Was ist ein Penetrationstest — und was ist er nicht?

Ein Penetrationstest — kurz Pentest — ist ein kontrollierter, autorisierter Angriff auf Ihre IT-Infrastruktur. Zertifizierte Sicherheitsexperten versuchen dabei, genau das zu tun, was ein echter Angreifer tun würde: in Systeme einzudringen, Daten zu kompromittieren, Zugriffsrechte zu eskalieren. Der Unterschied: Sie wissen davon, haben es beauftragt — und bekommen am Ende einen detaillierten Report mit konkreten Handlungsempfehlungen.

Was ein Penetrationstest nicht ist: ein automatisierter Schwachstellenscan. Tools wie Nessus oder OpenVAS können bekannte Lücken in Sekunden identifizieren — aber sie können nicht denken. Der Sicherheitstest kombiniert technische Werkzeuge mit dem Urteilsvermögen erfahrener Spezialisten, die Schwachstellen nicht nur erkennen, sondern auch verketten, ausnutzen und in ihrem realen Risikopotenzial bewerten. Den detaillierten Vergleich beider Methoden lesen Sie in unserem Beitrag Penetrationstest vs. Schwachstellenscan.

Wie Hacker wirklich vorgehen: die 5 Phasen eines Penetrationstests

Das Entscheidende an einem professionellen Pentest ist das Denken dahinter. Gute Tester denken wie Angreifer — systematisch, kreativ, geduldig. Der BSI-Leitfaden beschreibt fünf Phasen, die ein realer Angreifer ebenfalls durchläuft:

Besonders Phase 2 überrascht viele IT-Verantwortliche: Wie viele Informationen über ein Unternehmen öffentlich verfügbar sind — Mitarbeiternamen auf LinkedIn, Technologie-Stack aus Stellenanzeigen, offene Ports, exponierte Administrations-Interfaces — ist oft erschreckend. Diese Reconnaissance macht das Verfahren so wertvoll: Es zeigt Ihnen die Angriffsfläche, die ein Außenstehender ohne Insiderwissen sieht.

Phase 4 sorgt regelmäßig für den größten Aha-Moment: Wenn der Tester tatsächlich demonstriert, wie er über einen schlecht gesicherten VPN-Zugang ins interne Netz gelangt, von dort ein überprivilegiertes Dienstkonto übernimmt und schließlich Zugriff auf das Backup-System erhält — dann ist der Wert eines Pentests für alle Beteiligten sofort greifbar. Kein Audit-Bericht, keine Theorie. Nur ein Screenshot, der zeigt, was im Ernstfall möglich wäre.

Was bei einem Pentest konkret geprüft wird

Der Prüfumfang wird individuell abgestimmt. Typische Bereiche sind:

• Netzwerk-Infrastruktur: Firewalls, Router, Switches, VPN-Zugänge, offene Ports und exponierte Dienste
• Webanwendungen: Unternehmenswebsite, Kundenportale, Intranets — klassische Angriffsvektoren wie SQL-Injection, Cross-Site-Scripting oder fehlerhafte Authentifizierungsmechanismen
• Endpoint-Sicherheit: Wie weit kommt ein Angreifer, wenn er erst einmal auf einem Arbeitsplatz-PC Fuß gefasst hat?
• Active Directory & Zugriffsrechte: Überprivilegierte Konten, schwache Passwortrichtlinien, Kerberoasting-Anfälligkeit
• Social Engineering: Phishing-Simulation — wie viele Mitarbeiterinnen und Mitarbeiter klicken auf einen präparierten Link?
• WLAN-Sicherheit: Schwache Verschlüsselung, Rogue-Access-Points, ungesicherte Gastnetzwerke
• Cloud-Konfiguration: Fehlkonfigurierte Speicher-Buckets, öffentlich erreichbare Administrationsoberflächen

Das Entscheidende: Der Test deckt nicht nur einzelne Lücken auf. Er zeigt auch, wie sich mehrere kleinere Schwachstellen zu einem kritischen Angriffspfad verketten lassen — das ist der Erkenntnisgewinn, den kein automatisiertes Werkzeug liefert.

Drei Varianten: Black Box, Grey Box, White Box

Je nach Informationsstand der Testerinnen und Tester unterscheidet man drei Varianten:

Black-Box-Pentest: Die Prüfer starten ohne jedes Vorwissen — genau wie ein externer Angreifer. Realistische Simulation, aber auch zeitintensiver und damit teurer.

Grey-Box-Pentest: Die Prüfer erhalten Basisinformationen, zum Beispiel Netzwerkpläne oder die Zugangsdaten eines Standardnutzers. Gutes Verhältnis aus Realismus und Effizienz — für den Mittelstand am häufigsten empfohlen.

White-Box-Pentest: Vollständige Dokumentation liegt vor. Ideal für tiefe Code-Reviews oder gezielte Infrastruktur-Prüfungen, bei denen Tiefe wichtiger ist als ein realistisches Angriffsszenario.

Für die meisten mittelständischen Unternehmen und Kommunen empfehlen wir den Grey-Box-Ansatz als Einstieg: Er liefert realistische Ergebnisse in einem überschaubaren Zeitrahmen und zeigt trotzdem, was ein externer Angreifer mit minimalem Vorwissen erreichen könnte.

Die Wahl der Variante hat auch Auswirkungen auf den zeitlichen Aufwand. Ein Black-Box-Pentest für ein mittelgroßes Unternehmensnetzwerk kann mehrere Wochen dauern, weil die Informationsbeschaffung allein zeitintensiv ist. Ein Grey-Box-Test desselben Umfangs ist oft in wenigen Tagen abgeschlossen — und liefert dabei in der Mehrzahl der Fälle vergleichbar kritische Befunde. Entscheidend ist letztlich, welche Bedrohungsszenarien für Ihr Unternehmen realistisch sind und was Sie mit dem Testergebnis konkret vorhaben.

Was Sie nach dem Test erhalten

Ein seriöser Pentest-Bericht endet nicht mit einer Schwachstellenliste. Ein professioneller Anbieter liefert:

Management-Summary — eine nicht-technische Zusammenfassung für die Geschäftsführung: Wie hoch ist das tatsächliche Risiko? Welche drei Maßnahmen hätten den größten Sicherheitsgewinn?

Technischer Detailbericht — für Ihre IT: Jede Schwachstelle mit Beschreibung, Ausnutzungspfad, Schweregrad (CVSS-Score) und konkreter Behebungsempfehlung.

Priorisierte Maßnahmenliste — sortiert nach Risiko und Aufwand. Nicht jede Lücke muss sofort und mit gleichem Aufwand geschlossen werden. Dieser Überblick hilft Ihnen, Budget und Ressourcen gezielt einzusetzen.

Nachtest optional — nach Umsetzung der wichtigsten Korrekturen lässt sich in einem reduzierten Re-Test prüfen, ob die Maßnahmen greifen und keine neuen Lücken entstanden sind.

Für wen lohnt sich ein Penetrationstest?

Die kurze Antwort: für jedes Unternehmen, das sensible Daten verarbeitet, Kundenvertrauen schützen muss oder sich einen Betriebsausfall schlicht nicht leisten kann. Die differenziertere Antwort:

Wichtig zu verstehen: Ein Penetrationstest ist kein einmaliges Projekt, das man abhakt. Angriffsmethoden entwickeln sich weiter, Ihre Infrastruktur verändert sich, neue Dienste kommen hinzu. Sicherheitsexperten empfehlen mindestens eine jährliche Prüfung — oder einen Test nach größeren IT-Veränderungen. Mehr dazu lesen Sie in unserem Beitrag über den Penetrationstest als kontinuierlichen Prozess.

Unsere Leistungen rund um den Penetrationstest Rhein-Neckar decken den gesamten Wirtschaftsraum ab: Mannheim, Heidelberg, Karlsruhe, Ludwigshafen, Walldorf, Speyer, Schwetzingen, Weinheim und Umgebung — als regionaler Partner direkt vor Ort.

Penetrationstest: Der erste Schritt beginnt mit einer Frage

Viele Unternehmen zögern beim Thema Pentest, weil sie fürchten, was der Test ans Licht bringen könnte. Das ist verständlich — aber rückwärts gedacht. Lieber wissen Sie, was ein beauftragter Sicherheitsexperte findet, als dass ein echter Angreifer Ihnen diese Antwort gibt. Denn ein Angreifer schreibt keinen Report und gibt keine Empfehlungen. Er handelt.

Ein Penetrationstest gibt Ihnen Kontrolle zurück: die Kontrolle darüber, Ihre Schwachstellen zu kennen, zu priorisieren und gezielt zu beheben — bevor jemand anderes sie ausnutzt. Und er gibt Ihnen etwas, das jeder IT-Verantwortliche kennt: ein konkretes, handlungsorientiertes Ergebnis statt ein diffuses Bauchgefühl, ob man gut genug aufgestellt ist.

Wenn Sie wissen möchten, wie ein Penetrationstest sich von einem Red-Team-Engagement unterscheidet und wann welcher Ansatz sinnvoller ist, lesen Sie unseren Vergleich: Penetrationstest vs. Red Teaming.

Fazit

Ein Penetrationstest ist kein Luxusinstrument für Konzerne mit riesigen Sicherheitsabteilungen. Er ist das klarste Werkzeug, das IT-Sicherheit kennt: Sie beauftragen jemanden, der wie ein Angreifer denkt — und bekommen am Ende schwarz auf weiß, wo Ihre realen Risiken liegen. Nicht als Theorie, sondern als gelebte Simulation mit nachvollziehbaren Ergebnissen.

Die entscheidende Frage ist nicht, ob Ihr Unternehmen Ziel eines Angriffs werden kann. Die Frage ist, was ein Angreifer bei Ihnen finden würde — und ob Sie das wissen, bevor er es tut.