Pentest: Was ist ein Pentest?

Ein Pentest, kurz für Penetrationstest, ist ein erlaubter Angriff auf die eigene IT. Sicherheitsexperten suchen dabei gezielt nach Schwachstellen in Netzwerken, Servern und Anwendungen. Sie arbeiten mit denselben Methoden wie echte Angreifer, richten aber keinen Schaden an und dokumentieren jede Lücke.

Was ist ein Pentest?

Bei einem Pentest prüfen Fachleute, wie weit ein Angreifer in Ihre Systeme vordringen könnte. Ein automatischer Scan liefert nur eine Liste möglicher Lücken. Die Tester gehen weiter: Sie nutzen Schwachstellen tatsächlich aus und verketten sie miteinander. So zeigt sich, welche Lücke im Ernstfall wirklich gefährlich wird.

Ein Vergleich hilft: Ein Schwachstellenscan rüttelt an jeder Tür und notiert, welche nicht richtig schließt. Ein Pentest geht durch die offene Tür und schaut nach, was dahinter liegt.

Wie läuft ein Pentest ab?

Ein seriöser Pentest folgt einem festen Ablauf:

Umfang festlegen: Auftraggeber und Tester klären, welche Systeme sie prüfen, in welchem Zeitraum und mit welchen Methoden. Eine schriftliche Freigabe regelt die Spielregeln.
Informationen sammeln: Die Tester recherchieren erreichbare Systeme, Domains, eingesetzte Software und öffentlich bekannte Mitarbeiterdaten.
Schwachstellen suchen: Mit Scannern und manueller Prüfung finden sie veraltete Software, offene Ports, schwache Passwörter oder Fehler in der Konfiguration.
Lücken ausnutzen: Die Tester greifen die Schwachstellen kontrolliert an und prüfen, wie weit sie damit kommen.
Bericht erstellen: Der Bericht beschreibt jede Schwachstelle, bewertet ihr Risiko und nennt konkrete Gegenmaßnahmen.
Nachtest: Sobald Ihr Team die Lücken geschlossen hat, prüfen die Tester das Ergebnis erneut.

Welche Arten von Pentests gibt es?

Pentests unterscheiden sich vor allem darin, wie viel die Tester vorab wissen:

Black-Box-Test: Die Tester starten ohne Vorwissen, wie ein externer Angreifer.
White-Box-Test: Die Tester erhalten Zugangsdaten, Netzpläne und teils den Quellcode. Das spart Zeit und deckt mehr Lücken auf.
Grey-Box-Test: Die Tester kennen einen Teil der Umgebung, etwa ein normales Benutzerkonto. So lässt sich ein Angriff mit gestohlenen Zugangsdaten nachstellen.

Auch das Ziel variiert. Ein externer Pentest prüft alles, was aus dem Internet erreichbar ist. Ein interner Pentest simuliert einen Angreifer, der bereits im Firmennetz sitzt. Daneben gibt es spezielle Tests für Webanwendungen, WLAN und Cloud-Umgebungen. Beim Social Engineering testen die Fachleute Ihre Mitarbeitenden, etwa mit fingierten Phishing-Mails oder Anrufen.

Was unterscheidet einen Pentest vom Schwachstellenscan und Red Teaming?

Die drei Verfahren prüfen die Sicherheit unterschiedlich tief:

Schwachstellenscan: Ein Tool durchsucht Systeme automatisch nach bekannten Lücken. Der Scan läuft schnell und lässt sich oft wiederholen. Er meldet aber auch Fehlalarme und sagt wenig über die tatsächliche Gefahr.
Pentest: Fachleute prüfen einen klar abgegrenzten Bereich von Hand und nutzen Lücken gezielt aus. Das Ergebnis zeigt, was ein Angreifer konkret erreichen könnte.
Red Teaming: Ein Team simuliert über Wochen einen realistischen Angriff auf das gesamte Unternehmen. Nur wenige Beteiligte wissen davon. Der Test zeigt auch, ob Ihre eigene Abwehr den Angriff bemerkt.

Wann braucht ein Unternehmen einen Pentest?

Ein Pentest lohnt sich vor allem nach größeren Änderungen. Typische Anlässe sind eine neue Webanwendung, ein Umbau des Netzwerks oder der Umzug von Systemen in die Cloud. Auch vor einer ISO-27001-Zertifizierung liefert der Test belastbare Ergebnisse.

Die Regulierung erhöht den Druck zusätzlich. NIS2 verpflichtet betroffene Unternehmen, die Wirksamkeit ihrer Sicherheitsmaßnahmen zu bewerten. Ein Pentest ist dafür ein gängiges Werkzeug, auch wenn das Gesetz ihn nicht ausdrücklich vorschreibt.

Den eigentlichen Nutzen bringt erst die Nacharbeit. Bleibt der Bericht liegen, stehen die Lücken weiter offen. Planen Sie deshalb Zeit und Budget für die Behebung gleich mit ein.

Häufige Fragen zum Pentest

Was kostet ein Pentest?
Der Preis hängt vom Umfang ab. Die meisten Dienstleister rechnen nach Personentagen ab. Der Test einer einzelnen Webanwendung kostet deutlich weniger als die Prüfung des gesamten Netzwerks.

Wie oft sollten Unternehmen einen Pentest machen?
Viele Unternehmen testen einmal im Jahr und zusätzlich nach größeren Änderungen an der IT. Für besonders kritische Anwendungen sind kürzere Abstände sinnvoll.

Ist ein Pentest legal?
Ja, sofern der Auftraggeber ihn schriftlich freigibt. Ohne diese Erlaubnis wäre derselbe Angriff strafbar, etwa nach § 202a StGB. Klären Sie außerdem vorab, ob Sie Systeme von Hosting- oder Cloud-Anbietern mittesten dürfen.

Kann ein Pentest den Betrieb stören?
Das Risiko ist gering, aber nicht null. Einzelne Tests belasten Systeme stark oder lösen Fehler aus. Ein abgestimmtes Zeitfenster und ein erreichbarer Notfallkontakt helfen, im Ernstfall schnell zu reagieren.

Wie lange dauert ein Pentest?
Ein überschaubarer Test dauert oft nur wenige Tage. Größere Projekte mit mehreren Zielen ziehen sich inklusive Bericht über mehrere Wochen.