Penetrationstest (Pentest)

Ein Penetrationstest – kurz Pentest – simuliert einen realen Cyberangriff auf IT-Systeme, Netzwerke und Anwendungen, um Schwachstellen aufzudecken, bevor Kriminelle sie ausnutzen. Für Unternehmen jeder Größe ist das längst mehr als eine freiwillige Vorsichtsmaßnahme: Sensible Daten, vernetzte Systeme und die NIS2-Richtlinie machen regelmäßige Penetrationstests zu einem festen Bestandteil jeder tragfähigen IT-Sicherheitsstrategie.

Was bedeutet Penetration Testing?

Ein Penetrationstest ist eine kontrollierte, vorab vertraglich vereinbarte Sicherheitsüberprüfung, bei der erfahrene IT-Sicherheitsexperten mit denselben Werkzeugen und Taktiken wie reale Angreifer versuchen, in Systeme einzudringen. Im Unterschied zu einem automatisierten Schwachstellenscan deckt ein Pentest auch komplexe, verkettete Schwachstellen auf – etwa, wenn eine falsch konfigurierte Zugriffsberechtigung mit einer veralteten Softwareversion zusammentrifft. Am Ende steht ein Bericht mit priorisierten Befunden und konkreten Handlungsempfehlungen für IT-Leitung und Geschäftsführung.

Welche Arten von Penetrationstests gibt es?

Black-Box-, Grey-Box- und White-Box-Tests

Die drei Testarten unterscheiden sich vor allem im Informationsstand der Tester zu Projektbeginn – und damit auch im Blickwinkel, aus dem ein Angriff simuliert wird:

Social-Engineering-Pentest

Ein Social-Engineering-Pentest prüft nicht die Technik, sondern den Faktor Mensch: Phishing-E-Mails, manipulative Anrufe oder der Versuch, sich physischen Zutritt zu verschaffen, zeigen, wie Mitarbeitende auf Täuschungsversuche reagieren. Gerade in Unternehmen mit hoher Arbeitsbelastung und häufigem Personalwechsel zählt Social Engineering zu den häufigsten erfolgreichen Angriffswegen.

Warum Penetrationstests zur Pflicht werden

Mit der NIS2-Richtlinie verlangt der Gesetzgeber von Betreibern kritischer und wichtiger Infrastrukturen regelmäßige Sicherheitsüberprüfungen ihrer Systeme (mehr zur NIS2-Richtlinie). Auch die DSGVO verpflichtet in Artikel 32 zu angemessenen technischen Maßnahmen; ein dokumentierter Penetrationstest gilt dabei als anerkannter Nachweis für ein funktionierendes Sicherheitsniveau – ein zentraler Grund, warum DSGVO-Pentests zunehmend fester Bestandteil von Audits sind.

Die methodische Grundlage für Penetrationstests in Deutschland liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit seiner Studie „Durchführungskonzept für Penetrationstests“ (BSI: Durchführungskonzept für Penetrationstests). Sie gliedert einen Pentest in fünf aufeinanderfolgende Phasen und bildet damit einen praxisnahen Standard, an dem sich auch viele deutsche Pentest-Anbieter orientieren:

1. Vorbereitung – Zieldefinition, Scope und rechtliche Rahmenbedingungen.
2. Informationsbeschaffung – strukturierte Analyse der Zielsysteme.
3. Bewertung – Einschätzung der gesammelten Informationen und Testplanung.
4. Aktive Eindringversuche – technische Prüfung auf ausnutzbare Schwachstellen.
5. Nachbereitung – Bericht mit priorisierten Befunden und Handlungsempfehlungen.

Ein gut geplanter Pentest deckt dabei nicht nur bekannte, sondern auch neuartige Angriffsmuster auf, wie sie etwa bei Zero-Day-Exploits zum Einsatz kommen – und liefert damit wertvolle Hinweise, wo Monitoring und Patch-Management nachgeschärft werden müssen.

Pentest-Kosten und die richtige Anbieterwahl

Die Kosten eines Penetrationstests hängen stark vom Umfang (Scope), der Testtiefe und der gewählten Testart ab: Ein fokussierter Test eines einzelnen Webservers ist oft bereits für einen niedrigen vierstelligen Betrag zu haben, während komplexe Infrastruktur- oder Red-Team-Tests über mehrere Systeme hinweg schnell in den fünf- bis sechsstelligen Bereich reichen.

Bei der Wahl des Pentest-Anbieters lohnt sich ein Blick auf folgende Kriterien:

• Zertifizierungen: z. B. BSI-Anerkennung oder OSCP-zertifizierte Tester.
• Referenzen aus vergleichbaren Branchen und Projekten.
• Ausreichende Berufshaftpflichtversicherung.
• Nachvollziehbare, dokumentierte Methodik statt reiner Automatik-Scans.

Seriöse Anbieter dokumentieren ihre Vorgehensweise zudem anhand anerkannter Frameworks wie der MITRE-ATT&CK-Struktur, die Angriffstechniken standardisiert kategorisiert und damit vergleichbare, nachvollziehbare Berichte ermöglicht.

Pentest-Tools und technische Methodik

Professionelle Pentests kombinieren automatisierte und manuelle Techniken: Scanner identifizieren bekannte Schwachstellen und offene Ports, Exploitation-Frameworks prüfen, ob sich erkannte Lücken tatsächlich ausnutzen lassen, und manuelle Analysen decken logische Fehler auf, die kein Tool automatisch erkennt. Gerade in heterogenen Unternehmens-IT-Landschaften mit Legacy-Systemen, mobilen Endgeräten und VDI-Umgebungen ist diese Kombination aus Automatisierung und menschlicher Expertise entscheidend, um belastbare Ergebnisse zu liefern.

Ein wiederkehrender Befund betrifft dabei ungepatchte oder schlecht konfigurierte Endpunkte: Eine konsequente Endpoint-Security-Strategie reduziert die Angriffsfläche, die Pentest-Teams sonst ausnutzen können, bereits im Vorfeld deutlich.

Nach dem Pentest: Schwachstellen nachhaltig schließen

In der Praxis zeigen Penetrationstests immer wieder dieselben Muster: geteilte Logins an Gemeinschaftsarbeitsplätzen, zu weitreichende Zugriffsrechte und schwache oder wiederverwendete Passwörter – letztere ein gefundenes Fressen für Credential-Stuffing-Angriffe. Genau hier setzt Imprivata an: Mit schneller Anmeldung per Tap & Go, einer passenden SSO-Lösung und Multi-Faktor-Authentifizierung lassen sich die typischen Schwachstellen aus Pentest-Berichten gezielt schließen – ohne dass Mitarbeitende im Arbeitsalltag ausgebremst werden. Die Folge: weniger Tickets im Helpdesk, höhere Benutzerfreundlichkeit und ein nachweisbar höheres Sicherheitsniveau beim nächsten Penetrationstest.