# Penetrationstest (Pentest): Definition, Ablauf und Tools Ein Penetrationstest (Pentest) ist ein kontrollierter, autorisierter Angriff auf IT-Systeme, Anwendungen oder Netzwerke. Er macht ausnutzbare Schwachstellen sichtbar, bewertet deren Auswirkungen und liefert konkrete Maßnahmen zur Behebung. Moderne Pentests beziehen neben klassischen Netzwerken auch Cloud-Ressourcen, Container, Kubernetes-Cluster und APIs ein. ## Was ist ein Penetrationstest? Pentesterinnen und Pentester simulieren typische Angriffstechniken unter vorher festgelegten Bedingungen. Ziel eines Pentests ist es, Sicherheitslücken unter realistischen Bedingungen aufzudecken und ihre tatsächliche Ausnutzbarkeit zu bewerten. Unternehmen erhalten dadurch eine belastbare Grundlage, um Risiken zu priorisieren und Schutzmaßnahmen gezielt zu verbessern. Zum Prüfbereich gehören: - Router - [Firewalls](https://www.ionos.de/digitalguide/server/sicherheit/was-ist-eine-firewall/) - Server - Webanwendungen - Identitäts- und Zugriffsverwaltung - Netzwerke - Schnittstellen (API) In Cloud-Umgebungen kommen [IaaS](https://www.ionos.de/digitalguide/server/knowhow/iaas-infrastructure-as-a-service/)- und [PaaS](https://www.ionos.de/digitalguide/server/knowhow/paas-platform-as-a-service/)-Ressourcen, Konfigurationen von Mandanten und Container-Orchestrierung hinzu. ### Welche Testmethoden gibt es?
Testmethode Informationsstand Realitätsnähe/Aufwand
Blackbox Nur öffentlich erreichbare Informationen und Zieladressen Hohe Realitätsnähe, hoher Rechercheaufwand
Greybox Begrenzte interne Informationen oder Testkonten Ausgewogenes Verhältnis von Realitätsnähe und Aufwand
Whitebox Vollständige Architektur-, Quellcode- oder Zugangsinformationen Hohe Abdeckung, geringerer Rechercheaufwand
Die passende Methode hängt von Ziel, Risiko und Budget ab. Vor Beginn muss immer ausdrücklich definiert werden, welche Systeme getestet werden dürfen und welche Aktionen ausgeschlossen sind. ## Welche Pen Testing Tools sind etabliert? Penetrationstests kombinieren manuelle Prüfungen mit spezialisierten Werkzeugen. Die Tools helfen dabei, Tests systematisch, reproduzierbar und effizient durchzuführen sowie größere IT-Umgebungen gezielt auf Schwachstellen zu untersuchen. Welche Software zum Einsatz kommt, hängt vom Prüfziel, der Infrastruktur und der jeweiligen Testphase ab. - **Nmap:** ermittelt erreichbare Hosts sowie Dienste und kann offene [Ports testen](https://www.ionos.de/digitalguide/server/sicherheit/ports-testen/). - **Metasploit:** unterstützt die kontrollierte Validierung ausgewählter Exploits. - **Burp Suite:** analysiert Webanwendungen und APIs, etwa Eingaben, Sitzungen und Zugriffskontrollen. - **Nessus oder OpenVAS:** scannt Systeme auf bekannte Schwachstellen und Fehlkonfigurationen. - **Wireshark:** untersucht Netzwerkverkehr und Protokollabläufe. Tools liefern Hinweise, ersetzen aber keine fachliche Bewertung. Scans und Exploits dürfen ausschließlich mit ausdrücklicher Genehmigung und in einem definierten Testfenster ausgeführt werden. ## Wie läuft ein Pentest nach PTES ab? Der Penetration Testing Execution Standard (PTES) strukturiert einen Test in sieben aufeinanderfolgende Phasen: 1. **Pre-Engagement Interactions:** Ziele, Umfang, Ansprechpartner, Zeitfenster, Regeln und Notfallkontakte festlegen. 2. **Intelligence Gathering:** passive und aktive Informationen sammeln, etwa OSINT, Domains, IP-Adressen, Technologien, Infrastruktur und offene Ports ermitteln. 3. **Threat Modeling:** Angriffsziele, Schutzbedarf und realistische Bedrohungsszenarien priorisieren. 4. **Vulnerability Analysis:** Schwachstellen durch manuelle Prüfungen und geeignete Scanner analysieren. 5. **Exploitation:** ausgewählte Schwachstellen kontrolliert ausnutzen, um ihre Auswirkungen zu belegen. 6. **Post-Exploitation:** prüfen, welche weiteren Rechte, Systeme oder Daten mit dem erlangten Zugriff erreichbar wären. 7. **Reporting:** Belege, Risiken, betroffene Systeme und priorisierte Gegenmaßnahmen dokumentieren. Die Prüfung von Härtungsmaßnahmen ist Bestandteil der Vulnerability Analysis. Dazu gehören Patchstände, Zugriffskontrollen, Passwortrichtlinien, Firewall-Regeln, offene Ports und sichere Standardkonfigurationen. ## Welche Bedeutung haben Pentests für Compliance? Die [NIS2](https://www.ionos.de/digitalguide/server/sicherheit/nis2/)-Richtlinie (EU) 2022/2555 verlangt für erfasste wesentliche und wichtige Einrichtungen angemessene technische und organisatorische Maßnahmen. In Deutschland gilt seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz. Ob ein Unternehmen in den Anwendungsbereich fällt, hängt unter anderem von Branche und Größe ab. Pentests können Unternehmen dabei unterstützen, Anforderungen an die [Compliance](https://www.ionos.de/digitalguide/startup/unternehmensfuehrung/compliance/) zu erfüllen, indem sie die Wirksamkeit bestehender Sicherheitsmaßnahmen praktisch überprüfen und dokumentierbare Nachweise über identifizierte Risiken und deren Behebung liefern. Das ist auch im Zusammenhang mit der DSGVO, dem [Risikomanagement](https://www.ionos.de/digitalguide/startup/unternehmensfuehrung/risikomanagement/) und [ISO-27001](https://www.ionos.de/digitalguide/server/sicherheit/iso-27001/)-Audits relevant. Eine generelle gesetzliche Pflicht zu Penetrationstests besteht jedoch nicht für jedes Unternehmen; entscheidend sind die jeweils geltenden regulatorischen Anforderungen und das individuelle Risikoprofil. ## Wie helfen Automatisierung, KI und PTaaS? **Automatisierte Pentests** und kontinuierliche Sicherheitsprüfungen helfen dabei, Schwachstellen früher und regelmäßiger zu erkennen. Das ist besonders in [DevSecOps](https://www.ionos.de/digitalguide/server/sicherheit/was-ist-devsecops/)-Umgebungen relevant, in denen Anwendungen und Infrastrukturen häufig geändert oder neu bereitgestellt werden. Statt ausschließlich zu festen Terminen zu testen, lassen sich bestimmte Prüfungen wiederkehrend oder nach Änderungen an Anwendungen, APIs und Cloud-Ressourcen ausführen. Beim **Pentest-as-a-Service (PTaaS)** werden Penetrationstests über eine zentrale Plattform organisiert und begleitet. Unternehmen können dort beispielsweise den Prüfstatus verfolgen, Befunde einsehen und die Behebung dokumentieren. **Continuous Pentesting** erweitert diesen Ansatz um regelmäßig wiederkehrende Tests. Dadurch lassen sich neue Schwachstellen schneller erkennen, wenn sich Systeme, Konfigurationen oder Anwendungen verändern. KI-gestützte Werkzeuge unterstützen vor allem bei der Auswertung großer Datenmengen und bei der Priorisierung möglicher Schwachstellen. Dadurch lässt sich der Analyseaufwand reduzieren, insbesondere in umfangreichen und dynamischen IT-Umgebungen. Hinweis Automatisierung und KI ersetzen jedoch keinen vollständig manuellen Penetrationstest. Ob eine Schwachstelle tatsächlich ausnutzbar ist, welche Auswirkungen ein Angriff hätte und wie verschiedene Sicherheitslücken zusammenspielen, erfordert weiterhin fachliche Bewertung. Auch kontrollierte Exploits dürfen nur innerhalb des zuvor vereinbarten Testumfangs und mit entsprechender Freigabe durchgeführt werden. ## Welche Vor- und Nachteile haben Pentests? **Vorteile:** - Pentests zeigen, ob Schwachstellen tatsächlich ausnutzbar sind. - Sie bewerten das Zusammenspiel von Netzwerk, Anwendungen, Identitäten und Cloud-Komponenten. - Externe Testteams bringen eine unabhängige Sicht auf das Sicherheitskonzept ein. - Die Ergebnisse liefern eine priorisierte Grundlage für Verbesserungen. **Nachteile und Grenzen:** - Testende erhalten unter Umständen Einblick in vertrauliche Informationen. - Unsichere Testschritte können Systeme beeinträchtigen; deshalb sind Schutzmaßnahmen und Notfallpläne erforderlich. - Ein Pentest ist eine Momentaufnahme und ersetzt weder Patchmanagement noch laufende Überwachung. Umfang, Ergebnisse und behobene Befunde sollten dokumentiert werden. Damit die IT auch langfristig sicher bleibt, müssen Tests nach wesentlichen Architekturänderungen und in regelmäßigen, risikobasierten Abständen wiederholt werden. This is a markdown version of: [https://www.ionos.de/digitalguide/server/knowhow/penetrationstest-der-netzwerk-komplettcheck/](https://www.ionos.de/digitalguide/server/knowhow/penetrationstest-der-netzwerk-komplettcheck/) for AI/LLM consumption.