IT-Security-Glossar

Penetrationstest

Auch bekannt als: Pentest, Ethical Hacking

Kurz erklärt

Ein Penetrationstest ist eine ausdrücklich autorisierte Sicherheitsprüfung, bei der Fachleute vereinbarte Angriffspfade praktisch untersuchen und die Auswirkungen gefundener Schwachstellen bewerten.

Pentest oder Schwachstellenscan?

Ein Schwachstellenscan sucht automatisiert nach bekannten Problemen. Ein Penetrationstest kombiniert manuelle und technische Prüfungen innerhalb eines vereinbarten Rahmens. Dadurch können realistische Angriffspfade und Auswirkungen sichtbar werden, die ein einzelner Scan nicht bewertet.

Ein Pentest beweist weder vollständige Sicherheit noch die Abwesenheit weiterer Schwachstellen. Das Ergebnis gilt für Umfang, Methode und Zeitpunkt der Prüfung.

Welche Varianten gibt es?

Black-, Grey- und White-Box-Tests unterscheiden sich durch das bereitgestellte Vorwissen. Der Prüfgegenstand kann externe oder interne Infrastruktur, Webanwendungen, Cloud-Konfigurationen, WLAN oder ausdrücklich vereinbarte Social-Engineering-Szenarien umfassen.

Vor Beginn müssen Zielsysteme, erlaubte Methoden, Testzeiten, Abbruchkriterien, Ansprechpartner und Umgang mit Daten schriftlich feststehen. Getestet wird nur mit eindeutiger Autorisierung.

Wann ist ein Test sinnvoll?

Ein Pentest kann nach größeren Änderungen, vor einer Inbetriebnahme oder zur regelmäßigen Prüfung wichtiger exponierter Systeme sinnvoll sein. Bekannte Grundlagenprobleme sollten parallel behoben werden. Ergebnisse werden priorisiert, nachgebessert und durch einen Retest bestätigt; anschließend fließen sie in das laufende Schwachstellenmanagement ein.