Das Wichtigste in Kürze
- Ein Pentest ist ein autorisierter, simulierter Angriff auf Ihre Systeme, um Schwachstellen zu finden.
- Getestet werden je nach Umfang Website, Webanwendungen, E-Mail, Fernzugänge und interne Netzwerke.
- Ohne schriftliche Freigabe des Systeminhabers ist ein Pentest nicht zulässig.
- Das Ergebnis ist ein Bericht mit priorisierten Schwachstellen und konkreten Empfehlungen.
Was ist ein Pentest?
Ein Pentest, kurz für Penetrationstest, ist ein simulierter Hackerangriff auf Ihre IT-Systeme, durchgeführt mit Ihrer ausdrücklichen Erlaubnis. Ziel ist es, Sicherheitslücken zu finden, bevor echte Angreifer sie ausnutzen. Anders als ein automatischer Scan kombiniert ein Pentest verschiedene Angriffswege, wie es auch echte Angreifer tun.
Welche Arten von Pentests gibt es?
- Externer Pentest: Test der Systeme, die von außen erreichbar sind, etwa Website, E-Mail-Server und Fernzugänge.
- Interner Pentest: Test aus Sicht eines Angreifers, der bereits im Netzwerk ist.
- Webanwendungs-Pentest: gezielter Test von Login, Formularen, Kundenportalen und Schnittstellen.
- Black-Box, Grey-Box, White-Box: mit keinem, teilweisem oder vollem Vorwissen über das System.
Wie läuft ein Pentest ab?
- Vorgespräch: Ziele, Umfang und Zeitraum festlegen.
- Schriftliche Freigabe: Der Inhaber der Systeme genehmigt den Test.
- Informationssammlung: Welche Systeme sind erreichbar, welche Software läuft dort?
- Angriffsphase: Schwachstellen werden gesucht und kontrolliert ausgenutzt.
- Bericht: alle Funde, nach Risiko priorisiert, mit Empfehlungen.
- Behebung und Nachtest: Lücken schließen und prüfen, ob sie wirklich zu sind.
Warum die Freigabe so wichtig ist
Ein Angriff auf fremde Systeme ohne Erlaubnis ist strafbar. Ein seriöser Pentest beginnt deshalb immer mit einer schriftlichen Freigabe durch den Inhaber der Systeme, mit festgelegtem Umfang und Zeitraum. Prüfen Sie bei jedem Anbieter, dass er Ihre Berechtigung kontrolliert.
Was kostet ein Pentest?
Die Kosten hängen vom Umfang ab: Wie viele Systeme werden getestet, wie tief, und braucht es eine Dokumentation für Prüfungen, Versicherer oder Zertifizierungen? Ein Basis-Test der von außen erreichbaren Systeme ist deutlich günstiger als ein umfassender Test mit internen Netzen und Webanwendungen.
Wie oft sollte man testen?
Mindestens nach größeren Änderungen an Systemen und regelmäßig, etwa jährlich. Die DSGVO verlangt in Art. 32 ein Verfahren zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen, und für Unternehmen, die unter NIS2 fallen, gehört regelmäßiges Testen zum Risikomanagement.
Fazit
Ein Pentest macht sichtbar, wo Ihr Unternehmen angreifbar ist, und liefert konkrete Schritte zur Behebung. Mit klarer Freigabe, festgelegtem Umfang und einem verständlichen Bericht wird er zu einem der wirksamsten Bausteine Ihrer IT-Sicherheit.
Häufige Fragen
KIErdinc Dincdemir
Sales, Business Development und Projektmanagement bei Optivanta
Dieser Artikel dient der allgemeinen Information und stellt keine Rechts-, Steuer- oder Anlageberatung dar. Er ersetzt keine Beratung im Einzelfall. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität; die Nutzung erfolgt auf eigene Verantwortung. Namentlich gekennzeichnete Beiträge geben die Meinung der Autorin oder des Autors wieder. Anbieter und verantwortlich für alle Inhalte ist die Optivanta Solutions LLC. Mehr im Impressum
Wie sicher ist Ihr System?
Fordern Sie unseren kostenlosen Basis-Pentest an, einen pro Unternehmen, mit Bericht und Empfehlungen.