Penetrationstest beauftragen: Vom Scope bis zum Retest

Ob ein Pentest etwas bringt, entscheidet sich meist vor dem ersten Prüfschritt: beim Scope, bei den Regeln und bei der Frage, was hinterher mit dem Bericht passiert. Dieser Leitfaden zeigt, worauf es bei der Beauftragung ankommt und wie Sie den Bericht in echte Verbesserung übersetzen.

• Penetration Testing bei Nica Systems
• Pentest-Kostenrechner
• Pentest-Readiness-Check
• Penetrationstest-Anbieter in Deutschland auswählen

Das Wichtigste in Kürze

• Erst die Frage festlegen, dann den Scope: Was soll der Test beantworten, und für wen?
• Ohne schriftliche Freigabe des Berechtigten darf kein Penetrationstest beginnen.
• Ein Scanner ersetzt keinen Pentest: Fehler in Rechtetrennung und Geschäftslogik findet nur die manuelle Prüfung.
• Erst der Retest belegt, dass eine Lücke wirklich geschlossen ist. Planen Sie ihn von Anfang an mit ein.

Was ein Penetrationstest leisten kann und was nicht

Ein Penetrationstest ist ein genehmigter, kontrollierter Angriff auf ein festgelegtes Ziel. Er zeigt, was ein Angreifer in einem bestimmten Zeitraum und mit bestimmten Voraussetzungen tatsächlich erreichen könnte. Er ist damit eine Momentaufnahme: Er beweist nicht, dass ein System sicher ist, sondern nur, welche Wege gefunden wurden.

Vom automatisierten Schwachstellenscan unterscheidet er sich deutlich. Ein Scanner findet bekannte Schwachstellen und veraltete Komponenten, schnell und vergleichsweise günstig. Er versteht aber Ihren Geschäftsprozess nicht. Ob sich ein fremder Beleg abrufen, ein Freigabeschritt überspringen oder aus drei harmlosen Befunden ein Weg zum Domänen-Administrator bauen lässt, findet nur die manuelle Prüfung. Beides ergänzt sich: Die Schwachstellenanalyse gibt die Breite, der Pentest die Tiefe.

Der Weg zu einem belastbaren Ergebnis

Schritt 1: Ziel und Scope

Prüffrage klären, Prüfobjekte abgrenzen, Testart wählen.

Schritt 2: Regeln und Freigabe

Rules of Engagement, schriftliche Freigabe, Notfallkontakt.

Schritt 3: Prüfung und Bericht

Manuelle Prüfung, Sofortmeldung kritischer Funde, Bericht mit Bewertung.

Schritt 4: Behebung und Retest

Maßnahmen umsetzen, Nachprüfung belegt die Wirkung.

Schritt 1: Die richtige Frage und der passende Scope

Beginnen Sie mit der Frage, nicht mit dem System

„Wir brauchen einen Pentest“ ist noch kein Auftrag. Fragen Sie sich, wofür das Ergebnis gebraucht wird. Soll er zeigen, was von außen erreichbar ist? Wie weit jemand nach dem ersten kompromittierten Rechner kommt? Ob ein neues Kundenportal live gehen kann? Oder wird ein Nachweis für einen Kunden, Auditor oder Versicherer verlangt? Die Antwort bestimmt den Scope.

Das passende Prüfobjekt wählen

• Web-Anwendungen und APIs: wenn es um Kundendaten, Portale und Geschäftslogik geht. Zur Prüfart.
• Netzwerk und Infrastruktur: wenn die Angriffsfläche von außen oder die Segmentierung im Innern die Frage ist. Zur Prüfart.
• Active Directory: wenn es um den Weg vom Benutzerkonto zum Domänen-Administrator geht. Zur Prüfart.
• Cloud und Microsoft 365: wenn Identitäten, bedingter Zugriff und Freigaben im Mittelpunkt stehen. Zur Prüfart.
• Mobile Apps: wenn Gerät und Backend zusammen geprüft werden sollen. Zur Prüfart.
• OT und Produktion: wenn Verfügbarkeit Vorrang hat und zunächst passiv gearbeitet werden muss. Zur Prüfart.

Lieber ein realistischer Ausschnitt gründlich als alles oberflächlich. Nehmen Sie auch auf, was ausdrücklich nicht geprüft werden darf, und klären Sie, wem die Systeme gehören. Bei Dienstleistern und Cloud-Anbietern gelten eigene Testrichtlinien.

Testart: Wie viel weiß der Prüfer vorab?

• Black-Box: Der Prüfer startet ohne Vorwissen, ähnlich wie ein externer Angreifer. Das ist realistisch, kostet aber viel Zeit für das Erkunden. Zeit, die in der Tiefe fehlt.
• Grey-Box: Der Prüfer erhält zum Beispiel Testzugänge für jede Rolle. Für die meisten Unternehmen ist das der beste Kompromiss, weil gerade die Rechtetrennung nur so sauber prüfbar ist.
• White-Box: Der Prüfer kennt Dokumentation und gegebenenfalls den Quelltext. Das bringt die größte Abdeckung je Prüftag.

Schritt 2: Regeln und Freigabe

Ein Penetrationstest ohne ausdrückliche Zustimmung kann strafbar sein. Unbedingt nötig ist deshalb eine schriftliche Freigabe durch die berechtigte Stelle. Sie muss Prüfziele, Zeitraum und Methoden abdecken, und bei fremdbetriebenen Systemen auch die Zustimmung des Betreibers. Die rechtliche Prüfung im Einzelfall bleibt Sache Ihrer Rechtsberatung.

Die Rules of Engagement regeln den Rest. Das gehört mindestens hinein:

• Prüfzeitraum, Zeitfenster und Quell-IP-Adressen der Prüfer
• Was verboten ist, etwa Überlastungstests oder Prüfungen an sensiblen Systemen
• Notfallkontakte auf beiden Seiten, auch außerhalb der Bürozeit
• Abbruchkriterien und der Umgang mit kritischen Funden: sofort melden, nicht bis zum Bericht warten
• Umgang mit echten Daten, Aufbewahrung und Löschung der Prüfdaten, gegebenenfalls ein Auftragsverarbeitungsvertrag
• Wer intern informiert ist, damit der Prüfverkehr nicht als Angriff gestoppt wird, oder bewusst nicht, wenn auch die Erkennung getestet werden soll

Vor dem Start hilft unser Pentest-Readiness-Check: zwölf Punkte in zwei Minuten, ohne Registrierung.

Schritt 3: Den Bericht richtig lesen

Der Bericht ist das Produkt, für das Sie bezahlen. Ein guter Bericht richtet sich an zwei Leserkreise: Die Geschäftsleitung braucht das Wesentliche und das Risiko, die Technik braucht die Nachvollziehbarkeit. Prüfen Sie ihn auf diese Punkte:

• Management-Zusammenfassung: verständlich, ohne Fachjargon, mit Aussage zum geschäftlichen Risiko.
• Umfang und Vorgehen: Was wurde wann und wie geprüft, und was nicht? Ohne diese Angabe ist das Ergebnis kein Nachweis.
• Nachvollziehbare Befunde: Jeder Befund ist so beschrieben, dass Ihr Team ihn nachstellen kann.
• Begründete Bewertung: CVSS als gemeinsame Sprache, ergänzt um den Kontext Ihrer Umgebung.
• Konkrete Maßnahmen: Nicht nur „härten“, sondern was konkret zu tun ist und in welcher Reihenfolge.

Ein CVSS-Wert allein ist noch keine Priorität. Er beschreibt die Eigenschaften einer Schwachstelle, nicht Ihr Geschäftsrisiko. Eine mittlere Lücke an einem aus dem Internet erreichbaren Kundenportal kann dringlicher sein als eine hohe an einem isolierten Testsystem. Warnzeichen sind Berichte, die im Wesentlichen aus aneinandergereihten Werkzeugausgaben bestehen, Befunde ohne Nachweis und Maßnahmen ohne Bezug zu Ihrer Umgebung.

Schritt 4: Beheben, nachprüfen, wiederholen

Ein Bericht schließt keine Lücke. Legen Sie für jeden Befund fest, wer ihn bis wann behebt, und behandeln Sie die Ursache statt nur des Symptoms. Fehlt die Berechtigungsprüfung an einer Stelle, fehlt sie vermutlich auch an anderen.

Erst der Retest belegt, dass die Lücke tatsächlich geschlossen ist. Genau diesen Beleg wollen Auditoren, Kunden und Versicherer sehen. Fragen Sie daher schon im Angebot, ob er enthalten ist und in welchem Zeitraum er stattfindet.

Da sich Systeme ändern, bleibt ein Test eine Momentaufnahme. Sinnvoll ist eine neue Prüfung nach wesentlichen Änderungen und in einem festen Rhythmus. Wer häufiger prüfen möchte, kann mit dem Managed Pentest über das Jahr verteilt testen.

Was ein Penetrationstest kostet

Der Preis ergibt sich vor allem aus dem Aufwand in Personentagen. Bei uns rechnen wir mit einem Tagessatz von 1.000 bis 1.400 Euro netto. Eine mittelgroße Web-Anwendung mit mehreren Rollen liegt bei rund 6 bis 12 Personentagen, ein Active-Directory-Test bei rund 5 bis 10. Den Rahmen für Ihren Fall berechnet unser Pentest-Kostenrechner. Die Spanne wird erst nach dem Scoping zum Festpreis.

Vergleichen Sie Angebote deshalb nicht nur über die Summe: Enthält es den Retest? Wird manuell geprüft? Wer prüft, und bleibt die Durchführung in Deutschland? Worauf es bei der Auswahl ankommt, steht in unserem Anbieter-Leitfaden.

Häufige Fragen

Wie oft sollte ein Penetrationstest stattfinden?

Als Orientierung mindestens einmal im Jahr für wichtige Systeme und zusätzlich nach wesentlichen Änderungen. Der passende Rhythmus hängt vom Risiko und von den Vorgaben Ihrer Branche ab.

Kann ein Penetrationstest den Betrieb stören?

Das Risiko lässt sich durch klare Regeln stark verringern: keine Überlastungstests, Ankündigung riskanter Schritte, abgestimmte Zeitfenster und Notfallkontakte. Bei empfindlichen Systemen wird passiv oder an einem Ersatzsystem geprüft.

Reicht ein Schwachstellenscan nicht aus?

Für bekannte Schwachstellen ist er das richtige und günstigere Werkzeug. Fehler in Rechtetrennung und Geschäftslogik oder verkettete Angriffswege findet er jedoch nicht. Beide Verfahren ergänzen sich.

Wie lange dauert ein Penetrationstest?

Das hängt vom Scope ab. Bei den meisten Prüfobjekten ist mit einigen Tagen bis wenigen Wochen zu rechnen, dazu kommen Vorbereitung, Bericht und Retest. Den konkreten Zeitplan legen wir im Scoping fest.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.