Kurzdefinition: Ein Penetrationstest (Pentest) ist ein beauftragter, kontrollierter Angriff auf die eigenen Systeme, mit dem Fachleute Schwachstellen aufdecken, bevor echte Angreifer sie ausnutzen. Er prüft nicht nur, ob Maßnahmen existieren, sondern ob sie in der Praxis standhalten.
Was ist ein Penetrationstest?
Ein simulierter Angriff unter kontrollierten Bedingungen. Spezialisten versuchen, in Systeme einzudringen, und dokumentieren die gefundenen Schwachstellen und Angriffswege.
Wie unterscheidet er sich von einem Schwachstellenscan?
Ein Scan sucht automatisiert nach bekannten Schwachstellen; ein Pentest nutzt sie gezielt aus und zeigt, wie weit ein Angreifer real käme. Der Pentest geht tiefer und ist manueller.
Wozu dient ein Pentest?
Zur praktischen Wirksamkeitsprüfung. Er zeigt, welche Lücken tatsächlich ausnutzbar sind, priorisiert den Handlungsbedarf und liefert Nachweise für die Sorgfalt.
Wie verhält er sich zu TLPT nach DORA?
TLPT ist die anspruchsvollste, bedrohungsorientierte Teststufe für bestimmte Finanzunternehmen. Der klassische Pentest ist die breitere, allgemeinere Form der praktischen Prüfung.
Wie oft sollte man testen?
Regelmäßig und nach wesentlichen Änderungen — neue Systeme, große Updates, veränderte Exposition. Ein einmaliger Test veraltet schnell.
Häufige Fehlannahmen
- „Ein Scan ersetzt den Pentest.“ Nein. Der Pentest geht deutlich tiefer.
- „Ein Pentest macht dauerhaft sicher.“ Nein. Er ist eine Momentaufnahme.
- „Nur Webseiten müssen getestet werden.“ Nein. Auch Netze, Anwendungen und Zugänge.
- „Pentests sind nur für Große.“ Nein. Auch kleinere Organisationen profitieren.
- „Nach dem Test ist man fertig.“ Nein. Die Befunde müssen behoben werden.
Was die Geschäftsleitung tun sollte
- Umfang festlegen. Zu testende Systeme und Ziele definieren.
- Beauftragen. Qualifizierte, unabhängige Tester wählen.
- Befunde beheben. Gefundene Schwachstellen priorisiert schließen.
- Wiederholen. Nach Änderungen erneut testen.
Für die Geschäftsleitung
Ein Penetrationstest zeigt, ob die Sicherheitsmaßnahmen einem echten Angriff standhalten — bevor ein echter Angreifer die Antwort liefert. Wer regelmäßig testet und die Befunde konsequent behebt, macht Sicherheit praktisch überprüfbar.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
