Grundlagen
Penetrationstest
Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf IT-Systeme, Anwendungen oder Netzwerke, um ausnutzbare Schwachstellen vor echten Angreifern zu finden und zu dokumentieren.
Definition
Ein Penetrationstest (kurz Pentest) ist eine zeitlich begrenzte, vertraglich abgesicherte Sicherheitsprüfung. Prüferinnen und Prüfer versuchen dabei mit denselben Techniken wie echte Angreifer, in ein definiertes Zielsystem einzudringen. Anders als bei einem echten Angriff ist der Umfang vorab schriftlich festgelegt und jede Aktivität wird dokumentiert.
Das Ergebnis ist kein Zertifikat, sondern eine Momentaufnahme: Sie zeigt, welche Schwachstellen zum Testzeitpunkt tatsächlich ausnutzbar waren und wie schwer die Folgen wären.
Typische Testobjekte
Der Umfang (Scope) bestimmt Aufwand und Aussagekraft. Häufig geprüft werden:
- Webanwendungen, Kundenportale und Webshops
- APIs und Schnittstellen zwischen Systemen
- externe Netzwerkperimeter (was aus dem Internet erreichbar ist)
- interne Netzwerke, Active Directory und Clients
- Mobile Apps sowie Cloud-Konfigurationen
Ablauf in fünf Phasen
Unabhängig vom Anbieter folgt ein Pentest meist derselben Grundstruktur:
- Scoping: Ziele, Systeme, Zeitfenster und Tiefe werden festgelegt.
- Informationssammlung: öffentlich und technisch verfügbare Daten zum Ziel werden erhoben.
- Analyse und Angriff: Schwachstellen werden identifiziert und kontrolliert ausgenutzt.
- Auswertung: Funde werden nach Risiko bewertet und mit Nachweisen belegt.
- Bericht und Nachtest: Empfehlungen werden übergeben, Behebungen anschließend geprüft.
Abgrenzung zu anderen Prüfungen
Ein automatisierter Schwachstellenscan erkennt bekannte Muster, bewertet aber keine Ausnutzbarkeit im Geschäftskontext. Ein Red-Teaming-Einsatz geht weiter und prüft zusätzlich Erkennung und Reaktion der Organisation. Ein Audit nach ISO 27001 prüft Prozesse und Nachweise, nicht die technische Angreifbarkeit.
Häufige Fragen
Wie lange dauert ein Penetrationstest?
Der reine Testzeitraum liegt bei einer klar abgegrenzten Webanwendung meist bei drei bis zehn Arbeitstagen. Hinzu kommen Scoping vorab und Berichterstellung im Anschluss.
Wie oft sollte getestet werden?
Üblich ist ein Turnus von zwölf Monaten sowie zusätzlich nach größeren Änderungen an Architektur, Authentifizierung oder Zahlungsprozessen.
Quellen
Siehe auch
Zuletzt geprüft: 24.8.2026 · Zurück zum Lexikon