Pentesting

Penetrationstests sind eine Kategorie von IT-Sicherheitsüberprüfungen. Ziel dabei ist es, reale Angriffsszenarien zu simulieren und dadurch Lücken und Fehlkonfigurationen in IT-Systemen oder IT-Umgebungen aufzudecken. Ein erfolgreicher Pentest deckt nicht nur Lücken auf, sondern bietet dem Kunden zudem gezielte Handlungsempfehlungen, um diese zu schließen. Pentests sind i.d.R. zeitlich sehr genau eingegrenzt und finden häufig in enger Zusammenarbeit und im Austausch mit dem Kunden statt.

Pentests sind wichtig, um die Sicherheit von Unternehmen proaktiv zu verbessern und die Angriffsfläche zu minimieren. Ein Pentest kann nie vollständige Sicherheit garantieren, aber dazu beitragen Schwachstellen und Fehlkonfigurationen aufzudecken und deren Behebung zu ermöglichen.

1. Angreiferwissensprofil

Black-Box: keine Infos außer öffentlich verfügbaren.

White-Box: volle Infos (z. B. Quellcode, Netzwerkdiagramme).

Grey-Box: Teilinfos, z. B. Benutzerzugänge.

Weniger Infos = realistisch, mehr Infos = effizientere Tests (zeitlich begrenzt).

2. Zielarten

Infrastruktur: externe Systeme/Netzbereiche – Frage: Eindringen von außen möglich? Zugriff auf interne Daten?

Webapplikationen: Webseiten, APIs, Quellcode – Fokus: Zugriff/Manipulation von Daten, Sicherheit der Verschlüsselung.

Interner Pentest / Innentäter: interne Infrastruktur & AD-Berechtigungen – Szenario mit gültigen Zugangsdaten.

Assumed Compromise Breach: Start mit kompromittiertem System ohne Berechtigungen – Prüfung lateral movement & Rechteeskalation.

Red Teaming: umfassende, mehrstufige Simulation inkl. Technik, Phishing, physischem Zugang – Fokus: Erkennung, Reaktion, Prozesse.

Mobile Applikationen: Apps & APIs – Prüfung Datenzugriff, Speicherung, Manipulation, Verschlüsselung.

Pentests sind hochindividuell und müssen gemeinsam mit dem Kunden (Wissensprofil + Zielsysteme) genau definiert werden.

Professionelle Pentests werden von hochspezialisierten IT-Sicherheitsexperten durchgeführt, die meist ein abgeschlossenes Studium oder eine Ausbildung im Bereich der Informatik besitzen. Weiterhin besitzen die IT-Sicherheitsexperten oftmals technisch anspruchsvolle Zertifizierungen im Bereich Pentesting/Ethical Hacking.

Ein Penetrationstest lässt sich in vier Phasen unterteilen. In der Planung und Vorbereitung erfolgt zunächst ein Kickoff-Termin. Hierbei lernen sich die Beteiligten kennen, legen die Rahmenbedingungen fest und stimmen alle wichtigen Punkte ab – darunter die relevanten Ansprechpartner, das Angreiferwissensprofil, die zu testenden Systeme, technische Details sowie der konkrete Testzeitraum.

Darauf folgt die automatisierte Überprüfung, bei der Schwachstellenscanner eingesetzt werden. Ziel ist es, einen ersten Überblick über die Zielsysteme zu gewinnen, gängige Sicherheitslücken aufzudecken und potenziell besonders lohnende Angriffsziele zu identifizieren.

In der manuellen Überprüfung validieren die Pentester die zuvor gefundenen Schwachstellen, kombinieren diese miteinander und führen Angriffe durch, die automatisierte Tools nicht erkennen können. Diese Phase erfordert Kreativität, tiefes Fachwissen und variiert stark je nach Zielart. Häufig wechseln sich automatisierte und manuelle Tests mehrfach ab, um weitere Erkenntnisse zu gewinnen und tiefer in die Systeme vorzudringen.

Zum Abschluss folgt die Dokumentation und Ergebnisbesprechung. Alle validierten Schwachstellen und Angriffspfade werden in einem Bericht nachvollziehbar aufbereitet und mit konkreten Handlungsempfehlungen versehen. In einem Abschlussgespräch werden die Ergebnisse vorgestellt und offene Fragen des Kunden geklärt.

Es empfiehlt sich Pentests in regelmäßigen Abständen zu wiederholen. Außerplanmäßige Pentests sind besonders dann empfehlenswert, wenn z.B. größere Konfigurationsänderungen vorgenommen werden oder neue Produkte bzw. Produktänderungen auf den Markt gebracht werden.

Ein Pentest beinhaltet eine manuelle Überprüfung, die einen Schwachstellenscan (Vulnerability Scan) beinhalten kann, aber nicht muss. Schwachstellenscanner testen automatisiert katalogisierte Schwachstellen, können diese allerdings nicht immer verifizieren, wodurch False Positives auftreten können.

Regelmäßige Schwachstellenscans sind eine gute Ergänzung zu regelmäßigen Pentests und können z.B. sinnvoll als Teil der Patch Management Strategie eines Unternehmens eingesetzt werden. Sie bieten jedoch keinen adäquaten Ersatz für einen umfassenden Pentest, da sie keine tiefergehenden Überprüfungen durchführen können.