Ein Penetrationstest ist eine angekündigte, zeitlich begrenzte Sicherheitsprüfung eines definierten Systems, bei der Tester möglichst viele Schwachstellen finden, ausnutzen und bewerten.
Ein Penetrationstest (kurz Pentest) ist eine kontrollierte Sicherheitsprüfung mit klar umrissenem Prüfobjekt: eine Webanwendung, ein Netzsegment, eine Cloud-Umgebung, eine mobile App oder ein Active Directory. Die Tester gehen methodisch vor, suchen Schwachstellen, weisen deren Ausnutzbarkeit nach und bewerten die Auswirkung. Anders als beim Red Teaming ist der Test angekündigt, die Verteidiger wissen Bescheid, und das Ziel ist Vollständigkeit: möglichst viele Schwachstellen im Prüfumfang finden, nicht ein einzelnes Missionsziel erreichen.
Ein Pentest geht deutlich über einen Schwachstellenscan hinaus. Der Scanner meldet bekannte Signaturen; der Tester verkettet Befunde, prüft Geschäftslogik, umgeht Schutzmechanismen und belegt mit einem Proof of Concept, was ein Angreifer tatsächlich erreichen könnte.
Ablauf und Varianten
Ein Penetrationstest dauert typischerweise ein bis drei Wochen und gliedert sich in Vorbereitung, Informationsbeschaffung, Schwachstellenanalyse, Ausnutzung, Dokumentation und Retest. Das BSI beschreibt die Methodik im „Praxis-Leitfaden IS-Penetrationstest“ und zertifiziert Dienstleister dafür. Wichtige Unterscheidungen:
- Wissensstand: Blackbox, Greybox oder Whitebox – von null Vorwissen bis zu Quellcode und Architekturdokumenten.
- Prüfobjekt: extern (aus dem Internet), intern (aus dem Firmennetz), Web- und API-Test, Cloud, OT/ICS, WLAN oder Active Directory.
- Aggressivität: passiv scannend bis aktiv ausnutzend, jeweils vorab abgestimmt.
Das Ergebnis ist ein Bericht mit Management Summary, Einzelbefunden samt Schweregrad (meist nach CVSS), Reproduktionsschritten und priorisierten Maßnahmen.
Bedeutung für Unternehmen
Der Pentest ist das Standardinstrument, um präventive Kontrollen zu prüfen, bevor Angreifer es tun. Laut Mandiant M-Trends 2026 waren ausgenutzte Schwachstellen mit 32 Prozent der häufigste Erstzugriff; der Verizon DBIR 2026 nennt 31 Prozent. Regulatorisch ist der Pentest fest verankert: ISO 27001 verlangt in Kontrolle A.8.8 ein Schwachstellenmanagement mit Wirksamkeitsprüfung, PCI DSS 4.0 fordert in Anforderung 11.4 regelmäßige Pentests, DSGVO Art. 32 ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Unter NIS2 gelten Pentests als Wirksamkeitskontrolle des Risikomanagements.
Ein häufiger Fehler ist, Pentest und Red Teaming als austauschbar zu behandeln. Der Pentest beantwortet „Wo sind wir verwundbar?“, das Red Teaming „Bemerken wir einen Angreifer und stoppen wir ihn?“. Beide Fragen sind berechtigt, aber verschieden.
Praxis-Hinweise
- Definieren Sie den Prüfumfang präzise und legen Sie im Scoping fest, welche Systeme ausgenommen sind und wann getestet werden darf.
- Bevorzugen Sie Greybox-Tests mit Testkonten: Sie liefern in gleicher Zeit mehr Tiefe als reine Blackbox-Tests.
- Testen Sie nach jeder größeren Änderung und mindestens jährlich; ein Scan ersetzt den Pentest nicht.
- Fordern Sie einen Retest ein, der die Behebung der kritischen und hohen Befunde bestätigt.
- Verlangen Sie eine schriftliche Autorisierung und klare Rechtsgrundlage – ohne sie wäre der Test nach § 202a ff. StGB strafbar.
Unser Angebot beschreiben wir unter Penetrationstest.