Penetrationstest: Definition, Ablauf und Kosten erklärt

Ein Penetrationstest zeigt Ihnen, wie sicher Ihre IT wirklich ist, nicht in der Theorie, sondern in der Praxis. Dabei versucht ein Experte, genau wie ein echter Angreifer in Ihre Systeme einzudringen, natürlich mit Ihrer Erlaubnis und ohne Schaden anzurichten.

Dieser Artikel erklärt einfach und verständlich, was ein Penetrationstest ist, wie er abläuft, welche Arten es gibt und was er kostet.

Was ist ein Penetrationstest?

Ein Penetrationstest, oft kurz Pentest genannt, ist ein kontrollierter Angriff auf Ihre eigene IT. Ein Sicherheitsexperte, der sogenannte Penetrationstester, versucht dabei, in Ihre Computersysteme, Netzwerke oder Webanwendungen einzudringen, so wie es ein echter Hacker tun würde.

Der wichtige Unterschied: Der Tester handelt mit Ihrer Erlaubnis. Ziel ist nicht, Schaden anzurichten, sondern Schwachstellen aufzudecken, bevor ein echter Angreifer sie findet. Am Ende erhalten Sie einen Bericht, der genau zeigt, wo Ihre Systeme verwundbar sind und wie Sie diese Lücken schließen.

Black-Box, Grey-Box und White-Box: Die drei Testarten

Nicht jeder Penetrationstest läuft gleich ab. Der wichtigste Unterschied liegt darin, wie viel Wissen der Tester vorab über Ihr System hat.

Zusätzlich unterscheidet man, wie ein Test technisch durchgeführt wird. Ein manueller Penetrationstest wird von einem echten Menschen durchgeführt, der kreativ und flexibel auf das reagiert, was er findet. Ein automatisierter Penetrationstest läuft über spezialisierte Software, die wiederkehrend und in kurzen Abständen prüft, ob neue Schwachstellen entstanden sind. In der Praxis werden beide Ansätze oft kombiniert.

Wie läuft ein Penetrationstest ab? Die 5 Schritte

Ein professioneller Penetrationstest folgt immer einem klaren Ablauf. Diese fünf Schritte gehören dazu.

Ein Beispiel: So sieht ein Penetrationstest in der Praxis aus

Ein mittelständisches Unternehmen beauftragt einen Black-Box-Penetrationstest für seine Webseite und sein internes Netzwerk. Der Tester beginnt ohne Vorwissen, genau wie ein echter Angreifer.

Zuerst sammelt er öffentlich verfügbare Informationen: Welche Software läuft auf dem Server, welche Mitarbeitenden sind über soziale Netzwerke auffindbar, welche E-Mail-Adressen sind bekannt. Anschließend scannt er die Webseite und findet eine veraltete Version einer Kontaktformular-Software mit einer bekannten Sicherheitslücke.

Über diese Lücke gelingt es ihm, Zugriff auf den Webserver zu erhalten. Von dort aus prüft er, ob sich dieser Zugriff weiter ausweiten lässt, etwa auf das interne Netzwerk. In diesem Beispiel stoppt der Test an dieser Stelle, wie vorher vereinbart, um keinen tatsächlichen Schaden zu verursachen.

Im Abschlussbericich erfährt das Unternehmen: die veraltete Software muss aktualisiert werden, die Trennung zwischen Webserver und internem Netzwerk sollte strenger konfiguriert werden, und es gibt Optimierungsbedarf bei der Passwortrichtlinie. Genau diese Art von konkreten, umsetzbaren Erkenntnissen liefert ein guter Penetrationstest.

Penetrationstest und BSI: Was Sie wissen sollten

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, spielt beim Thema Penetrationstest eine wichtige Rolle als Orientierungsgeber. Das BSI veröffentlicht einen anerkannten Leitfaden für die Durchführung von Penetrationstests, an dem sich viele professionelle Anbieter in Deutschland orientieren.

Wichtig zu wissen: Das BSI selbst führt in der Regel keine kostenlosen Penetrationstests für private Unternehmen durch. Es gibt zwar kostenlose BSI-Sicherheitstests und -Checks für bestimmte Bereiche wie E-Mail-Sicherheit, ein vollständiger Penetrationstest Ihrer Unternehmens-IT ist damit aber nicht abgedeckt. Wer sich am BSI-Standard orientieren möchte, beauftragt einen spezialisierten Dienstleister, der nach diesem anerkannten Leitfaden arbeitet.

Was kostet ein Penetrationstest?

Die Kosten für einen Penetrationstest hängen stark vom Umfang ab: Wie viele Systeme werden getestet, welche Testart wird gewählt, und wie tief soll geprüft werden. Ein automatisierter Penetrationstest, der regelmäßig wiederholt wird, ist in der Regel deutlich günstiger als ein einmaliger, umfassender manueller Test durch einen spezialisierten Experten.

Statt eines pauschalen Preises lohnt sich deshalb ein Blick auf den tatsächlichen Bedarf: Ein kleines Unternehmen mit überschaubarer IT-Infrastruktur braucht einen anderen Testumfang als ein Unternehmen mit mehreren Standorten und komplexer Webanwendung. Am sinnvollsten ist es, den Bedarf in einem persönlichen Gespräch zu klären, statt sich an unverbindlichen Online-Preisangaben zu orientieren.

Wie BRANDMAUER IT Penetrationstests durchführt

Bei BRANDMAUER IT ist der Penetrationstest kein isoliertes Einzelprodukt, sondern fester Bestandteil unseres Managed Schwachstellenmanagement Service. Das hat einen entscheidenden Vorteil: Ein einmaliger Penetrationstest zeigt nur eine Momentaufnahme. Als Teil eines laufenden Schwachstellenmanagements werden automatisierte Penetrationstests dagegen regelmäßig wiederholt, sodass neue Schwachstellen zeitnah erkannt werden, nicht erst beim nächsten jährlichen Test.

Konkret umfasst unser Service automatisierte Netzwerk-Scans, Webseiten-Scans, Information Gathering und gezielte Prüfungen auf unsichere Konfigurationen, kombiniert mit übersichtlichen Berichten und klaren Handlungsempfehlungen. Technologisch setzen wir dabei auf die Cybersecurity-Plattform unseres Partners Enginsight, die automatisierte Penetrationstests direkt in ein umfassendes Schwachstellenmanagement integriert.

Wenn Sie wissen möchten, wie sicher Ihr Unternehmen tatsächlich vor echten Angriffen ist, empfehlen wir Ihnen ein unverbindliches Gespräch, in dem wir gemeinsam den passenden Testumfang für Ihre IT-Infrastruktur festlegen.

Unverbindliches Gespräch vereinbaren