*Aktualisiert am 10.12.2026

Die fünf Phasen von Penetrationstests, die in diesem Leitfaden behandelt werden, sind Erkundung, Scannen, Schwachstellenanalyse, Ausnutzung und Berichterstellung. Zusammen helfen sie Unternehmen dabei, Sicherheitslücken zu identifizieren, zu verstehen, wie Angreifer diese ausnutzen könnten, und Prioritäten für die Behebung zu setzen.

Penetrationstests, auch als „Pen-Tests“ bekannt, sind autorisierte Sicherheitsbewertungen, bei denen Fachwissen mit automatisierten Tools kombiniert wird, um Schwachstellen zu untersuchen und deren potenzielle Auswirkungen aufzuzeigen.

Im Jahr 2026 muss der Umfang Ihrer Tests die Betriebsabläufe Ihres Unternehmens widerspiegeln. Dazu können interne Netzwerke, internetgestützte Anwendungen, Cloud-Umgebungen, APIs und Identitätssysteme gehören. Das Ziel ist es, eine praktische Frage zu beantworten: Wo könnte ein Angreifer Zugriff erlangen, und was könnte er als Nächstes tun?

Vor Beginn der Tests: Legen Sie den Umfang fest

Obwohl dieser Artikel den technischen Prozess in fünf Phasen unterteilt, verwenden verschiedene Methodiken unterschiedliche Phasennamen und Strukturen. Planung und Genehmigung müssen vor den Tests erfolgen.

Ihr Unternehmen und Ihr Testanbieter sollten sich darauf einigen, welche Systeme im Umfang enthalten sind, welche Ziele verfolgt werden, welche Techniken zulässig sind, in welchen Zeitfenstern die Tests stattfinden und welche Ausschlüsse gelten. Außerdem sollten Notfallkontakte, Anforderungen an den Umgang mit Daten sowie Bedingungen für die Unterbrechung des Tests festgelegt werden.

Diese Einsatzregeln geben den Testern klare Grenzen vor und helfen bei der Steuerung des operativen Risikos. Das NIST bezeichnet sie als Richtlinien und Einschränkungen, die vor Beginn eines Sicherheitstests festgelegt werden.

1. Aufklärung: Die Zielumgebung verstehen

Die Erkundung ist die Phase der Informationsbeschaffung bei Penetrationstests. Sie hilft den Testern, die Umgebung zu verstehen und potenzielle Einstiegspunkte innerhalb des vereinbarten Umfangs zu identifizieren.

Dies kann die Überprüfung von Domainnamen, IP-Adressen, öffentlich zugänglichen Diensten, Anwendungsinformationen und von Ihren technischen Teams bereitgestellten Details umfassen.

Welche Informationen zur Verfügung stehen, hängt vom jeweiligen Auftrag ab. Manche Tests beginnen mit begrenzten Kenntnissen über die Umgebung, während andere Architekturdokumentationen, Testkonten und Zugriff auf relevante Konfigurationen beinhalten.

Das Ergebnis ist ein klareres Bild der zu bewertenden Systeme und der Bereiche, in denen weitere Untersuchungen erforderlich sind.

2. Scannen: Identifizierung exponierter Dienste und potenzieller Schwachstellen

Beim Scanning werden technische Tools eingesetzt, um aktive Systeme, offene Ports, Dienste und potenzielle Schwachstellen zu ermitteln.

Dies kann dabei helfen, veraltete Software, exponierte Verwaltungsschnittstellen und Konfigurationsprobleme zu identifizieren. Bei Anwendungen kann die Erkennung auch das Erfassen zugänglicher Seiten, Endpunkte und Funktionen umfassen.

Ein Scan-Befund ist jedoch nicht automatisch ein bestätigtes Sicherheitsrisiko. Die Ergebnisse müssen im Kontext geprüft werden: Ist der betroffene Dienst zugänglich, sind Schutzmaßnahmen vorhanden und trifft der Befund auf die tatsächliche Konfiguration zu?

Das Scannen bietet Testern einen Ausgangspunkt für eingehendere Untersuchungen.

3. Schwachstellenanalyse: Ergebnisse analysieren und validieren

Während der Schwachstellenanalyse untersuchen Tester potenzielle Schwachstellen, um festzustellen, welche relevant sind und wie sie sich auf das Unternehmen auswirken könnten.

Dabei werden automatisierte Ergebnisse mit manuellen Analysen kombiniert. Bei Webanwendungen können die Tests die Authentifizierung, Autorisierung, Sitzungsverwaltung, Eingabevalidierung und Geschäftslogik umfassen. Dies sind einige der Bereiche, die im OWASP Web Security Testing Guide behandelt werden.

Manuelle Untersuchungen sind besonders wichtig, wenn eine Schwachstelle von der Funktionsweise einer Anwendung abhängt. Beispielsweise könnte ein Benutzer möglicherweise auf die Daten eines anderen Kunden zugreifen, obwohl er über ein gültiges Konto verfügt und sich erfolgreich authentifiziert hat.

Tester berücksichtigen zudem, wie Schwachstellen miteinander interagieren. Ein offengelegter Dienst und übermäßige Kontoberechtigungen können zusammen ein größeres Risiko darstellen, als es jeder Befund für sich genommen vermuten lässt.

In dieser Phase wird ermittelt, welche Probleme eine kontrollierte Ausnutzung und eine weitere Folgenabschätzung rechtfertigen.

4. Ausnutzung: Demonstration der potenziellen Auswirkungen

Die Ausnutzung umfasst kontrollierte Versuche, identifizierte Schwachstellen im Rahmen der vereinbarten Einsatzregeln auszunutzen.

Ziel ist es, festzustellen, ob eine Schwachstelle ausgenutzt werden kann und welchen Zugriff sie ermöglichen würde. Je nach Umfang prüfen die Tester, ob sie Zugriffskontrollen umgehen, zusätzliche Berechtigungen erlangen oder auf andere Systeme zugreifen können.

Ein Test könnte beispielsweise zeigen, dass ein Konto mit geringen Berechtigungen auf eingeschränkte Funktionen zugreifen kann. Dies liefert dem Unternehmen Belege für die Schwachstelle und ihre Folgen.

Das Ziel besteht darin, die Auswirkungen mit dem geringstmöglichen Aufwand aufzuzeigen. Störungen zu verursachen oder große Mengen sensibler Daten zu extrahieren, gehört nicht zur Routine. Potenziell störende Techniken bedürfen vor ihrem Einsatz einer besonderen Abwägung und Zustimmung.

Tester sollten Belege dokumentieren und wesentliche Ergebnisse umgehend mitteilen, damit das Unternehmen Maßnahmen ergreifen kann.

5. Berichterstattung: Ergebnisse in Abhilfemaßnahmen umsetzen

Der Penetrationstestbericht erläutert, was getestet wurde, was entdeckt wurde und welche nächsten Schritte das Unternehmen unternehmen sollte.

Ein aussagekräftiger Bericht sollte Folgendes enthalten:

• Eine Zusammenfassung, in der die geschäftlichen Auswirkungen erläutert werden.
• Den Umfang, den Ansatz und die Einschränkungen der Untersuchung.
• Ergebnisse, untermauert durch Belege und Risikoeinstufungen.
• Klare Empfehlungen zur Behebung der Schwachstellen.

Technische Teams benötigen ausreichende Details, um jedes Problem zu verstehen und zu beheben. Die Stakeholder aus dem Unternehmen müssen die potenziellen Folgen verstehen und wissen, welche Verbesserungen Priorität haben sollten. Die Leitlinien des NCSC legen ebenfalls Wert darauf, Sicherheitsprobleme, deren Risiken und Lösungsansätze zu dokumentieren.

Die Meldung sollte zu Maßnahmen führen. Weisen Sie Verantwortliche zu, vereinbaren Sie Fristen für die Behebung und organisieren Sie Nachprüfungen, um zu überprüfen, ob die Korrekturen die ursprünglichen Befunde beheben.

Was sollten Penetrationstests im Jahr 2026 abdecken?

Beginnen Sie mit den Systemen, Daten und Diensten, auf die Ihr Unternehmen angewiesen ist. Ein Testprogramm sollte Änderungen an dieser Umgebung widerspiegeln, einschließlich neuer Anwendungen, Cloud-Bereitstellungen, Integrationen und Zugriffsregelungen.

Prüfen Sie, ob der Umfang sowohl die Verbindungen zwischen den Systemen als auch die einzelnen Komponenten abdeckt. Eine Anwendung mag sicher erscheinen, während Schwachstellen in ihrer API oder ihren Berechtigungen sensible Informationen offenlegen.

Wenn KI-gestützte Anwendungen im Spiel sind, besprechen Sie deren spezifische Funktionalität und Risiken bei der Festlegung des Umfangs. Gehen Sie nicht davon aus, dass ein herkömmlicher Infrastruktur- oder Anwendungstest automatisch jedes KI-bezogene Verhalten bewertet.

Die Tests müssen zudem mit einem kontinuierlichen Schwachstellenmanagement einhergehen. Ein Penetrationstest liefert Nachweise über den vereinbarten Umfang zu einem bestimmten Zeitpunkt; spätere Änderungen können neue Schwachstellen mit sich bringen.

Warum sollten Sie sich bei Penetrationstests für Integrity360 entscheiden?

Die CREST-akkreditierten Penetrationstest-Dienstleistungen von Integrity360 bewerten Netzwerke, Anwendungen, Cloud-Umgebungen, Identitäten und vernetzte Geräte. Unsere Spezialisten kombinieren automatisierte Tools mit manuellen Tests, um Angriffspfade zu untersuchen und deren potenzielle geschäftliche Auswirkungen zu erläutern.

Wir passen unsere Dienstleistungen individuell an Ihre Umgebung, Ihre Ziele und Ihr Risikoprofil an und liefern klare Ergebnisse sowie praktische Empfehlungen zur Behebung von Schwachstellen, damit Ihre Teams Verbesserungsmaßnahmen priorisieren können.

Entdecken Sie die Penetrationstest-Dienstleistungen von Integrity360 und sprechen Sie mit unserem Team über Ihre Testanforderungen.