen meist Erkennung und Reaktion über Menschen, Prozesse und Technik hinweg, oft ohne dass die Verteidiger Bescheid wissen. Ein Pentest will dagegen innerhalb eines vereinbarten Umfangs möglichst viele ausnutzbare Schwachstellen finden.

Arten von Penetrationstests

Wähle die Art nach dem Wert, den du schützen willst, und nach dem Angreifer, den du fürchtest, nicht nach einem Katalog. Die meisten Anbieter bieten diese Varianten:

• Externer Netzwerktest: greift deine aus dem Internet erreichbaren Systeme an, etwa VPN, Mail und Fernzugänge.
• Interner Netzwerktest: nimmt an, dass ein Angreifer schon einen Fuß in der Tür hat, zum Beispiel über einen übernommenen Laptop, und prüft, wie weit er kommt, einschließlich Active Directory.
• Webanwendungstest: untersucht Login, Sitzungsverwaltung, Zugriffskontrolle und Geschäftslogik einer Website oder eines Portals.
• API-Test: prüft Authentifizierung, Autorisierung und Datenfreigabe der Schnittstellen hinter Web- und Mobile-Apps.
• Cloud-Test: bewertet Konfiguration, Identitäten und Berechtigungen in deinen Cloud-Konten, im Rahmen der Regeln des Cloud-Anbieters.
• Mobile-App-Test: untersucht die App, ihre lokale Datenspeicherung und die Kommunikation mit dem Backend.
• Social-Engineering-Test: testet Menschen mit Phishing, Anrufen oder Zutrittsversuchen. Er braucht ausdrückliche Freigabe durch das Management und klare Grenzen.

Blackbox, Greybox und Whitebox

Beim Blackbox-Test bekommen die Tester kaum mehr als Adressen und verhalten sich wie Außenstehende. Beim Whitebox-Test erhalten sie umfangreiche Informationen wie Architektur, interne Adressen, Quellcode oder Konten. Greybox liegt dazwischen, zum Beispiel mit einem normalen Benutzerkonto.

Der Praxis-Leitfaden des BSI für IS-Penetrationstests empfiehlt grundsätzlich Whitebox-Tests, weil Blackbox-Tests Schwachstellen übersehen können und für die gleiche Abdeckung teurer sind. Außerdem rät er zu moderater Angriffsstärke und dazu, zerstörerische Aktionen zu vermeiden. NIST verwendet stattdessen die Begriffe offen und verdeckt: Offene Tests sind dem IT-Personal bekannt, günstiger und häufiger. Verdeckte Tests kennt nur das Management, sie zeigen, was ein Angreifer wirklich erreichen könnte.

Automatisiert oder manuell, und wo KI hilft

Automatisierung ist stark in der Breite: Offene Ports, veraltete Software, bekannte Fehlkonfigurationen und gängige Webfehler findet sie schnell und wiederholbar. Schwach ist sie bei Geschäftslogik, verketteten Angriffswegen und der Frage, ob ein Fund in deiner Umgebung wirklich zählt. Das NCSC hält fest, dass Pentests nicht rein schematisch ablaufen können und die Qualität stark von den Fähigkeiten der Tester abhängt.

KI-gestützte Werkzeuge gehören inzwischen zum Markt. Mindestens ein großer Hersteller von Web-Testwerkzeugen stellt sein KI-Angebot als Erweiterung menschlich geführter Tests dar, nicht als Ersatz. Das ist eine vernünftige Grundhaltung: KI kann Aufklärung, Vorsortierung und Berichtsentwurf beschleunigen, aber ein Mensch sollte entscheiden, was angegriffen wird, jeden Fund prüfen und für die Sicherheit des Tests einstehen. Frag jeden Anbieter, wo Automatisierung und KI zum Einsatz kommen und wer die Ergebnisse kontrolliert.

Gängige neutrale Beispiele sind Nmap zur Netzwerkerkennung, Burp Suite für manuelle Webtests, ZAP als kostenloser Open-Source-Webscanner und das Metasploit Framework, das quelloffen ist und eine kommerzielle Ausgabe hat, für Exploits. Eine Werkzeugliste sagt wenig über Qualität aus, sie sollte deine Entscheidung nicht bestimmen.

Vorgehensmodelle und Standards

Nenne in der Anfrage ein Vorgehensmodell, damit Ergebnisse vergleichbar sind. Der OWASP Web Security Testing Guide deckt Webanwendungen ab. Die letzte veröffentlichte Version ist 4.2 vom Dezember 2020, an Version 5.0 wird laut Projektseite gearbeitet. Der Penetration Testing Execution Standard beschreibt sieben Stufen von der Vorbereitung über Informationsbeschaffung, Bedrohungsmodellierung, Schwachstellenanalyse, Ausnutzung und Post-Exploitation bis zur Berichterstattung.

NIST SP 800-115 stammt von 2008, ist weiterhin als final geführt und beschreibt vier Phasen: Planung, Entdeckung, Angriff und Berichterstattung. In Deutschland veröffentlicht das BSI einen Praxis-Leitfaden für IS-Penetrationstests in Version 1.2 vom November 2016, der Vorbereitung, Durchführung, Berichterstattung und eine Checkliste für die Beauftragung enthält. Wegen ihres Alters eignen sich NIST- und BSI-Dokumente gut für die Struktur, nicht für aktuelle Werkzeuge und Technologien.

Umfang, Bericht und Nachtest

Das NCSC rät, Risikoverantwortliche und technisches Personal einzubeziehen, die letzte Schwachstellenbewertung weiterzugeben und festzuhalten: Testgrenzen, Testarten, Zeitrahmen in Personentagen, Anforderungen an das Team und an die Berichte. Vereinbare Einsatzregeln: erlaubte Zeiten, verbotene Techniken, Notfallkontakte und das Vorgehen, falls während des Tests eine schwere Lücke auftaucht.

Der Aufwand hängt vor allem von Größe und Komplexität ab, nicht von der Firmengröße: Anzahl der Systeme, Anwendungen, Benutzerrollen und API-Endpunkte, Testtiefe, vorab bereitgestellte Informationen, Zugangsbeschränkungen wie Tests außerhalb der Arbeitszeit und gewünschte Tiefe des Berichts. Beschreibe das klar, damit Angebote vergleichbar sind.

Ein brauchbarer Bericht enthält Folgendes:

• Eine Management-Zusammenfassung in verständlicher Sprache mit dem Gesamtbild der Risiken.
• Beschreibung von Testobjekt, Zeitraum, Rahmenbedingungen und Einschränkungen.
• Jeden Fund mit Nachweis, Schritten zur Nachstellung, einer Einstufung wie hoch, mittel, niedrig oder Information und einer konkreten Behebung.
• Eine klare Kennzeichnung von Funden, die sich nicht bestätigen ließen.

Anbieter auswählen und Nachtest planen

Frag, wer genau die Arbeit macht und welche Erfahrung diese Person mit deiner Art von System hat. Der BSI-Leitfaden verlangt Unabhängigkeit vom getesteten System und seinen Betreibern, ein Team von mindestens zwei Personen für das Vier-Augen-Prinzip und einen schriftlichen Vertrag mit Vertraulichkeits- und Datenschutzregeln. Einzelne Zertifikate können dein Urteil stützen, etwa das praxisorientierte OSCP von OffSec, dessen Prüfung ein 24-stündiger praktischer Test ist, oder die Akkreditierung von Mitgliedsunternehmen durch CREST. Der BSI-Leitfaden nennt selbst BSI-Personenzertifizierung, CREST und CEH als Beispiele. Ein Zertifikat zeigt ein Grundniveau und ersetzt weder Referenzen noch einen Musterbericht.

Gute Fragen: Wie schützt ihr unsere Daten und eure eigene Testinfrastruktur? Wie vermeidet ihr Ausfälle? Was tut ihr bei einem kritischen Fund mitten im Test? Sind Abschlussbesprechung und Nachtest im Angebot enthalten? Der BSI-Leitfaden empfiehlt, Tests alle zwei bis drei Jahre zu wiederholen, nach größeren Änderungen ist früher sinnvoll. Behobene Lücken solltest du mit einem Nachtest prüfen, und der Anbieter sollte vorab sagen, wie das abläuft.