Ethical Hacker beauftragen: was er darf, was er liefert und woran Sie einen guten erkennen

19. August 2026

Das Wichtigste in Kürze

Ein Ethical Hacker arbeitet mit den Methoden eines Angreifers, aber mit schriftlicher Beauftragung und definiertem Umfang
Ohne diese Beauftragung ist dieselbe Handlung nach § 202a StGB strafbar - unabhängig von der Absicht
Was Sie einkaufen, heißt Penetrationstest: Umfang, Methodik, Bericht und Retest
Aussagekräftig sind praktische Zertifizierungen wie OSCP und OSWE, nicht Multiple-Choice-Abschlüsse
Ein Anbieter, der Befunde findet und sie gegen Aufpreis selbst behebt, verliert die Unabhängigkeit, für die Sie ihn geholt haben

„Hacker beauftragen“ klingt nach einem Widerspruch: Sie bezahlen jemanden dafür, in Ihre eigenen Systeme einzubrechen. Genau das ist der Punkt. Ein Ethical Hacker - im Deutschen auch White-Hat-Hacker oder schlicht Penetrationstester - greift Ihre Systeme mit denselben Werkzeugen und Denkweisen an wie ein echter Angreifer, nur mit Ihrer schriftlichen Erlaubnis und mit einem Bericht am Ende statt einer Lösegeldforderung.

Dieser Artikel geht durch, was ein Ethical Hacker tatsächlich tut, was ihn rechtlich von einem Angreifer trennt, welche Anfragen ein seriöser Anbieter ablehnt und welche fünf Fragen Sie vor der Beauftragung stellen sollten.

Was ein Ethical Hacker konkret tut

Der Arbeitsalltag hat wenig mit der Kapuzenpulli-Bildsprache zu tun. Der größere Teil ist Lesen, Ausprobieren und Dokumentieren:

Angriffsfläche kartieren. Welche Systeme sind überhaupt aus dem Internet erreichbar, welche Subdomains existieren, welche Technologien laufen darunter. Regelmäßig taucht dabei ein Testsystem auf, von dem im Unternehmen niemand mehr wusste.
Authentifizierung und Autorisierung prüfen. Kann man sich als jemand anderes ausgeben? Sieht ein normaler Nutzer Daten, die ihm nicht gehören? Das ist der Bereich, in dem die schwerwiegendsten Befunde entstehen, und kein Scanner findet sie.
Geschäftslogik angreifen. Rabatte doppelt einlösen, Bestellschritte überspringen, negative Beträge senden. Fehler, die technisch korrekt aussehen und wirtschaftlich teuer sind.
Befunde verketten. Zwei für sich harmlose Kleinigkeiten ergeben zusammen oft eine vollständige Übernahme. Genau diese Kette ist das, was ein Bericht zeigen muss.
Nachweise erbringen. Ein Befund ohne reproduzierbaren Nachweis ist eine Behauptung. Der Nachweis ist das, was den Unterschied zwischen einem Scanner-Export und einem Test ausmacht.

Wie das im Detail abläuft, beschreiben wir im Artikel was ein Penetrationstest ist.

Was ihn rechtlich von einem Angreifer trennt

Der Unterschied ist nicht die Technik. Die Technik ist identisch. Der Unterschied sind drei Dokumente:

Die Beauftragung. Eine schriftliche Erlaubnis des Berechtigten. Ohne sie erfüllen dieselben Handlungen den Tatbestand des Ausspähens von Daten nach § 202a StGB, das Abfangen von Daten nach § 202b StGB oder - je nach Vorgehen - die Datenveränderung nach § 303a StGB. Die gute Absicht ändert daran nichts.
Der Umfang. Eine genaue Festlegung, was getestet wird und was nicht. Ein System außerhalb des Umfangs lässt der Tester in Ruhe, auch wenn er dort einen Fehler sieht.
Die Rules of Engagement. Zeitfenster, erlaubte Techniken, Eskalationskontakte und die Schritte, die vorab einzeln freigegeben werden müssen. Dazu gehören typischerweise Angriffe auf die Verfügbarkeit, Massenversand von Nachrichten und Eingriffe in Produktivdaten.

Ein Punkt, der in der Praxis regelmäßig übersehen wird: Die Beauftragung muss von der Stelle kommen, die das System tatsächlich betreibt. Bei einer Anwendung in fremder Cloud oder bei einem SaaS-Dienst ist das nicht automatisch Ihr Unternehmen, und die Nutzungsbedingungen des Anbieters können Tests einschränken oder eine Voranmeldung verlangen.

Dieser Abschnitt ist eine informative Zusammenfassung, keine Rechtsberatung. Ob eine konkrete Konstellation zulässig ist und wer wirksam beauftragen kann, klären Sie mit einem Anwalt.

Welche Anfragen wir ablehnen

Die Suchanfrage „Hacker beauftragen“ bringt zwei sehr unterschiedliche Absichten zusammen, deshalb hier unmissverständlich: Wir testen ausschließlich Systeme, für die eine schriftliche Beauftragung des Berechtigten vorliegt.

Nicht übernehmen wir - unabhängig von der Begründung und unabhängig vom Honorar:

Zugriff auf fremde Konten, Postfächer, Nachrichten oder Geräte, auch von Angehörigen, Partnern oder Mitarbeitenden.
Wiederherstellung von Zugängen zu Konten, die Ihnen nicht nachweislich gehören.
Tests an Systemen eines Wettbewerbers, Lieferanten oder Kunden ohne dessen eigene Beauftragung.
Überwachung von Personen.

Das ist keine Formalie und kein Verhandlungsspielraum. Es ist die Grenze zwischen einer Dienstleistung und einer Straftat - und ein Anbieter, der sie verhandelbar macht, ist auch bei Ihren Daten kein sicherer Partner.

Ethical Hacking, Penetrationstest, Red Teaming

Die drei Begriffe werden in Anfragen oft synonym verwendet, meinen aber unterschiedlich große Leistungen.

	Ethical Hacking	Penetrationstest	Red Teaming
Was der Begriff beschreibt	Haltung und Rechtsrahmen	eine konkrete, abgegrenzte Leistung	eine zielgerichtete Angriffssimulation
Umfang	je nach Auftrag	festgelegte Anwendungen oder Netze	ein definiertes Ziel, der Weg liegt beim Team
Wird die Erkennung getestet?	nein	nein, das Team weiß Bescheid	ja, das ist der Kern
Typische Dauer	—	5 bis 15 Personentage	2 bis 6 Wochen
Sinnvoll, wenn	Sie den Rahmen klären	Sie wissen wollen, was zuerst zu beheben ist	Sie eine Erkennung haben und sie prüfen wollen

Wenn Sie etwas einkaufen wollen, kaufen Sie einen Penetrationstest. Nur dieser Begriff bringt Umfang, Zeitrahmen und einen definierten Liefergegenstand mit. „Ethical Hacking“ allein sagt über den Leistungsumfang nichts aus - und ein Angebot, das nur so überschrieben ist, lässt sich mit keinem anderen vergleichen.

Woran Sie einen guten erkennen

Die Qualität eines Tests ist zu einem großen Teil die Qualität der konkreten Person, die ihn durchführt. Fünf Fragen, die sich vor der Beauftragung überprüfen lassen:

Wer testet namentlich und mit welchen Zertifizierungen? Gewicht haben praktische Zertifizierungen mit Prüfung am realen System: OSCP und OSWE von OffSec, Red Team Ops für Red-Teaming-Projekte, eMAPT für mobile Anwendungen. CISSP und CCSP sind Management- und Architekturzertifikate - wertvoll im Team, aber kein Beleg für Testfähigkeit. Unser Team und die gehaltenen Zertifizierungen finden Sie auf der Seite über uns.
Gibt es einen anonymisierten Musterbericht vor der Entscheidung? Nicht erst nach der Unterschrift. Der Bericht ist das Produkt; wer ihn nicht zeigen will, hat einen Grund dafür.
Nach welcher Methodik wird getestet? OWASP WSTG, ASVS und die weiteren Standards machen Abdeckung überprüfbar und Berichte zwischen Jahren und Anbietern vergleichbar.
Wie wird mit den Testdaten umgegangen? Wo werden Befunde gespeichert, wie lange, wann werden sie gelöscht - und besteht eine Haftpflichtversicherung?
Ist der Anbieter unabhängig? Wer Befunde findet und sie anschließend gegen Aufpreis selbst behebt, verliert genau die Unabhängigkeit, für die ein Auditor den Bericht anerkennt.

Eine sechste Frage, die weniger technisch ist und trotzdem viel verrät: Sagt der Anbieter Ihnen auch, wann Sie den Test nicht brauchen? Wer auf jede Anfrage mit demselben Angebot antwortet, hat den Umfang nicht verstanden.

Wann Sie einen Ethical Hacker brauchen

Vor dem Livegang einer Anwendung, die Kundendaten oder Zahlungen verarbeitet.
Nach einer größeren Änderung an Authentifizierung, Rollenmodell oder Architektur.
Wenn ein Kunde oder Auditor einen Nachweis verlangt - für ISO 27001 oder NIS2 ist ein Testbericht der übliche Weg.
Wenn Sie den menschlichen Faktor und nicht die Technik prüfen wollen - dann brauchen Sie eine Social-Engineering-Simulation.
Regelmäßig, üblicherweise jährlich, weil sich Ihre Systeme und die Angriffstechniken beide weiterentwickeln.

Was ein solcher Auftrag kostet, rechnen wir im Artikel was kostet ein Penetrationstest auf.

Ethical Hacker beauftragen - häufige Fragen

Was macht ein Ethical Hacker?

Ein Ethical Hacker greift Systeme mit denselben Methoden an, die ein echter Angreifer verwenden würde - allerdings mit schriftlicher Beauftragung des Systemeigentümers, in einem vorab definierten Umfang und in einem vereinbarten Zeitfenster. Ziel ist nicht die längstmögliche Befundliste, sondern die Feststellung, welche Schwachstellen praktisch ausnutzbar sind und wie weit ein Angreifer damit käme. Das Ergebnis ist ein Bericht mit Nachweisen, Risikobewertung und konkreten Empfehlungen.

Ist Ethical Hacking in Deutschland legal?

Ja, wenn eine schriftliche Beauftragung des Berechtigten vorliegt und der Test sich an den vereinbarten Umfang hält. Ohne diese Erlaubnis erfüllen dieselben Handlungen den Tatbestand des Ausspähens von Daten nach § 202a StGB, unabhängig von der Absicht. Die Beauftragung muss von der Stelle kommen, die das System tatsächlich betreibt - bei Cloud-Diensten und ausgelagerten Anwendungen ist das nicht automatisch Ihr Unternehmen.

Was ist der Unterschied zwischen einem Ethical Hacker und einem Penetrationstester?

In der Praxis meinen beide Begriffe dieselbe Arbeit. Ethical Hacking beschreibt die Haltung und den rechtlichen Rahmen, Penetrationstest beschreibt die konkrete Dienstleistung mit definiertem Umfang, Methodik und Bericht. Wenn Sie etwas einkaufen wollen, kaufen Sie einen Penetrationstest - denn nur dieser Begriff bringt Umfang, Zeitrahmen und Liefergegenstand mit.

Welche Zertifizierungen sollte ein guter Ethical Hacker haben?

Aussagekräftig sind praktische Zertifizierungen mit Prüfung am realen System: OSCP und OSWE von OffSec, Red Team Ops für Red-Teaming-Projekte, eMAPT für mobile Anwendungen. CISSP und CCSP sind Management- und Architekturzertifikate und sagen über die Testfähigkeit wenig aus, gehören aber zu einem vollständigen Team. Eine reine Multiple-Choice-Zertifizierung ohne praktischen Teil ersetzt keine Referenz.

Kann ich einen Hacker beauftragen, um ein fremdes Konto zu prüfen?

Nein. Ein seriöser Anbieter testet ausschließlich Systeme, für die eine schriftliche Beauftragung des Berechtigten vorliegt. Anfragen zu fremden Konten, Geräten oder Nachrichten - auch von Angehörigen oder Mitarbeitenden - lehnen wir ab. Das ist keine Formalie, sondern die Grenze zwischen einer Dienstleistung und einer Straftat.

Wie lange dauert es, bis ein Ethical Hacker beginnen kann?

Zwischen der ersten Anfrage und dem Teststart liegen üblicherweise ein bis drei Wochen. Darin enthalten sind das Scoping-Gespräch, die schriftliche Beauftragung samt NDA und Rules of Engagement sowie die Bereitstellung von Testzugängen. Der Test selbst dauert je nach Umfang 3 Tage bis 3 Wochen, der Bericht folgt einige Tage später.

Menü