Penetrationstest

Was unterscheidet einen Pentest vom Schwachstellenscan?

Ein automatisierter Schwachstellenscan findet bekannte Lücken in Software und Konfiguration - schnell, breit, wiederholbar. Ein Penetrationstest geht weiter: Ein Mensch kombiniert Schwachstellen, umgeht Schutzmaßnahmen kreativ und verfolgt realistische Angriffspfade bis zum Ziel - etwa vom vergessenen Testsystem über ein schwaches Passwort bis in die Buchhaltung. Der Scan liefert eine Mängelliste; der Pentest beantwortet die Frage, was ein echter Angreifer damit anrichten könnte.

Welche Arten von Pentests gibt es?

Nach Wissensstand des Testers unterscheidet man Black Box (ohne Vorwissen, wie ein externer Angreifer), Grey Box (mit Teilwissen, etwa einem Nutzerkonto) und White Box (mit vollem Einblick in Systeme und Quellcode). Nach Zielobjekt reicht das Spektrum von externer und interner Infrastruktur über Webanwendungen bis zu WLAN und Social-Engineering-Komponenten. Der Umfang wird vorab vertraglich sauber definiert - getestet wird ausschließlich mit Auftrag und innerhalb der vereinbarten Grenzen.

Wann lohnt sich ein Pentest für KMU?

Wenn die Grundlagen stehen: Ein Pentest auf ein ungepatchtes Netz ohne Backups bestätigt nur Bekanntes. Sinnvoll ist er zur Überprüfung nach größeren Umbauten, vor Zertifizierungen, auf Anforderung von Kunden oder Versicherern - und regelmäßig für alles, was aus dem Internet erreichbar ist. Die Ergebnisse fließen ins laufende Schwachstellenmanagement ein. Penetration Testing gehört zum Kernangebot von MAGRA SEC.