Penetrationstests gehören zu den wirkungsvollsten Maßnahmen, um die Sicherheit einer IT-Umgebung realistisch einzuschätzen. Doch in der Praxis wird der Begriff häufig missbraucht: Was als „Pentest“ verkauft wird, entpuppt sich nicht selten als automatisierter Schwachstellenscan – mit einem hübschen Report, aber ohne echte Tiefe. In diesem Artikel klären wir, was einen echten Penetrationstest ausmacht, warum er ein zentrales Element im ISMS ist und wie du ihn strategisch sinnvoll in deine Sicherheitsstrategie einbaust.
Was ist ein Penetrationstest? Eine fundierte Definition
Ein Penetrationstest – kurz Pentest – ist ein autorisierter, gezielter Angriff auf IT-Systeme, Netzwerke oder Anwendungen, um Sicherheitslücken zu identifizieren und deren reale Ausnutzbarkeit zu bewerten. Anders als rein automatisierte Scans kombiniert ein Pentest Tool-gestützte Analysen mit manueller Expertise: Erfahrene Sicherheitsfachleute denken wie Angreifer, nutzen kreative Angriffspfade und bewerten Risiken im Kontext der jeweiligen Organisation.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert Penetrationstests als „realistisch durchgeführte Angriffsversuche, um die Widerstandsfähigkeit von IT-Systemen gegen Angriffe zu ermitteln“1. Auch der internationale Standard PTES (Penetration Testing Execution Standard)2 betont, dass ein Pentest strukturiert in Phasen abläuft: von der Informationsbeschaffung (Reconnaissance) über die Identifikation und aktive Ausnutzung von Schwachstellen (Exploitation) bis hin zur Dokumentation und Bewertung der Ergebnisse.
1BSI – Praxis-Leitfaden für Penetrationstests: www.bsi.bund.de
2PTES (2012): Penetration Testing Execution Standard: www.pentest-standard.org
Auf was es wirklich ankommt:
„Ich erlebe es regelmäßig in der Beratung: Unternehmen investieren in einen teuren Pentest, obwohl die Grundlagen noch nicht stehen und bekommen dann einen Report, der ihnen sagt, was sie eigentlich schon wussten. Mein Rat: Erst absichern, dann testen. Und wenn ein Dienstleister euch einen Pentest verkauft, bei dem kein Mensch kreativ mitdenkt, sondern nur ein Scanner durchläuft – dann ist das kein Pentest. Dann ist das ein Schwachstellenscan mit hübschem Deckblatt.“ – Dr. Anja Beyer Peters
Ein Penetrationstest ist keine reine Technologie, sondern eine Methodik. Er erfordert Erfahrung, Kontextverständnis und die Fähigkeit, Schwachstellen nicht nur zu finden, sondern auch zu bewerten, welche davon in der spezifischen Umgebung ein reales Risiko darstellen.
Pentest ist nicht gleich Pentest: Warum ein Schwachstellen-Scan kein Penetrationstest ist
In der Beratungspraxis begegnet uns regelmäßig folgendes Szenario: Ein Dienstleister bietet einen „Penetrationstest“ an, liefert aber im Kern nichts anderes als einen automatisierten Schwachstellen-Scan mit einem Tool wie Nessus, Qualys oder OpenVAS. Der resultierende Report listet CVEs auf, ordnet Schweregrade zu – und das war’s. Das ist nicht per se schlecht, hat aber mit einem Pentest wenig zu tun.
Der Unterschied auf einen Blick:
Kriterium | Schwachstellen-Scan | Penetrationstest |
Methodik | Automatisiert, tool-basiert | Manuell + automatisiert, expertisegetrieben |
Tiefe | Oberflächlich: bekannte CVEs | Tiefgehend: kreative Angriffspfade, Verkettung |
Kontext | Keine Bewertung im Unternehmenskontext | Individuelle Risikobewertung |
Ergebnis | Liste bekannter Schwachstellen | Bewertete Schwachstellen mit Exploit-Nachweis |
Aufwand | Einige Stunden | Tage bis Wochen |
Kosten | Geringer | Höher, aber deutlich mehr Mehrwert |
Tipp:
Wenn dir ein Dienstleister einen Pentest anbietet, frag konkret nach: Welche manuellen Prüfungen sind enthalten? Werden Schwachstellen aktiv ausgenutzt? Gibt es individualisierte Angriffsszenarien? Wenn die Antwort darauf „nein“ lautet, handelt es sich mit hoher Wahrscheinlichkeit um einen Schwachstellenscan – nicht um einen Penetrationstest.
Welche Arten von Pentests gibt es?
Je nach Ziel, Scope und Risikoprofil kommen unterschiedliche Pentest-Varianten zum Einsatz. Hier ein Überblick über die gängigsten Arten:
Pentests im ISMS: Ein zentraler Baustein der Detektion
Penetrationstests sind kein isoliertes Projekt, sondern ein integraler Bestandteil eines funktionierenden Informationssicherheits-Managementsystems (ISMS). Wer ein ISMS nach ISO 27001 betreibt, kommt an regelmäßigen Pentests nicht vorbei – sie sind ein wesentlicher Baustein, um die Wirksamkeit implementierter Sicherheitsmaßnahmen zu überprüfen.
Betrachtet man das NIST Cybersecurity Framework mit seinen fünf Kernfunktionen – Identify, Protect, Detect, Respond, Recover – wird deutlich, wo Pentests ihren größten Hebel haben: Sie decken einen großen Teil der Detect-Funktion ab. Durch das aktive Aufspüren von Schwachstellen und die Simulation realer Angriffsszenarien liefern sie Erkenntnisse, die rein präventive Maßnahmen niemals bieten können. Gleichzeitig zahlen sie auch auf die Identify-Funktion ein, weil sie helfen, bisher unbekannte Risiken und Schwachstellen überhaupt erst sichtbar zu machen.
Kurz gesagt: Ohne Pentests fehlt einem ISMS ein entscheidender Realitätscheck. Policies und Prozesse auf dem Papier sind wichtig – aber erst der Pentest zeigt, ob sie in der Praxis auch wirklich halten.
Diese Frage hören wir in der Beratung regelmäßig:
Diese Frage hören wir in der Beratung regelmäßig: „Sollen wir zuerst unsere Systeme härten und dann einen Pentest machen – oder erst testen und dann absichern?“
Unsere klare Empfehlung: Erst die Grundlagen schaffen, dann testen.
Warum? Ein Pentest auf eine völlig ungehärtete Umgebung liefert vorhersehbare Ergebnisse – und das zu einem hohen Preis. Offene Standardports, fehlende Patches, Standardpasswörter: All das wird ein guter Pentester finden, aber diese Schwachstellen hättest du auch ohne Pentest beseitigen können. Du bezahlst dann im Grunde einen teuren Report, der dir sagt, was du schon wusstest.
Sinnvoller ist folgender Ansatz:
- Grundlegende Härtungsmaßnahmen umsetzen: Patching, sichere Konfigurationen, Netzwerksegmentierung, Zugriffskontrollen und Multi-Faktor-Authentifizierung einführen.
- Dann testen lassen: Der Pentest prüft jetzt, ob die umgesetzten Maßnahmen tatsächlich wirksam sind und findet die Schwachstellen, die trotz sorgfältiger Härtung übrigbleiben.
- Ergebnisse umsetzen und iterieren: Gefundene Schwachstellen beheben und im nächsten Zyklus erneut testen.
Dieser Ansatz spart Geld, weil der Pentest dort ansetzt, wo er den größten Mehrwert liefert: bei den Schwachstellen, die nicht offensichtlich sind und die nur ein erfahrener Tester aufdeckt.
Wie oft sollte ein Pentest durchgeführt werden?
Die Faustregel lautet: Mindestens einmal pro Jahr sollte ein Penetrationstest stattfinden. Doch diese Empfehlung ist nur ein Ausgangspunkt – die tatsächlich sinnvolle Frequenz hängt von mehreren Faktoren ab:
- Kritikalität der Umgebung: Unternehmen mit hochsensiblen Daten oder kritischer Infrastruktur (z. B. KRITIS-Betreiber, Finanzdienstleister, Gesundheitswesen) sollten häufiger testen – idealerweise halbjährlich oder nach jeder größeren Änderung.
- Verfügbares Budget: Ein guter Pentest hat seinen Preis. Lieber einen fundierten Test pro Jahr als vier oberflächliche Scans, die als Pentest verkauft werden.
- Reifegrad der Organisation: Organisationen mit einem niedrigen Reifegrad profitieren zunächst mehr von grundlegenden Härtungsmaßnahmen. Mit steigendem Reifegrad werden Pentests immer wertvoller, weil die offensichtlichen Schwachstellen bereits beseitigt sind.
- Veränderungen in der IT-Landschaft: Nach Migrationen, neuen Anwendungen, Architekturänderungen oder Fusionen ist ein zusätzlicher Pentest dringend empfehlenswert.
Red Team vs. Blue Team: Der nächste Reifegrad
Wenn eine Organisation bereits über gut etablierte, proaktive Sicherheitsprozesse verfügt und einen hohen Reifegrad erreicht hat – orientiert am CMMI-Reifegradmodell (Capability Maturity Model Integration) etwa auf Stufe 3 („Defined“) oder höher –, wird ein klassischer Pentest allein irgendwann nicht mehr ausreichen, um das volle Potenzial auszuschöpfen. Hier kommt der Red-Team-/Blue-Team-Ansatz ins Spiel.
Was steckt hinter dem Ansatz?
Das Konzept stammt ursprünglich aus dem militärischen Bereich und überträgt sich direkt auf die Informationssicherheit:
Warum ist das so wirkungsvoll?
Der entscheidende Vorteil gegenüber einem klassischen Pentest: Es geht nicht nur darum, Schwachstellen zu finden, sondern die gesamte Verteidigungsfähigkeit der Organisation zu testen – einschließlich der Erkennungsfähigkeit, der Reaktionszeit und der Eskalationsprozesse.
Nach jedem Durchlauf setzen sich Red Team und Blue Team zusammen und analysieren gemeinsam: Was wurde entdeckt? Was wurde übersehen? Wo sind die blinden Flecken? Diese gemeinsame Analyse (das sogenannte Purple Teaming) führt zu konkreten Verbesserungen, die direkt in die Sicherheitsprozesse einfließen. So entsteht ein kontinuierlicher Verbesserungskreislauf, bei dem die Verteidigungsfähigkeit der Organisation Stück für Stück zunimmt.
Wichtig zu verstehen: Der Red-Team-/Blue-Team-Ansatz ist kein Ersatz für Pentests, sondern eine Weiterentwicklung. Er setzt voraus, dass die grundlegenden Sicherheitsmaßnahmen bereits etabliert und die operativen Prozesse ausgereift sind. Für Organisationen auf einem früheren Reifegrad empfiehlt es sich, zunächst die Basis zu stärken und mit regulären Pentests zu beginnen.
Fazit: Pentests strategisch einsetzen
Ein Penetrationstest ist weit mehr als ein technischer Scan. Richtig eingesetzt, ist er ein strategisches Werkzeug, das die Widerstandsfähigkeit deiner Organisation gegen reale Bedrohungen misst. Der Schlüssel liegt in der richtigen Reihenfolge: Zuerst die Grundlagen schaffen, dann testen, Ergebnisse umsetzen und iterieren. Mit zunehmendem Reifegrad können Red-Team-/Blue-Team-Übungen den nächsten Schritt bilden, um die Sicherheitsfähigkeit der Organisation kontinuierlich weiterzuentwickeln.
Denn eines ist klar: Angreifer entwickeln sich weiter. Deine Verteidigung sollte das auch tun.
Du möchtest wissen, wo dein Unternehmen angreifbar ist?
Unser Risiko-Radar analysiert gemeinsam mit dir, an welchen Stellen Angreifer bei dir ansetzen könnten – von organisatorischen Schwachstellen bis zu technischen Lücken. So bekommst du einen klaren Überblick und konkrete Handlungsempfehlungen – als solide Grundlage, bevor du in einen Pentest investierst.
Weiterführende Links
- BSI – Praxis-Leitfaden für Penetrationstests: www.bsi.bund.de
- NIST Cybersecurity Framework: www.nist.gov/cyberframework
- OWASP Top 10: www.owasp.org
- CMMI Institute – Reifegradmodell: www.cmmiinstitute.com
- PTES (2012):Penetration Testing Execution Standard: www.pentest-standard.org
- PTES Technical Guidelines: www.pentest-standard.org
Häufige Fragen zu Penetrationstests
Ein Schwachstellenscan ist ein automatisierter Lauf, der bekannte Schwachstellen identifiziert. Ein Pentest geht deutlich weiter: Erfahrene Sicherheitsexperten nutzen die gefundenen Schwachstellen aktiv aus, kombinieren Angriffspfade kreativ und bewerten das tatsächliche Risiko im Kontext deiner Organisation. Der Scan ist ein Werkzeug – der Pentest ist die Methode.
Das hängt stark vom Scope ab. Ein fokussierter externer Pentest kann in wenigen Tagen abgeschlossen sein. Ein umfassender Test, der interne Systeme, Webanwendungen und Social Engineering umfasst, kann zwei bis vier Wochen dauern. Hinzu kommen Vorbereitung und die Erstellung des Abschlussberichts.
Ein professioneller Pentester arbeitet nach klar definierten Regeln (Rules of Engagement), die vorab mit dir abgestimmt werden. Darin wird festgelegt, welche Systeme getestet werden dürfen, welche ausgeschlossen sind und wie mit potenziell disruptiven Tests umgegangen wird. Das Risiko ist bei seriösen Dienstleistern minimal.
Die Kosten variieren stark nach Umfang und Komplexität. Ein fokussierter externer Test kann im niedrigen fünfstelligen Bereich liegen, während umfassende Tests mit mehreren Pentest-Arten deutlich mehr kosten können. Wichtiger als der Preis ist der Mehrwert: Ein guter Pentest spart langfristig Kosten, indem er reale Risiken aufdeckt, bevor Angreifer sie ausnutzen.
Red-Team-Engagements sind für Organisationen sinnvoll, die bereits ein solides Sicherheitsniveau erreicht haben: funktionierende Monitoring-Systeme, etablierte Incident-Response-Prozesse und geschulte Mitarbeitende. Orientiert am CMMI-Modell wäre das etwa ab Stufe 3 („Defined“). Vorher bringt ein klassischer Pentest mehr Mehrwert.
Beim Black-Box-Test erhält der Tester keinerlei Vorabinformationen – er agiert wie ein externer Angreifer. Beim White-Box-Test bekommt der Tester Zugang zu Dokumentation, Quellcode und Architekturplänen. Der Gray-Box-Test liegt dazwischen. Jede Variante hat ihre Berechtigung: Black-Box testet die Angreiferperspektive, White-Box ermöglicht tiefere Analysen in kürzerer Zeit.
