+49 721 35 46 00 info@n-komm.de

Wissen · Ratgeber

Penetrationstest planen und beauftragen: 12 Schritte zu belastbaren Ergebnissen

Ein Penetrationstest zeigt, ob Ihre IT einem echten Angriff standhält. Wie viel Sie daraus lernen, entscheidet sich schon vor dem ersten Test: bei Zielen, Umfang und Spielregeln. Diese 12 Schritte zeigen, wie Sie einen Pentest planen, sicher durchführen lassen und die Ergebnisse umsetzen.

Von Alexander Kühn, Geschäftsführer der n-komm GmbH · Stand:

Kurz erklärt

Was ist ein Penetrationstest?

Ein Penetrationstest, kurz Pentest, ist ein kontrollierter Angriff auf Ihre IT, mit Ihrer ausdrücklichen Erlaubnis. Sicherheitsexperten suchen Schwachstellen und prüfen von Hand, ob sie sich ausnutzen lassen und zu welchen Angriffswegen sie sich verbinden. Anders als ein Schwachstellenscan zeigt ein Pentest damit, welche Lücken wirklich gefährlich sind. Sie erhalten einen Bericht mit nach Risiko bewerteten Empfehlungen.

Phase 1: Ziele und Umfang festlegen

  1. Testziele klar formulieren

    Legen Sie fest, was Sie wissen wollen: Kommt ein Angreifer aus dem Internet in Ihr Netz? Wie weit kommt er von einem infizierten Notebook aus? Lassen sich Kundendaten aus Ihrer Webanwendung abgreifen? Klare Ziele schärfen den Fokus des Tests.

  2. Den Testumfang abgrenzen

    Bestimmen Sie, welche Systeme getestet werden und welche nicht: etwa Systeme mit Zugang aus dem Internet, das interne Netz mit Active Directory, Webanwendungen und Schnittstellen oder Microsoft 365 und Cloud-Umgebungen. Ein klarer Umfang setzt Ihr Budget dort ein, wo das Risiko am größten ist.

  3. Die Beteiligten früh einbeziehen

    Binden Sie Geschäftsleitung, IT und die Verantwortlichen der betroffenen Systeme in die Zieldefinition ein. Betreut ein externer Dienstleister Teile Ihrer IT, gehört er ebenfalls dazu. So fließen alle Anforderungen ein, und niemand wird vom Test überrascht.

Phase 2: Testansatz und Spielregeln klären

  1. Den passenden Testansatz wählen

    Legen Sie fest, wie viel die Tester vorab wissen. Beim Black-Box-Test erhalten sie keine Informationen und greifen an wie Außenstehende. Beim Grey-Box-Test kennen sie einige Details, etwa ein normales Benutzerkonto. Beim White-Box-Test erhalten sie umfassende Informationen und finden so in kurzer Zeit auch versteckte Schwachstellen. Mehr dazu im Glossar.

  2. Erlaubnis und Umfang schriftlich festhalten

    Bevor der Test startet, gehört alles in eine schriftliche Vereinbarung: Systeme, Testart, Ziele und Ihre ausdrückliche Erlaubnis für den Test. Diese Freigabe schützt beide Seiten.

  3. Testzeiten und Notfallregeln vereinbaren

    Legen Sie fest, wann getestet werden darf und wer auf beiden Seiten erreichbar ist. Kritische Systeme werden besonders vorsichtig getestet oder zu Zeiten, in denen ein Ausfall nicht stört. Ein Restrisiko sollte im Vorgespräch offen auf den Tisch kommen.

Phase 3: Kontrolliert testen lassen

  1. Kontrolliert und in Absprache testen

    Ein guter Pentest folgt den vereinbarten Spielregeln. Die Tester gehen schrittweise vor und stimmen sich bei Unklarheiten mit Ihren Ansprechpartnern ab, damit der Betrieb weiterläuft.

  2. Realistische Angriffswege prüfen lassen

    Achten Sie darauf, dass Experten von Hand testen und sich nicht auf automatische Scans verlassen. Erst wenn Lücken tatsächlich ausgenutzt und zu Angriffswegen verbunden werden, sehen Sie, wie gefährdet Sie wirklich sind. Auf Wunsch gehören auch gezielte Täuschungsversuche gegenüber Beschäftigten (Social Engineering) dazu.

  3. Kritische Funde sofort melden lassen

    Vereinbaren Sie, dass kritische Schwachstellen ohne Verzug gemeldet werden, nicht erst im Abschlussbericht. So können Sie gefährliche Lücken schließen, während der Test noch läuft.

Phase 4: Ergebnisse verstehen und umsetzen

  1. Einen verständlichen Bericht verlangen

    Der Bericht sollte zwei Teile haben: eine Zusammenfassung für die Geschäftsleitung und einen technischen Teil für Ihre IT. Jede Schwachstelle ist nach ihrem Risiko bewertet und mit einer konkreten Empfehlung versehen.

  2. Ergebnisse besprechen und Prioritäten setzen

    Besprechen Sie die Ergebnisse zeitnah mit allen Entscheidern. Legen Sie gemeinsam fest, welche Lücken Sie zuerst schließen und wer dafür verantwortlich ist.

  3. Lücken schließen und Wirkung prüfen

    Setzen Sie die Empfehlungen um und prüfen Sie in einem Nachtest, ob die Maßnahmen wirken. Testen Sie erneut nach wesentlichen Änderungen an Anwendungen, Netzen oder Systemen. Zwischen den Tests hält automatisiertes Pentesting Ihre Sicherheitslage im Blick.

Aus der Praxis

Regelmäßige Penetrationstests im Kundenprojekt

Für BLANC & FISCHER führt n-komm regelmäßig Penetrationstests und weiterführende Sicherheitsanalysen durch. Ziel ist, Schwachstellen früh zu finden und konkrete Maßnahmen abzuleiten, die zu den bestehenden Prozessen passen. Mehr dazu auf der Seite Penetrationstest.

LeitfadenPDF · 7 Seiten · kostenlos

12 Schritte zum erfolgreichen Penetrationstest

  • Ziele und Umfang des Tests festlegen
  • Testansatz und Spielregeln klären
  • Ergebnisse verstehen und Lücken schließen

Sie erhalten zuerst eine E-Mail zur Bestätigung Ihrer Adresse, danach geht es direkt zum Download. Wir verwenden Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und geben sie nicht an Dritte weiter. Mehr in der Datenschutzerklärung.

Alle Leitfäden und Whitepaper im Überblick

Häufige Fragen zum Penetrationstest

Ihre Frage ist nicht dabei? Schreiben Sie uns.

Was ist der Unterschied zwischen Pentest und Schwachstellenscan?

Ein Schwachstellenscan findet bekannte Lücken automatisch. Ein Pentest prüft zusätzlich, ob sich die Lücken ausnutzen lassen, und verbindet sie zu realistischen Angriffswegen. Beides ergänzt sich gut.

Kann ein Penetrationstest unsere Systeme beschädigen?

Getestet wird kontrolliert und in Absprache mit Ihnen. Kritische Systeme werden besonders vorsichtig getestet oder zu Zeiten, in denen ein Ausfall nicht stört. Ein Restrisiko sollte im Vorgespräch offen besprochen werden.

Wie oft sollte man einen Penetrationstest machen?

Das richtet sich nach Ihrem Risiko. Testen Sie außerdem nach wesentlichen Änderungen an Anwendungen, Netzen oder Systemen. Zwischen den Tests hält automatisiertes Pentesting Ihre Sicherheitslage im Blick.

Brauchen wir für NIS2 einen Penetrationstest?

NIS2 verlangt, dass betroffene Unternehmen die Wirksamkeit ihrer Sicherheitsmaßnahmen bewerten. Ein Penetrationstest ist dafür ein bewährtes Mittel. Ob NIS2 Sie betrifft, klären wir gern mit Ihnen.

Wie gut hält Ihre IT einem echten Angriff stand?

Im kostenlosen Erstgespräch klären wir in 30 Minuten, welche Systeme getestet werden sollten und welcher Testansatz zu Ihnen passt. Per Teams oder Telefon, unverbindlich.

Erstgespräch vereinbaren

Lieber direkt sprechen? +49 721 35 46 00