Penetrationstest
Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf eine Website, Software oder IT-Infrastruktur, bei dem Fachleute gezielt nach Sicherheitslücken suchen, bevor echte Angreifer sie finden.
Anders als automatische Scans gehen Penetrationstester wie Angreifer vor: Sie kombinieren Schwachstellen, prüfen Anmeldeverfahren, Rechte und Schnittstellen und dokumentieren, wie weit sie kommen.
Am Ende steht ein Bericht mit gefundenen Schwachstellen, ihrer Schwere und konkreten Empfehlungen. Der eigentliche Nutzen entsteht erst, wenn diese Lücken geschlossen und erneut geprüft werden.
Sinnvoll sind Penetrationstests vor dem Start neuer Software mit sensiblen Daten, nach größeren Änderungen und in regelmäßigen Abständen bei geschäftskritischen Systemen.
Worauf du achten solltest
- Umfang klar festlegen: Welche Systeme, welche Zugänge, welcher Zeitraum?
- Den Test schriftlich beauftragen und Ansprechpartner für den Notfall benennen.
- Auf eine Testumgebung oder ein abgestimmtes Zeitfenster achten.
- Gefundene Schwachstellen nach Schwere priorisiert beheben.
- Nach der Behebung einen Nachtest durchführen.
Typische Fehler
- Der Bericht wird abgeheftet, die Schwachstellen bleiben offen.
- Ein automatischer Scan wird als Penetrationstest verkauft.
- Getestet wird einmal — danach nie wieder, obwohl sich die Software ständig ändert.
Häufige Fragen
Ein Scan sucht automatisch nach bekannten Schwachstellen. Ein Penetrationstest geht manuell und gezielt vor, kombiniert Schwachstellen und zeigt, was ein Angreifer tatsächlich erreichen könnte.
Bei geschäftskritischen Systemen regelmäßig und zusätzlich nach größeren Änderungen. Die passende Frequenz hängt von Risiko, Daten und Änderungsrate ab.
Mehr dazu im Fachartikel: Website-Sicherheit: Die Grundlagen, die jedes Unternehmen braucht