*Aktualisiert am 10.12.2026
Die fünf Phasen von Penetrationstests, die in diesem Leitfaden behandelt werden, sind Erkundung, Scannen, Schwachstellenanalyse, Ausnutzung und Berichterstellung. Zusammen helfen sie Unternehmen dabei, Sicherheitslücken zu identifizieren, zu verstehen, wie Angreifer diese ausnutzen könnten, und Prioritäten für die Behebung zu setzen.
Penetrationstests, auch als „Pen-Tests“ bekannt, sind autorisierte Sicherheitsbewertungen, bei denen Fachwissen mit automatisierten Tools kombiniert wird, um Schwachstellen zu untersuchen und deren potenzielle Auswirkungen aufzuzeigen.
Im Jahr 2026 muss der Umfang Ihrer Tests die Betriebsabläufe Ihres Unternehmens widerspiegeln. Dazu können interne Netzwerke, internetgestützte Anwendungen, Cloud-Umgebungen, APIs und Identitätssysteme gehören. Das Ziel ist es, eine praktische Frage zu beantworten: Wo könnte ein Angreifer Zugriff erlangen, und was könnte er als Nächstes tun?
Obwohl dieser Artikel den technischen Prozess in fünf Phasen unterteilt, verwenden verschiedene Methodiken unterschiedliche Phasennamen und Strukturen. Planung und Genehmigung müssen vor den Tests erfolgen.
Ihr Unternehmen und Ihr Testanbieter sollten sich darauf einigen, welche Systeme im Umfang enthalten sind, welche Ziele verfolgt werden, welche Techniken zulässig sind, in welchen Zeitfenstern die Tests stattfinden und welche Ausschlüsse gelten. Außerdem sollten Notfallkontakte, Anforderungen an den Umgang mit Daten sowie Bedingungen für die Unterbrechung des Tests festgelegt werden.
Diese Einsatzregeln geben den Testern klare Grenzen vor und helfen bei der Steuerung des operativen Risikos. Das NIST bezeichnet sie als Richtlinien und Einschränkungen, die vor Beginn eines Sicherheitstests festgelegt werden.
Die Erkundung ist die Phase der Informationsbeschaffung bei Penetrationstests. Sie hilft den Testern, die Umgebung zu verstehen und potenzielle Einstiegspunkte innerhalb des vereinbarten Umfangs zu identifizieren.
Dies kann die Überprüfung von Domainnamen, IP-Adressen, öffentlich zugänglichen Diensten, Anwendungsinformationen und von Ihren technischen Teams bereitgestellten Details umfassen.
Welche Informationen zur Verfügung stehen, hängt vom jeweiligen Auftrag ab. Manche Tests beginnen mit begrenzten Kenntnissen über die Umgebung, während andere Architekturdokumentationen, Testkonten und Zugriff auf relevante Konfigurationen beinhalten.
Das Ergebnis ist ein klareres Bild der zu bewertenden Systeme und der Bereiche, in denen weitere Untersuchungen erforderlich sind.
Beim Scanning werden technische Tools eingesetzt, um aktive Systeme, offene Ports, Dienste und potenzielle Schwachstellen zu ermitteln.
Dies kann dabei helfen, veraltete Software, exponierte Verwaltungsschnittstellen und Konfigurationsprobleme zu identifizieren. Bei Anwendungen kann die Erkennung auch das Erfassen zugänglicher Seiten, Endpunkte und Funktionen umfassen.
Ein Scan-Befund ist jedoch nicht automatisch ein bestätigtes Sicherheitsrisiko. Die Ergebnisse müssen im Kontext geprüft werden: Ist der betroffene Dienst zugänglich, sind Schutzmaßnahmen vorhanden und trifft der Befund auf die tatsächliche Konfiguration zu?
Das Scannen bietet Testern einen Ausgangspunkt für eingehendere Untersuchungen.
Während der Schwachstellenanalyse untersuchen Tester potenzielle Schwachstellen, um festzustellen, welche relevant sind und wie sie sich auf das Unternehmen auswirken könnten.
Dabei werden automatisierte Ergebnisse mit manuellen Analysen kombiniert. Bei Webanwendungen können die Tests die Authentifizierung, Autorisierung, Sitzungsverwaltung, Eingabevalidierung und Geschäftslogik umfassen. Dies sind einige der Bereiche, die im OWASP Web Security Testing Guide behandelt werden.
Manuelle Untersuchungen sind besonders wichtig, wenn eine Schwachstelle von der Funktionsweise einer Anwendung abhängt. Beispielsweise könnte ein Benutzer möglicherweise auf die Daten eines anderen Kunden zugreifen, obwohl er über ein gültiges Konto verfügt und sich erfolgreich authentifiziert hat.
Tester berücksichtigen zudem, wie Schwachstellen miteinander interagieren. Ein offengelegter Dienst und übermäßige Kontoberechtigungen können zusammen ein größeres Risiko darstellen, als es jeder Befund für sich genommen vermuten lässt.
In dieser Phase wird ermittelt, welche Probleme eine kontrollierte Ausnutzung und eine weitere Folgenabschätzung rechtfertigen.
Die Ausnutzung umfasst kontrollierte Versuche, identifizierte Schwachstellen im Rahmen der vereinbarten Einsatzregeln auszunutzen.
Ziel ist es, festzustellen, ob eine Schwachstelle ausgenutzt werden kann und welchen Zugriff sie ermöglichen würde. Je nach Umfang prüfen die Tester, ob sie Zugriffskontrollen umgehen, zusätzliche Berechtigungen erlangen oder auf andere Systeme zugreifen können.
Ein Test könnte beispielsweise zeigen, dass ein Konto mit geringen Berechtigungen auf eingeschränkte Funktionen zugreifen kann. Dies liefert dem Unternehmen Belege für die Schwachstelle und ihre Folgen.
Das Ziel besteht darin, die Auswirkungen mit dem geringstmöglichen Aufwand aufzuzeigen. Störungen zu verursachen oder große Mengen sensibler Daten zu extrahieren, gehört nicht zur Routine. Potenziell störende Techniken bedürfen vor ihrem Einsatz einer besonderen Abwägung und Zustimmung.
Tester sollten Belege dokumentieren und wesentliche Ergebnisse umgehend mitteilen, damit das Unternehmen Maßnahmen ergreifen kann.
Der Penetrationstestbericht erläutert, was getestet wurde, was entdeckt wurde und welche nächsten Schritte das Unternehmen unternehmen sollte.
Ein aussagekräftiger Bericht sollte Folgendes enthalten:
Technische Teams benötigen ausreichende Details, um jedes Problem zu verstehen und zu beheben. Die Stakeholder aus dem Unternehmen müssen die potenziellen Folgen verstehen und wissen, welche Verbesserungen Priorität haben sollten. Die Leitlinien des NCSC legen ebenfalls Wert darauf, Sicherheitsprobleme, deren Risiken und Lösungsansätze zu dokumentieren.
Die Meldung sollte zu Maßnahmen führen. Weisen Sie Verantwortliche zu, vereinbaren Sie Fristen für die Behebung und organisieren Sie Nachprüfungen, um zu überprüfen, ob die Korrekturen die ursprünglichen Befunde beheben.
Beginnen Sie mit den Systemen, Daten und Diensten, auf die Ihr Unternehmen angewiesen ist. Ein Testprogramm sollte Änderungen an dieser Umgebung widerspiegeln, einschließlich neuer Anwendungen, Cloud-Bereitstellungen, Integrationen und Zugriffsregelungen.
Prüfen Sie, ob der Umfang sowohl die Verbindungen zwischen den Systemen als auch die einzelnen Komponenten abdeckt. Eine Anwendung mag sicher erscheinen, während Schwachstellen in ihrer API oder ihren Berechtigungen sensible Informationen offenlegen.
Wenn KI-gestützte Anwendungen im Spiel sind, besprechen Sie deren spezifische Funktionalität und Risiken bei der Festlegung des Umfangs. Gehen Sie nicht davon aus, dass ein herkömmlicher Infrastruktur- oder Anwendungstest automatisch jedes KI-bezogene Verhalten bewertet.
Die Tests müssen zudem mit einem kontinuierlichen Schwachstellenmanagement einhergehen. Ein Penetrationstest liefert Nachweise über den vereinbarten Umfang zu einem bestimmten Zeitpunkt; spätere Änderungen können neue Schwachstellen mit sich bringen.
Die CREST-akkreditierten Penetrationstest-Dienstleistungen von Integrity360 bewerten Netzwerke, Anwendungen, Cloud-Umgebungen, Identitäten und vernetzte Geräte. Unsere Spezialisten kombinieren automatisierte Tools mit manuellen Tests, um Angriffspfade zu untersuchen und deren potenzielle geschäftliche Auswirkungen zu erläutern.
Wir passen unsere Dienstleistungen individuell an Ihre Umgebung, Ihre Ziele und Ihr Risikoprofil an und liefern klare Ergebnisse sowie praktische Empfehlungen zur Behebung von Schwachstellen, damit Ihre Teams Verbesserungsmaßnahmen priorisieren können.
Entdecken Sie die Penetrationstest-Dienstleistungen von Integrity360 und sprechen Sie mit unserem Team über Ihre Testanforderungen.
Ein Penetrationstest ist eine autorisierte Prüfung, bei der Sicherheitsexperten Schwachstellen identifizieren und versuchen, diese kontrolliert auszunutzen. Er hilft Unternehmen zu verstehen, wie Schwachstellen ausgenutzt werden könnten und welche Auswirkungen ein erfolgreicher Angriff haben könnte.
Dieser Leitfaden beschreibt fünf Phasen: Aufklärung, Scannen, Schwachstellenanalyse, Ausnutzung und Berichterstellung. Je nach Methodik werden diese Aktivitäten unterschiedlich gruppiert. Die Festlegung des Untersuchungsumfangs und die Genehmigung erfolgen vor dem Test, während die Behebung der Schwachstellen und die Nachprüfung auf die Ergebnisse folgen.
Beim Schwachstellenscan werden automatisierte Tools eingesetzt, um potenzielle Schwachstellen, insbesondere bekannte Schwachstellen, zu identifizieren. Penetrationstests ergänzen dies um fachliche Untersuchungen und kontrollierte Ausnutzung, um zu beurteilen, ob Schwachstellen ausgenutzt werden können und welche Folgen dies haben könnte.
Die Häufigkeit der Tests sollte dem Risiko Ihres Unternehmens, der Bedeutung der betroffenen Systeme sowie den geltenden vertraglichen oder Compliance-Anforderungen entsprechen. Auch wesentliche Änderungen an Anwendungen, der Infrastruktur oder den Zugriffsregelungen sollten Anlass für eine Überprüfung des Testbedarfs geben.
Tests können ein operatives Risiko bergen, insbesondere wenn Produktionssysteme betroffen sind. Ein klar definierter Umfang, vereinbarte Techniken, geeignete Testzeitfenster und eine gute Kommunikation tragen dazu bei, dieses Risiko zu bewältigen. Ein verantwortungsbewusster Anbieter sollte potenzielle Auswirkungen erläutern, anstatt zu versprechen, dass Störungen ausgeschlossen sind.
Ihre Teams sollten die Ergebnisse überprüfen, Abhilfemaßnahmen priorisieren und die Verantwortung für deren Umsetzung zuweisen. Durch erneute Tests wird anschließend überprüft, ob diese Änderungen die identifizierten Schwachstellen behoben haben. Die Ergebnisse können zudem als Grundlage für Verbesserungen bei den Prozessen in den Bereichen Entwicklung, Konfiguration und Schwachstellenmanagement dienen.
Nein. Ein Penetrationstest bewertet einen definierten Umfang innerhalb eines vereinbarten Zeitrahmens. Er kann nicht jede mögliche Schwachstelle identifizieren oder Schutz vor zukünftigen Angriffen garantieren. Er sollte Teil eines fortlaufenden Sicherheitsprogramms sein.