Was ist ein Penetrationstest: Definition, Ablauf, Kosten und Rechtsrahmen in Deutschland

Ein Penetrationstest ist ein kontrollierter und vorab autorisierter Versuch, in ein Informationssystem einzudringen - mit denselben Vorgehensweisen, die ein echter Angreifer verwenden würde. Durchgeführt wird er von einem Sicherheitsspezialisten auf Grundlage einer schriftlichen Beauftragung des Systemeigentümers, in einem vereinbarten Umfang und Zeitfenster. Das Ziel ist nicht, eine möglichst lange Befundliste zu erzeugen, sondern festzustellen, welche Schwachstellen praktisch ausnutzbar sind und was ein Angreifer damit erreichen könnte.

Dieser Artikel fasst zusammen, was ein Penetrationstest ist und was er nicht ist, wie er sich vom Schwachstellenscan und vom Red Teaming unterscheidet, welche Arten es gibt, nach welchen Methodiken getestet wird, was der deutsche Rechtsrahmen dazu sagt, wie ein Test abläuft, was er kostet und woran Sie einen guten Anbieter erkennen.

Was ein Penetrationstest ist und was er nicht ist

Stellen Sie sich vor, Sie wollen die Sicherheit Ihres Hauses überprüfen. Statt auf einen Einbrecher zu warten, beauftragen Sie jemanden, der auf allen Wegen hineinzukommen versucht - Tür, Fenster, Dach, Garage - und Ihnen anschließend genau beschreibt, durch welchen er es geschafft hat. Das ist der Kern eines Penetrationstests.

Drei Eigenschaften unterscheiden den Test vom Angriff, und es lohnt sich, sie zu kennen, bevor Sie anfragen:

• Autorisierung. Der Test stützt sich auf eine schriftliche Beauftragung des Berechtigten. Ohne sie handelt es sich um das Ausspähen von Daten nach § 202a StGB - auch dann, wenn die Absicht gut ist.
• Umfang. Vorab ist festgelegt, was getestet wird und was nicht. Ein System außerhalb des Umfangs lässt der Tester in Ruhe, selbst wenn er dort einen Fehler sieht.
• Rules of Engagement. Ein Dokument, das Zeitfenster, erlaubte Techniken, Eskalationskontakte und diejenigen Schritte festlegt, die vorab einzeln freigegeben werden müssen. Dazu gehören typischerweise Angriffe auf die Verfügbarkeit, Massenversand von Nachrichten und Eingriffe in Produktivdaten.

Ein Penetrationstest ist umgekehrt kein Dokumentenaudit, keine Zertifizierung und keine Garantie. Er weist nicht nach, dass ein System sicher ist - er weist nach, dass die beschriebenen Angriffswege zum Testzeitpunkt existierten und nach der Behebung nicht mehr funktionieren.

Penetrationstest, Schwachstellenscan und Red Teaming

Diese drei Begriffe werden in Anfragen am häufigsten verwechselt, dabei beantworten sie unterschiedliche Fragen.

Die Reihenfolge ist aufsteigend, nicht alternativ. Die Schwachstellenanalyse läuft fortlaufend und günstig, der Penetrationstest geht periodisch in die Tiefe, und Red Teaming ergibt erst Sinn, wenn es etwas zu erkennen gibt. Red Teaming in einer Umgebung zu beauftragen, die nie einen Penetrationstest gesehen hat, heißt teuer dafür zu bezahlen, dass die erste Schwachstelle gleich am Eingang lag.

Arten von Penetrationstests

Nach dem Umfang der übergebenen Informationen

• Black Box - der Tester erhält nichts außer einer Adresse. Simuliert einen externen Angreifer ohne Vorkenntnisse, verbringt aber einen erheblichen Teil der Zeit mit Recherche, die Sie selbst in fünf Minuten liefern könnten.
• Grey Box - der Tester erhält Benutzerkonten und eine Grundbeschreibung der Anwendung. Die häufigste und meist effizienteste Wahl: die Zeit fließt in das Finden von Fehlern, nicht in das Herausfinden, wie die Anwendung bedient wird.
• White Box - der Tester erhält zusätzlich Quellcode, Dokumentation und Zugang zur Umgebung. Die tiefste Abdeckung, üblich bei kritischen oder regulierten Systemen.

Nach dem Ziel

• Tests von Web- und Mobilanwendungen einschließlich APIs - Authentifizierung, Autorisierung, Geschäftslogik, Verarbeitung von Eingaben.
• Infrastrukturtests in der externen Variante aus dem Internet und der internen Variante aus dem Netz heraus, wo Lateral Movement und Rechteausweitung im Active Directory im Vordergrund stehen.
• Tests von Cloud-Umgebungen in AWS, Azure und GCP - IAM, öffentlich erreichbare Speicher, Identitäts- und Metadatenkonfiguration.
• Tests mobiler Anwendungen für Android und iOS, bei denen neben der App auch das Backend geprüft wird, mit dem sie spricht.
• Tests von IoT- und OT-Geräten - Firmware, Kommunikationsschnittstellen, physischer Zugriff auf das Gerät.
• Tests von KI- und LLM-Integrationen - Prompt Injection, Datenabfluss über RAG-Quellen, zu weit gefasste Berechtigungen von Agenten.
• Social Engineering - Phishing, Vishing und physischer Zutritt, also das Testen von Menschen und Prozessen statt von Technik.

Wonach getestet wird: Methodiken

Die Methodik ist das, was einen Bericht von einer Meinung unterscheidet. Ohne sie können Sie weder den diesjährigen Test mit dem letztjährigen noch das Angebot des einen Anbieters mit dem des anderen vergleichen, weil jeder etwas anderes getestet hat.

• OWASP WSTG (Web Security Testing Guide) - ein Katalog konkreter Tests für Webanwendungen, in dem jeder Test eine eigene Kennung trägt. Danach werden sowohl die Testabdeckung als auch die Berichtsstruktur aufgebaut.
• OWASP ASVS (Application Security Verification Standard) - ein Verifikationsstandard in drei Stufen. Während WSTG beschreibt, wie getestet wird, beschreibt ASVS, was eine Anwendung erfüllen muss.
• OWASP veröffentlicht weitere Dokumente, die in Anfragen auftauchen - Top 10, MASVS für mobile Anwendungen oder API Security Top 10. Welches Sie brauchen, hängt davon ab, was getestet wird.
• NIST SP 800-115 - der US-amerikanische technische Leitfaden für Sicherheitstests, den vor allem internationale Auftraggeber verlangen.
• PTES (Penetration Testing Execution Standard) - beschreibt den Ablauf eines Auftrags von der Umfangsabstimmung bis zur Übergabe des Berichts.
• BSI-Studie zur Durchführung von Penetrationstests - im deutschen Markt eine verbreitete Referenz für Klassifizierung und Vorgehen.

In der Praxis werden sie kombiniert: WSTG und ASVS bestimmen die technische Abdeckung, PTES oder NIST SP 800-115 rahmen den Prozess.

Der Rechtsrahmen in Deutschland

Eine allgemeine Pflicht, sich penetrationstesten zu lassen, gibt es im deutschen Recht nicht. Sie entsteht aber aus drei verschiedenen Richtungen, und es lohnt sich, sie nicht zu verwechseln.

1. Die Einwilligung des Systemeigentümers ist Voraussetzung, keine Formalie

Testen ohne schriftliche Autorisierung erfüllt den Tatbestand des Ausspähens von Daten nach § 202a StGB; je nach Vorgehen kommen das Abfangen von Daten nach § 202b StGB und die Datenveränderung nach § 303a StGB hinzu. Die Einwilligung muss von der Stelle kommen, die das System tatsächlich betreibt. Bei einer Anwendung in fremder Cloud oder bei einem von einem Dienstleister betriebenen Service ist das nicht automatisch Ihr Unternehmen - und die Nutzungsbedingungen des Anbieters können Tests einschränken oder eine Voranmeldung verlangen.

2. Die DSGVO verlangt regelmäßige Überprüfung der Wirksamkeit

Artikel 32 Absatz 1 lit. d) DSGVO fordert „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung“. Die Verordnung nennt den Penetrationstest nicht ausdrücklich, aber bei Systemen, die personenbezogene Daten verarbeiten, ist er der stärkste verfügbare Beleg dafür, dass ein solches Verfahren tatsächlich existiert.

3. NIS2 und seine deutsche Umsetzung

Die Richtlinie (EU) 2022/2555 - NIS2 hat die ursprüngliche NIS-Richtlinie abgelöst, den Kreis der Sektoren erweitert und die Pflichten verschärft. Sie verlangt in Artikel 21 Absatz 2 lit. e) Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement und in lit. f) Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Genau diese Wirksamkeitsbewertung ist das, was ein Penetrationstest erzeugt.

In Deutschland erfolgt die Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), mit dem das BSI-Gesetz (BSIG) geändert wird; zuständige Behörde ist das BSI. Ob Sie betroffen sind, hängt von Sektor und Unternehmensgröße ab - das gehen wir im Artikel NIS2 in Deutschland und auf der Seite zu NIS2-Penetrationstests durch.

4. Vertraglich: ISO 27001 und Kundenfragebögen

Kein Gesetz, aber praktisch genauso verbindlich: ISO/IEC 27001 verlangt in Anhang A 8.8 das Management technischer Schwachstellen und in A 8.29 Sicherheitstests in Entwicklung und Abnahme. Für viele Unternehmen kommt die Anforderung zuerst über den Sicherheitsfragebogen eines Kunden - und ein aktueller Testbericht beantwortet dort mehr Fragen als jede Selbstauskunft.

Wie ein Penetrationstest abläuft

1. Abstimmung von Umfang und Regeln. Ziele, Umgebung, Testkonten, Zeitfenster und Rules of Engagement werden festgelegt. NDA und Autorisierung werden unterzeichnet. Je konkreter die Anfrage, desto weniger muss der Anbieter sich zusammenreimen.
2. Aufklärung. Informationssammlung über das Ziel: Technologien, Subdomains, öffentlich verfügbare Angaben, Kartierung der Eintrittspunkte der Anwendung.
3. Scannen und Analyse. Identifikation von Diensten, Versionen und bekannten Schwachstellen. Automatisierung erledigt hier die grobe Arbeit, damit ein Mensch sie nicht machen muss.
4. Ausnutzung der Befunde. Nachweis, dass eine gefundene Schwäche tatsächlich ausnutzbar ist, belegt durch einen Proof of Concept. Hier trennt sich ein Befund von einem Fehlalarm des Scanners.
5. Vertiefung. Rechteausweitung, Lateral Movement, Verkettung einzelner Befunde. Zwei für sich uninteressante Fehler bedeuten zusammen häufig eine vollständige Kompromittierung.
6. Bericht und Übergabe. Aufbereitung der Befunde, Risikobewertung, Empfehlungen und Präsentation der Ergebnisse.
7. Behebung und Retest. Sie beheben die Fehler, der Tester prüft, dass die Behebung wirkt und keine neue Schwachstelle eingeführt hat.

Der letzte Schritt geht in Angeboten am häufigsten verloren. Ohne Retest haben Sie ein dokumentiertes Problem statt einer dokumentierten Lösung - und legen Ihrem Auditor einen Befund vor statt seiner Beseitigung.

Umfang, Ablauf und Ergebnisse beschreiben wir konkret auf der Seite Penetrationstests für Anwendungen und Infrastruktur.

Was Sie als Ergebnis bekommen

Ein Bericht aus einem Penetrationstest hat zwei Teile, weil er zwei Leser hat:

• Managementzusammenfassung - was getestet wurde, wie ernst die Gesamtlage ist, was zu entscheiden ist und in welcher Reihenfolge. Ohne technischen Jargon, im Umfang von ein bis zwei Seiten.
• Technischer Teil - zu jedem Befund eine Beschreibung, die betroffene Stelle, eine Schweregradbewertung nach CVSS, ein reproduzierbarer Ablauf, ein Nachweis und eine konkrete Empfehlung zur Behebung.

Dazu gehört üblicherweise eine Bestätigung über die Durchführung des Tests, die für ein internes Audit oder einen Kundenfragebogen verwendbar ist, sowie eine Ergebnispräsentation für das Entwicklungsteam, in der über die Befunde gesprochen werden kann.

Was ein Penetrationstest kostet

Der Preis wird in Personentagen gerechnet. Wie viele es werden, bestimmen Umfang und Testtiefe - nicht die Größe Ihres Unternehmens und nicht, wie dringend Sie den Test brauchen.

Ein Basistest einer Webanwendung beginnt bei rund 2.000 €. Ein typisches Projekt umfasst 5 bis 15 Personentage und dauert vom Teststart bis zur Übergabe des Berichts ein bis drei Wochen. Umfangreiche Infrastrukturen, mehrere Umgebungen gleichzeitig oder Anwendungen mit Dutzenden Benutzerrollen liegen darüber.

Drei Dinge wirken sich am stärksten auf den Preis aus:

• Anzahl der Benutzerrollen. Eine Anwendung mit drei Rollen bedeutet drei Durchläufe durch die Autorisierungstests, nicht einen.
• Anteil manueller Arbeit. Ein Angebot, das halb so hoch ist wie die übrigen, besteht meist größtenteils aus einem Scan.
• Retest. Ob er im Preis enthalten ist oder nachberechnet wird.

Wenn Sie Angebote vergleichen, rechnen Sie sie auf den Preis pro Personentag um und sehen Sie nach, wie viele Personentage wer anbietet. Ein Angebot ohne angegebene Personentage lässt sich mit nichts vergleichen. Die vollständige Aufschlüsselung steht im Artikel was kostet ein Penetrationstest.

Wer den Test durchführt

Die Qualität eines Tests ist zu einem großen Teil die Qualität des konkreten Menschen, der ihn durchführt. Im Angebot lohnt es sich deshalb, nach Dingen zu fragen, die sich überprüfen lassen:

• Namentlich genannte Tester und deren Zertifizierungen. Gewicht haben praxisorientierte Zertifizierungen wie OSCP und OSWE, bei Managementrollen CISSP.
• Ein anonymisierter Musterbericht vor der Entscheidung, nicht erst nach der Unterschrift.
• Haftpflichtversicherung und der Umgang mit den Testdaten - wo sie gespeichert werden, wie lange und wann sie gelöscht werden.
• Unabhängigkeit. Ein Anbieter, der Befunde findet und sie zugleich gegen Entgelt behebt, verliert die Unabhängigkeit des Ergebnisses - und genau diese Eigenschaft ist der Grund, warum ein Auditor den Bericht anerkennt.

Ausführlicher gehen wir das im Artikel Ethical Hacker beauftragen durch.

Penetrationstests - häufige Fragen

Passende Haxoris-Leistungen: Penetrationstests für Webanwendungen und Infrastruktur · Schwachstellenanalyse von Systemen und Anwendungen · Penetrationstests für die NIS2-Umsetzung