Pentest

Ein Pentest (Penetrationstest) ist ein kontrollierter, vorab vereinbarter Angriff auf Ihre eigenen Systeme, durchgeführt von ethischen Hackern. Ziel ist nicht, Schaden anzurichten, sondern zu zeigen, wo ein echter Angreifer eindringen würde, und wie Sie diese Tür schließen.

Was es bedeutet

Bei einem Pentest schlüpft ein Sicherheitsspezialist in die Rolle eines Angreifers. Innerhalb eines klar abgegrenzten Umfangs (etwa einer Webanwendung, einer API oder Ihres Firmennetzwerks) sucht der Tester aktiv nach Schwachstellen und versucht, sie tatsächlich auszunutzen. Genau das unterscheidet einen Pentest von einem automatisierten Schwachstellenscan: Ein Scanner meldet bekannte Schwächen, ein Pentester beweist, was ein Angreifer damit in der Praxis erreichen kann.

Pentests werden meist nach Vorwissen eingeteilt. Beim Black-Box-Test weiß der Tester vorab fast nichts, beim Grey-Box-Test erhält er zum Beispiel ein Benutzerkonto, beim White-Box-Test zusätzlich Dokumentation oder Quellcode. Etablierte Rahmenwerke wie der OWASP Web Security Testing Guide und NIST SP 800-115 beschreiben das methodische Vorgehen. Das Ergebnis ist immer ein Bericht mit den gefundenen Schwachstellen, ihrem Schweregrad (häufig als CVSS-Score) und konkreten Gegenmaßnahmen.

Warum es wichtig ist

Automatisierte Werkzeuge übersehen Fehler, die erst in Kombination gefährlich werden: Ein kleines Informationsleck plus eine schwache Zugriffskontrolle kann zusammen zur vollständigen Übernahme einer Anwendung führen. Ein Pentest macht solche Angriffsketten sichtbar und zeigt, welche Risiken wirklich Priorität verdienen.

Außerdem verlangen immer mehr Normen und Kunden regelmäßige Tests, etwa ISO 27001, PCI DSS, TISAX oder die europäische NIS2-Richtlinie.

Beispiel

Ein Pentester untersucht ein Kundenportal und stellt fest, dass sich die Rechnungsnummer in der URL ändern lässt. Wer die Zahl hochzählt, sieht Rechnungen anderer Kunden: eine klassische IDOR-Schwachstelle. Der Bericht beschreibt genau, wie sich das Problem reproduzieren lässt, welche Daten erreichbar waren und wie das Entwicklungsteam die Autorisierung korrigiert, bevor ein Krimineller denselben Trick anwendet.