Der Gesamtprozess
Sechs Phasen mit einem klaren Ergebnis
Ziel und Scope festlegen
Welche Systeme sollen geprüft werden, welches Risiko soll der Test beantworten und was ist ausdrücklich ausgeschlossen?
Scope-Liste und Testziel
Regeln vereinbaren
Zeitraum, erlaubte Methoden, Datenschutz, Eskalationsweg und Abbruchkriterien werden schriftlich festgehalten.
Rules of Engagement
Test vorbereiten
Testzugänge, Rollen, Testdaten, IP-Freigaben und technische Ansprechpersonen werden rechtzeitig bereitgestellt.
Freigegebene Testumgebung
Kontrolliert testen
Die Testenden analysieren die Angriffsfläche, verifizieren Schwachstellen und melden kritische Funde nach dem vereinbarten Prozess.
Belegte Befunde
Bericht und Abschluss
Management Summary, technische Nachweise, Risikobewertung und konkrete Maßnahmen werden gemeinsam besprochen.
Priorisierter Bericht
Beheben und nachtesten
Das Unternehmen behebt die Ursachen. Im Retest wird geprüft, ob relevante Befunde wirksam geschlossen wurden.
Retest-Nachweis
Ihre Vorbereitung
Was vor dem Test bereitstehen sollte
Nicht jedes Detail muss bereits bekannt sein. Diese Informationen verhindern jedoch unnötige Rückfragen und unklare Angebote.
Wichtige Abgrenzung
Durchführung und Behebung sind getrennte Leistungen.
Der Pentest findet und belegt Schwachstellen. Die verantwortlichen Entwicklungs- oder Betriebsteams beheben sie anschließend. Ein Retest bestätigt die Wirksamkeit – er ersetzt nicht die Ursachenanalyse.
Noch keinen Testtyp gewählt?
Beginnen Sie mit dem System, dessen Ausfall oder Datenverlust den größten Schaden verursachen würde.
Quelle und Einordnung
Der konkrete Ablauf hängt von Anbieter, Scope und internen Vorgaben ab. Die sechs Phasen bilden einen praxistauglichen allgemeinen Prozess.
BSI: Leitfaden für Penetrationstests