Bei einem Penetrationstest greifen autorisierte Fachleute Ihre Systeme kontrolliert mit den Methoden echter Angreifer an und dokumentieren die Ergebnisse. Ziel ist es, Schwachstellen zu finden und zu schließen, bevor Kriminelle sie ausnutzen.
Unterschied zum Schwachstellenscan
Ein Schwachstellenscan findet bekannte Lücken automatisiert; er ist schnell und sollte regelmäßig laufen. Ein Penetrationstest zeigt mit menschlicher Expertise, ob sich Lücken tatsächlich ausnutzen lassen und wie weit ein Angreifer durch Kombination kommt. Beides ergänzt sich.
Testarten
- Externer Netzwerktest: aus dem Internet erreichbare Server, VPN und Firewalls.
- Interner Netzwerktest: Was kann ein Angreifer im Netz oder ein böswilliger Insider erreichen?
- Webanwendungstest: Websites, Kundenportale und APIs (inklusive OWASP-Top-10-Risiken).
- Mobile-App-Test: iOS- und Android-Apps samt Backend.
- Social-Engineering-Test: Phishing-Simulationen und physische Zutrittsversuche.
Wann testen?
- Vor dem Start einer neuen Webanwendung, eines Kundenportals oder Onlineshops,
- nach großen Infrastrukturänderungen (Cloud-Migration, neues Netzwerk),
- wenn Kunden, Partner oder Branchenvorgaben es verlangen (etwa bei Zahlungssystemen),
- und grundsätzlich mindestens einmal pro Jahr.
Einen guten Test planen
- Umfang und Regeln: Welche Systeme, zu welchen Zeiten, welche Methoden sind ausgeschlossen? Schriftliche Freigabe und Vertrag sind Pflicht.
- Vorgehen: Black-Box (ohne Vorwissen), Grey-Box oder White-Box.
- Bericht: Befunde nach Risiko priorisiert, mit Nachvollziehbarkeit und Behebungsempfehlung.
- Behebung und Nachtest: Geschlossene Lücken erneut prüfen.
Den Bericht richtig nutzen
Verstehen Sie den Bericht als Maßnahmenplan, nicht als Ablage. Legen Sie für kritische Befunde Verantwortliche und Termine fest und beheben Sie die Ursachen wiederkehrender Probleme, etwa fehlendes Patch-Management oder unsichere Entwicklungspraktiken.
ujans begleitet Sie bei Schwachstellenscans, der Koordination von Penetrationstests und der Behebung der Befunde.