Penetrationstest: Schwachstellen gezielt aufdecken

Penetrationstest (kurz Pentest) ist ein kontrollierter, erlaubter Angriff auf die eigenen Systeme, um Sicherheitslücken zu finden, bevor Angreifer sie ausnutzen. Ziel ist nicht, möglichst viel Schaden anzurichten, sondern Schwachstellen systematisch zu dokumentieren und behebbar zu machen.

Die fünf Phasen eines Pentests

  • Aufklärung (Reconnaissance): Informationen über das Ziel sammeln — öffentliche Daten, DNS-Einträge, offene Dienste.
  • Scanning: Aktive Analyse, z. B. Port-Scans und Schwachstellen-Scans, um erreichbare Dienste und Versionen zu ermitteln.
  • Ausnutzung (Exploitation): Versuch, bekannte Schwachstellen tatsächlich auszunutzen — etwa veraltete Software oder falsch konfigurierte Dienste.
  • Post-Exploitation: Prüfen, welche Rechte und Daten mit dem Kompromiss erreichbar sind (Lateral Movement, Privilege Escalation).
  • Bericht (Reporting): Nachvollziehbare Dokumentation der Funde inklusive Risikobewertung und konkreter Empfehlungen.

Arten von Penetrationstests

  • Blackbox: Der Tester startet ohne Vorwissen — wie ein externer Angreifer.
  • Whitebox: Der Tester erhält vollen Zugriff auf Quellcode, Dokumentation und Infrastruktur — tiefere Analyse bei geringerem Zeitaufwand.
  • Greybox: Teilwissen, z. B. ein normales Benutzerkonto, um typische Angriffspfade realistisch abzubilden.
  • Nach Ziel: Netzwerk-Pentest, Web-Applikations-Pentest, WLAN- oder Social-Engineering-Test.

Werkzeuge und Methoden

nmap -sV -p- ziel.example.de   # Port- und Versionsscan
openvas                        # automatischer Schwachstellen-Scanner
metasploit                     # Exploit-Framework für reproduzierbare Angriffe

Automatisierte Scanner ersetzen keinen Pentest: Sie finden bekannte Schwachstellen, aber keine logischen Fehler in Geschäftslogik oder komplexe Angriffsketten. Ein guter Pentest kombiniert automatisierte und manuelle Tests.

Rechtlicher Rahmen

Penetrationstests dürfen nur mit ausdrücklicher schriftlicher Erlaubnis des Betreibers durchgeführt werden — ohne Auftrag ist ein „Test" eine Straftat. Datenschutzrechtlich sind die gefundenen Daten wie jede andere Verarbeitung zu behandeln (Zero-Trust-Prinzip: Zugriff nur so weit wie nötig).

Verwandte Grundlagen: Firewall, IDS und IPS, Verschlüsselung, Malware.