Pe­ne­tra­ti­ons­test (Pentest): De­fi­ni­ti­on, Ablauf und Tools

Ein Pe­ne­tra­ti­ons­test (Pentest) ist ein kon­trol­lier­ter, au­to­ri­sier­ter Angriff auf IT-Systeme, An­wen­dun­gen oder Netzwerke. Er macht aus­nutz­ba­re Schwach­stel­len sichtbar, bewertet deren Aus­wir­kun­gen und liefert konkrete Maßnahmen zur Behebung. Moderne Pentests beziehen neben klas­si­schen Netz­wer­ken auch Cloud-Res­sour­cen, Container, Ku­ber­netes-Cluster und APIs ein.

Was ist ein Pe­ne­tra­ti­ons­test?

Pen­tes­te­r­in­nen und Pentester si­mu­lie­ren typische An­griffs­tech­ni­ken unter vorher fest­ge­leg­ten Be­din­gun­gen. Ziel eines Pentests ist es, Si­cher­heits­lü­cken unter rea­lis­ti­schen Be­din­gun­gen auf­zu­de­cken und ihre tat­säch­li­che Aus­nutz­bar­keit zu bewerten. Un­ter­neh­men erhalten dadurch eine be­last­ba­re Grundlage, um Risiken zu prio­ri­sie­ren und Schutz­maß­nah­men gezielt zu ver­bes­sern.

Zum Prüf­be­reich gehören:

• Router
• Firewalls
• Server
• Web­an­wen­dun­gen
• Iden­ti­täts- und Zu­griffs­ver­wal­tung
• Netzwerke
• Schnitt­stel­len (API)

In Cloud-Um­ge­bun­gen kommen IaaS- und PaaS-Res­sour­cen, Kon­fi­gu­ra­tio­nen von Mandanten und Container-Or­ches­trie­rung hinzu.

Welche Test­me­tho­den gibt es?

Die passende Methode hängt von Ziel, Risiko und Budget ab. Vor Beginn muss immer aus­drück­lich definiert werden, welche Systeme getestet werden dürfen und welche Aktionen aus­ge­schlos­sen sind.

Welche Pen Testing Tools sind etabliert?

Pe­ne­tra­ti­ons­tests kom­bi­nie­ren manuelle Prüfungen mit spe­zia­li­sier­ten Werk­zeu­gen. Die Tools helfen dabei, Tests sys­te­ma­tisch, re­pro­du­zier­bar und effizient durch­zu­füh­ren sowie größere IT-Um­ge­bun­gen gezielt auf Schwach­stel­len zu un­ter­su­chen. Welche Software zum Einsatz kommt, hängt vom Prüfziel, der In­fra­struk­tur und der je­wei­li­gen Testphase ab.

• Nmap: ermittelt er­reich­ba­re Hosts sowie Dienste und kann offene Ports testen.
• Me­tas­ploit: un­ter­stützt die kon­trol­lier­te Va­li­die­rung aus­ge­wähl­ter Exploits.
• Burp Suite: ana­ly­siert Web­an­wen­dun­gen und APIs, etwa Eingaben, Sitzungen und Zu­griffs­kon­trol­len.
• Nessus oder OpenVAS: scannt Systeme auf bekannte Schwach­stel­len und Fehl­kon­fi­gu­ra­tio­nen.
• Wireshark: un­ter­sucht Netz­werk­ver­kehr und Pro­to­koll­ab­läu­fe.

Tools liefern Hinweise, ersetzen aber keine fachliche Bewertung. Scans und Exploits dürfen aus­schließ­lich mit aus­drück­li­cher Ge­neh­mi­gung und in einem de­fi­nier­ten Test­fens­ter aus­ge­führt werden.

Wie läuft ein Pentest nach PTES ab?

Der Pe­ne­tra­ti­on Testing Execution Standard (PTES) struk­tu­riert einen Test in sieben auf­ein­an­der­fol­gen­de Phasen:

1. Pre-En­ga­ge­ment In­ter­ac­tions: Ziele, Umfang, An­sprech­part­ner, Zeit­fens­ter, Regeln und Not­fall­kon­tak­te festlegen.
2. In­tel­li­gence Gathering: passive und aktive In­for­ma­tio­nen sammeln, etwa OSINT, Domains, IP-Adressen, Tech­no­lo­gien, In­fra­struk­tur und offene Ports ermitteln.
3. Threat Modeling: An­griffs­zie­le, Schutz­be­darf und rea­lis­ti­sche Be­dro­hungs­sze­na­ri­en prio­ri­sie­ren.
4. Vul­nerabi­li­ty Analysis: Schwach­stel­len durch manuelle Prüfungen und geeignete Scanner ana­ly­sie­ren.
5. Ex­plo­ita­ti­on: aus­ge­wähl­te Schwach­stel­len kon­trol­liert ausnutzen, um ihre Aus­wir­kun­gen zu belegen.
6. Post-Ex­plo­ita­ti­on: prüfen, welche weiteren Rechte, Systeme oder Daten mit dem erlangten Zugriff er­reich­bar wären.
7. Reporting: Belege, Risiken, be­trof­fe­ne Systeme und prio­ri­sier­te Ge­gen­maß­nah­men do­ku­men­tie­ren.

Die Prüfung von Här­tungs­maß­nah­men ist Be­stand­teil der Vul­nerabi­li­ty Analysis. Dazu gehören Patch­stän­de, Zu­griffs­kon­trol­len, Pass­wort­richt­li­ni­en, Firewall-Regeln, offene Ports und sichere Stan­dard­kon­fi­gu­ra­tio­nen.

Welche Bedeutung haben Pentests für Com­pli­ance?

Die NIS2-Richt­li­nie (EU) 2022/2555 verlangt für erfasste we­sent­li­che und wichtige Ein­rich­tun­gen an­ge­mes­se­ne tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnahmen. In Deutsch­land gilt seit dem 6. Dezember 2025 das NIS2-Um­set­zungs­ge­setz. Ob ein Un­ter­neh­men in den An­wen­dungs­be­reich fällt, hängt unter anderem von Branche und Größe ab.

Pentests können Un­ter­neh­men dabei un­ter­stüt­zen, An­for­de­run­gen an die Com­pli­ance zu erfüllen, indem sie die Wirk­sam­keit be­stehen­der Si­cher­heits­maß­nah­men praktisch über­prü­fen und do­ku­men­tier­ba­re Nachweise über iden­ti­fi­zier­te Risiken und deren Behebung liefern. Das ist auch im Zu­sam­men­hang mit der DSGVO, dem Ri­si­ko­ma­nage­ment und ISO-27001-Audits relevant. Eine generelle ge­setz­li­che Pflicht zu Pe­ne­tra­ti­ons­tests besteht jedoch nicht für jedes Un­ter­neh­men; ent­schei­dend sind die jeweils geltenden re­gu­la­to­ri­schen An­for­de­run­gen und das in­di­vi­du­el­le Ri­si­ko­pro­fil.

Wie helfen Au­to­ma­ti­sie­rung, KI und PTaaS?

Au­to­ma­ti­sier­te Pentests und kon­ti­nu­ier­li­che Si­cher­heits­prü­fun­gen helfen dabei, Schwach­stel­len früher und re­gel­mä­ßi­ger zu erkennen. Das ist besonders in DevSecOps-Um­ge­bun­gen relevant, in denen An­wen­dun­gen und In­fra­struk­tu­ren häufig geändert oder neu be­reit­ge­stellt werden. Statt aus­schließ­lich zu festen Terminen zu testen, lassen sich bestimmte Prüfungen wie­der­keh­rend oder nach Än­de­run­gen an An­wen­dun­gen, APIs und Cloud-Res­sour­cen ausführen.

Beim Pentest-as-a-Service (PTaaS) werden Pe­ne­tra­ti­ons­tests über eine zentrale Plattform or­ga­ni­siert und begleitet. Un­ter­neh­men können dort bei­spiels­wei­se den Prüf­sta­tus verfolgen, Befunde einsehen und die Behebung do­ku­men­tie­ren. Con­ti­nuous Pen­test­ing erweitert diesen Ansatz um re­gel­mä­ßig wie­der­keh­ren­de Tests. Dadurch lassen sich neue Schwach­stel­len schneller erkennen, wenn sich Systeme, Kon­fi­gu­ra­tio­nen oder An­wen­dun­gen verändern. KI-gestützte Werkzeuge un­ter­stüt­zen vor allem bei der Aus­wer­tung großer Da­ten­men­gen und bei der Prio­ri­sie­rung möglicher Schwach­stel­len. Dadurch lässt sich der Ana­ly­se­auf­wand re­du­zie­ren, ins­be­son­de­re in um­fang­rei­chen und dy­na­mi­schen IT-Um­ge­bun­gen.

Welche Vor- und Nachteile haben Pentests?

Vorteile:

• Pentests zeigen, ob Schwach­stel­len tat­säch­lich aus­nutz­bar sind.
• Sie bewerten das Zu­sam­men­spiel von Netzwerk, An­wen­dun­gen, Iden­ti­tä­ten und Cloud-Kom­po­nen­ten.
• Externe Testteams bringen eine un­ab­hän­gi­ge Sicht auf das Si­cher­heits­kon­zept ein.
• Die Er­geb­nis­se liefern eine prio­ri­sier­te Grundlage für Ver­bes­se­run­gen.

Nachteile und Grenzen:

• Testende erhalten unter Umständen Einblick in ver­trau­li­che In­for­ma­tio­nen.
• Unsichere Test­schrit­te können Systeme be­ein­träch­ti­gen; deshalb sind Schutz­maß­nah­men und Not­fall­plä­ne er­for­der­lich.
• Ein Pentest ist eine Mo­ment­auf­nah­me und ersetzt weder Patch­ma­nage­ment noch laufende Über­wa­chung.

Umfang, Er­geb­nis­se und behobene Befunde sollten do­ku­men­tiert werden. Damit die IT auch lang­fris­tig sicher bleibt, müssen Tests nach we­sent­li­chen Ar­chi­tek­tur­än­de­run­gen und in re­gel­mä­ßi­gen, ri­si­ko­ba­sier­ten Abständen wie­der­holt werden.