18. März 2026 14:35

Was ist ein Penetrationstest (Penetration Test)?

Ein Penetrationstest (Penetration Test oder kurz Pentest) ist ein Prozess, bei dem die Informationssysteme, Netzwerkinfrastruktur oder Anwendungen einer Organisation aus der Perspektive eines echten Angreifers und auf autorisierte Weise getestet werden. Das Ziel ist es, Sicherheitslücken zu identifizieren, Risikoniveaus zu bestimmen und Korrekturmaßnahmen zu ergreifen, bevor ein echter Cyberangriff stattfindet.

Der Penetrationstest wird nicht durchgeführt, um Ihr System zu beschädigen, sondern im Gegenteil, um es zu schützen. Cybersicherheitsexperten, auch bekannt als Ethical Hacker, testen Ihr System mit den gleichen Techniken und Tools, die Angreifer verwenden; dies geschieht jedoch im rechtlichen Rahmen und mit Ihrer Genehmigung.

Unterschied zwischen Penetrationstest und Vulnerability Scanning

Diese beiden Konzepte werden häufig verwechselt, aber es gibt wichtige Unterschiede zwischen ihnen:

• Vulnerability Scanning (Schwachstellenscan): Erkennt bekannte Sicherheitslücken im System mit automatischen Tools. Es wird keine tiefgehende Analyse durchgeführt, nur potenzielle Risiken werden aufgelistet.
• Penetration Testing (Penetrationstest): Wird von einem Expertenteam mit manuellen und automatischen Methoden durchgeführt. Es wird nachgewiesen, ob die Schwachstellen tatsächlich ausgenutzt werden können, und die geschäftlichen Auswirkungen werden bewertet.

Einfach ausgedrückt: Vulnerability Scanning prüft, ob die Türen verschlossen sind; ein Penetrationstest versucht tatsächlich, hineinzukommen.

Arten von Penetrationstests

Penetrationstests werden je nach Informationsniveau, das dem Testteam zur Verfügung gestellt wird, in drei Hauptkategorien unterteilt:

• Black Box (Schwarzer Kasten): Dem Testteam werden keine Informationen über das Zielsystem zur Verfügung gestellt. Dies ist die Methode, die reale Angriffe am besten simuliert.
• White Box (Weißer Kasten): Dem Testteam werden vollständige Informationen über das System (Quellcode, Netzwerkschemata usw.) zur Verfügung gestellt. Bietet die umfassendste und tiefgehendste Analyse.
• Grey Box (Grauer Kasten): Es werden teilweise Informationen bereitgestellt. Beispielsweise wird ein Benutzerkonto bereitgestellt, um zu testen, wie das System von innen ausgenutzt werden kann. Dies ist die am häufigsten verwendete Methode.

Black Box, Grey Box und White Box — drei verschiedene Penetrationstest-Ansätze

Umfang von Penetrationstests

• Netzwerk-Penetrationstest: Sicherheit der internen und externen Netzwerkinfrastruktur
• Web-Anwendungs-Penetrationstest (WAPT): Website- und API-Sicherheit (mit Fokus auf OWASP Top 10)
• Mobile-App-Penetrationstest: iOS- und Android-Anwendungssicherheit
• Social-Engineering-Test: Phishing- und Manipulationsangriffe auf Mitarbeiter
• Physischer Sicherheitstest: Bewertung der Gebäude- und Anlagensicherheit
• OT/SCADA-Penetrationstest: Sicherheit industrieller Steuerungssysteme

Wie wird ein Penetrationstest durchgeführt? Schritt-für-Schritt-Prozess

Ein professioneller Penetrationstest besteht aus bestimmten Phasen gemäß internationalen Methodologien (PTES, OWASP, OSSTMM):

1. Phase: Festlegung des Umfangs und Planung (Scoping)

Es ist von entscheidender Bedeutung, den Umfang vor Testbeginn zu klären. In dieser Phase wird Folgendes festgelegt:

• Zu testende Systeme, IP-Bereiche und Anwendungen
• Testtyp (Black Box / White Box / Grey Box)
• Zeitplan und Testfenster
• Rechtliche Genehmigungen und Kommunikationskanäle (unterzeichnetes Autorisierungsdokument)
• Außerhalb des Umfangs liegende (out-of-scope) Systeme

Diese Phase sichert sowohl den Kunden als auch das Testteam rechtlich ab.

2. Phase: Aufklärung (Reconnaissance)

Das Testteam sammelt so viele Informationen wie möglich über das Zielsystem. Es wird in zwei Unterkategorien durchgeführt:

• Passive Aufklärung: Informationen werden mit OSINT-Techniken (Open Source Intelligence) gesammelt, ohne direkten Kontakt mit dem Zielsystem herzustellen. DNS-Einträge, WHOIS-Abfragen, soziale Medien, Shodan, Google-Dork-Techniken werden verwendet.
• Aktive Aufklärung: Informationen werden durch direkte Interaktion mit dem Zielsystem gesammelt. Port-Scanning, Service-Erkennung, Banner-Grabbing werden durchgeführt.

3. Phase: Schwachstellenanalyse (Vulnerability Analysis)

Anhand der in der Aufklärungsphase gesammelten Informationen werden Sicherheitslücken im System identifiziert:

• Automatische Schwachstellen-Scan-Tools (Nessus, OpenVAS, Burp Suite)
• Manuelle Analyse und Quellcode-Überprüfung
• Vergleich mit CVE-Datenbanken (Common Vulnerabilities and Exposures)
• Überprüfung auf Fehlkonfigurationen und schwache Passwörter

4. Phase: Exploitation (Ausnutzung)

In dieser Phase wird nachgewiesen, ob die identifizierten Schwachstellen tatsächlich ausgenutzt werden können. Das Ziel ist nicht, das System zu beschädigen, sondern zu dokumentieren, dass ein Zugriff möglich ist:

• Kontrollierte Verwendung von Schwachstellen-Exploits
• Versuche zur Umgehung der Authentifizierung
• Verifizierung von Angriffsvektoren wie SQL Injection, XSS, RCE
• Test des unbefugten Datenzugriffs

In der Exploitation-Phase werden Schwachstellen in einer kontrollierten Umgebung nachgewiesen

5. Phase: Post-Exploitation (Nach der Ausnutzung)

Nachdem Zugriff auf das System erlangt wurde, wird simuliert, was ein echter Angreifer tun könnte:

• Lateral Movement: Ausbreitung vom kompromittierten System auf andere Systeme
• Privilege Escalation: Erlangung von Administratorrechten aus einem Konto mit niedrigen Berechtigungen
• Datenexfiltrations-Simulation: Nachweis der Zugriffsfähigkeit auf kritische Daten
• Persistence: Test von Mechanismen für dauerhaften Systemzugriff

6. Phase: Berichterstattung (Reporting)

Der Bericht, der das kritischste Ergebnis des Penetrationstests ist, besteht aus zwei Hauptteilen:

• Executive Summary: Befunde, allgemeines Risikoniveau und strategische Empfehlungen für nicht-technische Leser
• Technischer Detailbericht: Technische Beschreibung jeder Schwachstelle, CVSS-Risiko-Score, schrittweiser Proof-of-Concept (PoC) und empfohlene Lösungen

Ein qualitativ hochwertiger Penetrationstestbericht listet nicht nur Probleme auf; er bietet priorisierte, umsetzbare Lösungsvorschläge für jeden Befund.

Professioneller Penetrationstestbericht: Befunde in kritischen, hohen, mittleren und niedrigen Risikokategorien

7. Phase: Retest (Wiederholungstest)

Nachdem die identifizierten Schwachstellen behoben wurden, wird ein Retest durchgeführt, um zu überprüfen, ob die Korrekturen tatsächlich wirksam sind. Obwohl diese Phase häufig übersehen wird, ist sie ein integraler Bestandteil eines umfassenden Sicherheitsprozesses.

Wer sollte einen Penetrationstest durchführen lassen?

In der Türkei ist die Durchführung eines Penetrationstests in folgenden Fällen obligatorisch oder dringend empfohlen:

• Gesetzliche Verpflichtung: Finanz-, Energie- und Telekommunikationsunternehmen, die den BDDK-, EPDK-, SPK-, BTK-Vorschriften unterliegen
• Zertifizierungsanforderung: ISO 27001-, PCI DSS- oder SOC 2-Compliance-Prozesse
• Proaktive Sicherheit: Alle Unternehmen, die Kundendaten speichern, E-Commerce- oder SaaS-Plattformen betreiben
• Verteidigungsindustrie: Unternehmen, die in kritischen Infrastrukturen tätig sind