Ein Penetrationstest (kurz Pentest) ist eine kontrollierte Sicherheitsbewertung, bei der zertifizierte ethische Hacker mit den Methoden realer Angreifer Schwachstellen in IT-Systemen, Anwendungen und Infrastrukturen aufdecken. Der BSI-Studie A (Bundesamt für Sicherheit in der Informationstechnik) definiert die methodische Grundlage in Deutschland — ergänzt durch internationale Standards wie OWASP Testing Guide, OSSTMM und PTES. Die Kosten reichen typischerweise von 8.000 EUR für einen einzelnen Webanwendungs-Pentest bis 80.000 EUR für umfassende Red-Team-Übungen. NIS2, DORA, TISAX und ISO 27001 verlangen regelmäßige Pentests — mindestens jährlich für kritische Systeme. Bei korrekter Vorbereitung und ergebnis-orientierter Durchführung sind sie eines der wirksamsten Werkzeuge gegen Ransomware, Datenpannen und gezielte Cyberangriffe.
Kerntatsachen
- Drei Test-Tiefen: Black-Box (Tester ohne Vorkenntnisse), Grey-Box (mit Basis-Informationen), White-Box (mit vollständigem Quellcode-Zugriff).
- Typische Kosten: Webanwendung 8.000–25.000 EUR, externe Infrastruktur 12.000–35.000 EUR, vollständige Red-Team-Übung 60.000–150.000 EUR.
- BSI-Studie A ist der deutsche Methodikstandard — kombiniert mit OWASP, OSSTMM und PTES.
- NIS2 § 30 Pkt. 5 verpflichtet betroffene Unternehmen zu regelmäßigen Pentests; DORA verlangt für signifikante Finanzunternehmen alle 3 Jahre einen TLPT.
- Pentest-Bericht umfasst typischerweise 50–200 Seiten mit Findings nach CVSS-Schweregrad und konkreten Behebungsempfehlungen.
- Behebung kritischer Findings sollte innerhalb 30 Tagen erfolgen; Re-Test nach Abschluss zwingend.
- Auswahl der Pentest-Anbieter ist kritisch — auf BSI-zertifizierte Anbieter mit OSCP/OSEP/CEH-zertifizierten Testern setzen.
Inhalt
- Was ist ein Penetrationstest?
- Penetrationstest vs. Schwachstellenscan
- Drei Test-Tiefen — Black, Grey und White Box
- Typen von Penetrationstests
- Methodische Grundlagen
- Wann ist ein Penetrationstest erforderlich?
- Typische Kosten
- Pentest-Anbieter auswählen
- Vorbereitung — die 5 Schritte
- Ablauf eines Pentests
- Bericht und Behebung
- Pentest unter NIS2 und DORA
- Häufig gestellte Fragen
- Fazit
Was ist ein Penetrationstest?
Ein Penetrationstest ist eine autorisierte, simulierte Angriffsbewertung auf IT-Systeme, mit dem Ziel, Schwachstellen zu identifizieren, bevor reale Angreifer sie ausnutzen. Pentester arbeiten nach klaren ethischen und vertraglichen Grenzen — Ziel ist immer die Verbesserung der Sicherheit, niemals echter Schaden.
Abgrenzung zu anderen Sicherheitsbewertungen
| Methode | Tiefe | Aufwand | Wann sinnvoll |
|---|---|---|---|
| Schwachstellenscan (automatisiert) | oberflächlich | gering | regelmäßig, monatlich |
| Penetrationstest (manuell + automatisiert) | mittel bis tief | mittel | jährlich oder nach größeren Änderungen |
| Red-Team-Übung (zielgerichtet) | sehr tief | hoch | strategisch, alle 1–3 Jahre |
| TLPT (DORA-spezifisch) | sehr tief, real-szenario-basiert | sehr hoch | bei signifikanten Finanzunternehmen alle 3 Jahre Pflicht |
| Code-Review (statisch) | code-fokussiert | mittel | im Entwicklungsprozess |
Was ein guter Pentest leistet
- Aufdeckung realer Angriffspfade — nicht nur Liste isolierter Schwachstellen
- Verifikation der Wirksamkeit existierender Sicherheitsmaßnahmen
- Quantifizierung des Risikos in CVSS-Schweregraden
- Konkrete Behebungsempfehlungen mit technischer Umsetzbarkeit
- Compliance-Nachweis für ISO 27001, NIS2, DORA, TISAX, DSGVO
Kennzahl
152 % Anstieg der Ransomware-Angriffe in den letzten fünf Jahren (BSI Lagebericht 2024). Über 70 % aller erfolgreichen Cyberangriffe nutzen Schwachstellen, die durch einen Pentest identifizierbar gewesen wären.
Pentest vs. Schwachstellenscan
Eine häufige Verwechslung — die zu falsch dimensionierten Sicherheitsbewertungen führt.
Schwachstellenscan
| Aspekt | Detail |
|---|---|
| Methode | automatisiertes Scanning-Tool (Tenable, Qualys, Greenbone, Nessus) |
| Tiefe | oberflächlich — bekannte CVEs, Konfigurationsfehler |
| Aufwand | wenige Stunden, automatisiert |
| Kosten | 200–2.000 EUR (Cloud-Service) |
| Häufigkeit | monatlich oder wöchentlich |
| Ergebnis | Liste bekannter Schwachstellen, oft mit False Positives |
Penetrationstest
| Aspekt | Detail |
|---|---|
| Methode | menschliche Tester + Tools, kreativ und kontextbezogen |
| Tiefe | tief — Geschäftslogik-Fehler, Verkettung von Schwachstellen |
| Aufwand | 5–25 Personentage |
| Kosten | 8.000–80.000 EUR |
| Häufigkeit | jährlich oder nach größeren Änderungen |
| Ergebnis | priorisierte Findings mit Angriffsketten und Behebungsplan |
Schwachstellenscans und Pentests sind komplementär, nicht ersetzbar. Best Practice: monatliche Scans + jährlicher Pentest.
Drei Test-Tiefen
Jeder Pentest folgt einer der drei klassischen Test-Tiefen — die Wahl beeinflusst Aufwand, Aussagekraft und Kosten.
Black-Box-Pentest
| Aspekt | Detail |
|---|---|
| Tester-Vorwissen | keines (außer Zielsystem-URL/IP) |
| Simulation | externer, anonymer Angreifer |
| Aufwand | 7–15 Personentage |
| Vorteil | realistisches Bedrohungs-Szenario |
| Nachteil | viel Zeit für Erkundung, weniger Tiefe |
| Kosten | typischerweise 12.000–25.000 EUR |
Grey-Box-Pentest (am häufigsten)
| Aspekt | Detail |
|---|---|
| Tester-Vorwissen | Basis-Informationen + Tester-Account |
| Simulation | „bösartiger Insider" oder kompromittierter Mitarbeiter-Account |
| Aufwand | 5–10 Personentage |
| Vorteil | maximale Findings pro Aufwand |
| Nachteil | weniger realistisch als Black-Box |
| Kosten | typischerweise 8.000–18.000 EUR |
White-Box-Pentest
| Aspekt | Detail |
|---|---|
| Tester-Vorwissen | vollständige Dokumentation, Quellcode, Architektur |
| Simulation | „weiß-bewaffneter Angreifer" oder gezielte Tiefenbewertung |
| Aufwand | 8–20 Personentage |
| Vorteil | tiefste Schwachstellen-Identifikation |
| Nachteil | unrealistisch für reale externe Bedrohung |
| Kosten | typischerweise 15.000–35.000 EUR |
Typen von Penetrationstests
Pentests unterscheiden sich nach Zielobjekt und Angriffsvektor.
Nach Zielobjekt
| Typ | Was wird getestet | Typische Kosten |
|---|---|---|
| Externer Netzwerk-Pentest | Internet-erreichbare Systeme, Firewall, VPN, E-Mail-Server | 12.000–35.000 EUR |
| Interner Netzwerk-Pentest | Lateral Movement im internen LAN, Active Directory | 15.000–40.000 EUR |
| Webanwendungs-Pentest | Web-App, REST-API, Single-Page-Applikationen | 8.000–25.000 EUR |
| Mobile-App-Pentest | iOS- und Android-Apps, API-Backend | 10.000–25.000 EUR |
| Cloud-Pentest | AWS-, Azure-, GCP-Konfigurationen, IAM | 12.000–35.000 EUR |
| API-Pentest | REST-, GraphQL-, gRPC-APIs | 8.000–22.000 EUR |
| WLAN-Pentest | Funknetzwerk-Sicherheit, Rogue-AP-Erkennung | 4.000–10.000 EUR |
| Physical-Pentest | Zutrittskontrolle, USB-Drops, Social Engineering | 10.000–30.000 EUR |
| Red-Team-Übung | end-to-end Angriffssimulation, mehrere Vektoren | 60.000–150.000 EUR |
Nach Angriffsvektor
| Vektor | Beispiele |
|---|---|
| Network | Netzwerk-Scans, Service-Enumeration, Man-in-the-Middle |
| Application | OWASP Top 10, SQL-Injection, XSS, Logikfehler |
| Identity | Passwort-Spraying, Kerberoasting, Privilege Escalation |
| Cloud | IAM-Misskonfiguration, Cloud-API-Angriffe |
| Social Engineering | Phishing, Pretexting, Vishing |
| Physical | RFID-Klone, Lockpicking, USB-Drops |
Methodische Grundlagen
Seriöse Pentests folgen etablierten Methodik-Standards. Die wichtigsten:
BSI-Studie A — der deutsche Methodikstandard
Die BSI-Studie A ist die deutsche Referenz-Methodik. Sie unterteilt einen Pentest in fünf Phasen und ist Voraussetzung für BSI-IT-Grundschutz-Konformität:
| Phase | Inhalt |
|---|---|
| 1. Vorbereitung | Scope-Definition, rechtliche Grundlagen, Notfallplan |
| 2. Informationsbeschaffung | OSINT, Netzwerk-Mapping, Service-Erkennung |
| 3. Schwachstellen-Identifikation | automatisierte Scans + manuelle Analyse |
| 4. Aktive Eindringversuche | Exploitation der identifizierten Schwachstellen |
| 5. Berichterstellung | Findings, Risiko-Bewertung, Behebungsempfehlungen |
OWASP Testing Guide
Der OWASP Web Security Testing Guide (WSTG) ist die führende Methodik für Webanwendungs-Pentests — über 100 Test-Fälle in 12 Kategorien (Authentifizierung, Session-Management, Eingabevalidierung, Geschäftslogik etc.).
PTES (Penetration Testing Execution Standard)
Internationaler Standard mit sieben Hauptphasen:
- Pre-Engagement Interactions
- Intelligence Gathering
- Threat Modeling
- Vulnerability Analysis
- Exploitation
- Post-Exploitation
- Reporting
MITRE ATT&CK
MITRE ATT&CK Framework klassifiziert Angreifer-Taktiken und -Techniken — wird zunehmend als Referenz für Red-Team-Übungen und TLPT verwendet.
OSSTMM
Open Source Security Testing Methodology Manual — wissenschaftlich fundierter Ansatz, Schwerpunkt auf Messbarkeit der Ergebnisse.
Wann erforderlich?
Pentests sind in vielen Compliance-Rahmenwerken explizit oder implizit vorgeschrieben.
Regulatorische Pflichten
| Rahmenwerk | Anforderung | Frequenz |
|---|---|---|
| NIS2 § 30 BSIG-neu | Resilienztests für kritische Systeme | jährlich |
| DORA Art. 25 | allgemeine Tests aller kritischen IKT-Systeme | jährlich |
| DORA Art. 26 (TLPT) | Threat-Led Penetration Test | alle 3 Jahre für signifikante Unternehmen |
| ISO 27001 A.8.29 | Sicherheitstests in Entwicklung und Akzeptanz | risikoorientiert, mind. jährlich |
| TISAX VDA ISA 6 | Schwachstellenmanagement und Tests | mind. jährlich |
| DSGVO Art. 32 | Wirksamkeitstests technischer und organisatorischer Maßnahmen | regelmäßig |
| PCI-DSS | externe + interne Pentests | jährlich + nach signifikanten Änderungen |
| BSI-IT-Grundschutz | je nach Schutzbedarfsfeststellung | bedarfsorientiert |
Geschäftliche Auslöser
Auch ohne explizite regulatorische Pflicht ist ein Pentest sinnvoll bei:
- Go-Live einer neuen kritischen Anwendung
- Größere Architekturänderungen (Cloud-Migration, ERP-Wechsel)
- Nach Sicherheitsvorfällen (Lessons Learned)
- Vor Audits (ISO 27001, TISAX, SOC 2)
- Bei Akquisitionen (Due-Diligence-Komponente)
- Bei kritischen Lieferanten-Beziehungen (Vendor Risk Assessment)
- Versicherungs-Anforderungen (Cyber-Versicherung)
Typische Kosten
Die Pentest-Kosten variieren stark — abhängig von Scope, Tiefe und Anbieter-Segment.
Marktpreise 2025 — deutsche Anbieter
| Test-Typ | Standard-Aufwand | Marktpreis |
|---|---|---|
| Webanwendungs-Pentest klein (1 App, < 50 Endpunkte) | 5–8 Personentage | 8.000–15.000 EUR |
| Webanwendungs-Pentest groß (komplexe SPA, > 100 Endpunkte) | 10–15 Personentage | 18.000–35.000 EUR |
| Externer Netzwerk-Pentest (1 Standort, < 50 IPs) | 5–8 Personentage | 12.000–22.000 EUR |
| Interner Netzwerk-Pentest (Active Directory, mehrere Subnets) | 8–15 Personentage | 18.000–40.000 EUR |
| Mobile-App-Pentest (iOS + Android) | 7–12 Personentage | 12.000–28.000 EUR |
| Cloud-Pentest (AWS + Azure) | 8–15 Personentage | 18.000–35.000 EUR |
| API-Pentest (REST + GraphQL) | 5–10 Personentage | 10.000–22.000 EUR |
| WLAN-Pentest (1 Standort) | 3–5 Personentage | 5.000–10.000 EUR |
| Social-Engineering-Übung | 5–10 Personentage | 8.000–20.000 EUR |
| Red-Team-Übung (vollständig) | 30–60 Personentage | 60.000–150.000 EUR |
Tagessätze nach Anbieter-Segment
| Segment | Tagessatz | Beispielanbieter |
|---|---|---|
| Big Four / Top-Tier | 1.800–3.000 EUR | KPMG, Deloitte, EY, PwC, NTT |
| Spezialisierte Pentest-Firma | 1.200–1.800 EUR | SySS, redteam pentesting, Compass Security |
| Etablierte freiberufliche Tester | 900–1.400 EUR | OSCP-zertifizierte Einzelberater |
| Online-Plattformen | 600–1.000 EUR | Plattform-basierte Anbieter |
Pentest-Anbieter auswählen
Die Auswahl des Anbieters bestimmt die Qualität des Pentests maßgeblich.
Auswahlkriterien
| Kriterium | Mindeststandard |
|---|---|
| Tester-Zertifizierung | OSCP, OSEP, OSED, CEH, GPEN |
| Anbieter-Akkreditierung | BSI-Anerkennung, ISO 27001 |
| Berufshaftpflicht | mind. 5 Mio. EUR Deckungssumme |
| Branchen-Erfahrung | nachweisbare Projekte in Ihrem Sektor |
| Methodik | dokumentierte Methodik nach BSI-Studie A, OWASP, OSSTMM |
| Berichts-Qualität | Beispiel-Berichte einsehbar, technisch detailliert |
| Sprachen | Deutsch und Englisch fließend |
| Datenschutz | DSGVO-konforme Verarbeitung, NDA |
Tester-Zertifizierungen — kurz erklärt
| Zertifikat | Anbieter | Schwerpunkt |
|---|---|---|
| OSCP (Offensive Security Certified Professional) | Offensive Security | praktischer Marktstandard, Branchen-Goldstandard |
| OSEP (Offensive Security Experienced Professional) | Offensive Security | fortgeschrittene Evasion-Techniken |
| OSED (Offensive Security Exploit Developer) | Offensive Security | Exploit-Entwicklung |
| OSCE3 (Offensive Security Certified Expert v3) | Offensive Security | Master-Level |
| CEH (Certified Ethical Hacker) | EC-Council | breit, eher anfängergeeignet |
| GPEN (GIAC Penetration Tester) | SANS | tief, akademisch fundiert |
| CRTO/CRTE (Certified Red Team Operator/Expert) | Zero Point Security | Red-Teaming-Spezial |
Anbieter-Kategorien
| Kategorie | Vorteile | Nachteile |
|---|---|---|
| Big Four (KPMG, Deloitte, EY, PwC) | breite Compliance-Beratung integriert | hohe Tagessätze, oft junge Tester |
| Spezialisierte Pentest-Firmen | tiefes Spezial-Know-how, sehr erfahrene Tester | reine Pentest-Fokus, weniger Compliance-Integration |
| Mittelstand-Beratungen | gutes Preis-Leistungs-Verhältnis | gemischte Tester-Erfahrung |
| Freiberufler | sehr günstig, oft hochqualifiziert | abhängig von Einzelperson, Risiko bei Krankheit |
Vorbereitung
Eine gute Vorbereitung ist der Unterschied zwischen einem oberflächlichen und einem tiefgreifenden Pentest. Fünf Schritte sind essentiell.
Schritt 1 — Scope-Definition
| Frage | Antwort dokumentieren |
|---|---|
| Welche Systeme werden getestet? | IP-Bereiche, URLs, Anwendungen |
| Welche Systeme sind ausgeschlossen? | „No-go"-Liste |
| Welche Test-Tiefe? | Black/Grey/White |
| Welche Angriffsvektoren? | Netzwerk, Anwendung, Identität, Social Engineering |
| Test-Fenster? | Datum, Uhrzeit, Wochenende möglich? |
| Notfallkontakte? | wer wird wann informiert |
Schritt 2 — Rechtliche Grundlagen
Der Pentester braucht eine schriftliche Autorisierung („Permission to Attack" / Letter of Engagement) — ohne diese wäre der Pentest strafrechtlich relevant (§ 202c StGB). Inhalt:
- klare Auftraggeber-Identifikation
- Scope (was darf getestet werden)
- Zeitraum
- Notfallkontakte
- Berichtsadressat
Schritt 3 — Stakeholder-Information
Wer im Unternehmen muss informiert sein?
- IT-Operations: zur Vermeidung von Notfallreaktionen auf den Test
- SOC / SIEM-Team: zur Erkennung der Test-Aktivität (oder bewusst nicht — bei „Blue-Team-Test")
- Management / Compliance: für rechtliche Verantwortung
- Externer Cloud-Provider: wenn Tests Cloud-Ressourcen treffen, oft Vorab-Genehmigung erforderlich (AWS, Azure, GCP haben eigene Pentest-Genehmigungsverfahren)
Schritt 4 — Test-Umgebung
Drei Optionen:
| Umgebung | Vorteil | Nachteil |
|---|---|---|
| Produktivsystem | realistisch | Verfügbarkeitsrisiko |
| Staging-System (1:1-Kopie) | realistisch + sicher | Aufwand für Spiegelung |
| dediziertes Pentest-Environment | maximal sicher | weniger realistisch |
Empfehlung: Staging mit Produktiv-ähnlichen Daten, ergänzt durch ausgewählte Produktivsystem-Tests im Final-Phase.
Schritt 5 — Voraussetzungen schaffen
- Test-Konten (für Grey-Box) anlegen mit dokumentierten Rechten
- Logging und Monitoring vor Test-Beginn überprüfen
- Backup vor Test-Beginn
- Notfall-Reset-Pläne dokumentieren
Ablauf
Ein typisches Pentest-Projekt durchläuft sechs Phasen über insgesamt 4–10 Wochen.
Phase 1 — Pre-Engagement (Wochen -2 bis 0)
- Vertrag, Scope, NDA, Letter of Engagement
- Stakeholder-Briefing
- Test-Umgebung vorbereiten
Phase 2 — Reconnaissance (Tag 1–2)
- OSINT (Open-Source Intelligence)
- DNS-Enumeration, Subdomain-Discovery
- Service-Mapping
- Threat-Modeling
Phase 3 — Vulnerability Analysis (Tag 2–4)
- automatisierte Schwachstellen-Scans
- manuelle Validierung der Findings
- Eingrenzung der wahrscheinlichsten Angriffsvektoren
Phase 4 — Exploitation (Tag 4–8)
- aktiver Versuch, identifizierte Schwachstellen auszunutzen
- Privilegien-Eskalation
- Lateral Movement
- Persistenz-Mechanismen
Phase 5 — Post-Exploitation (Tag 7–10)
- Bewertung des erreichten Zugriffs
- Datenexfiltration-Simulation (kontrolliert)
- Dokumentation der Angriffsketten
Phase 6 — Reporting (Tag 10–15)
- Bericht-Entwurf
- Stakeholder-Review
- finaler Bericht
- Abschluss-Workshop
Bericht und Behebung
Der Pentest-Bericht ist das wichtigste Ergebnis. Ein guter Bericht hat eine klare Struktur und liefert umsetzbare Empfehlungen.
Standard-Berichts-Struktur
| Abschnitt | Inhalt |
|---|---|
| Executive Summary | nicht-technische Zusammenfassung für Geschäftsleitung |
| Methodik | wie wurde getestet, welche Standards |
| Scope und Ausschlüsse | was wurde getestet, was nicht |
| Findings — Übersicht | Tabelle aller Findings mit CVSS-Bewertung |
| Findings — Detail | jedes Finding mit: Beschreibung, Reproduktion, Auswirkung, Empfehlung |
| Angriffsketten | Verkettung von Schwachstellen zu kompletten Angriffsszenarien |
| Behebungsempfehlungen | priorisiert, mit Aufwandsschätzung |
| Anhang | Beweisscreenshots, Logs, technische Details |
CVSS — Schweregrad-Klassifikation
| CVSS-Level | Score | Behebungsfrist |
|---|---|---|
| Critical | 9.0–10.0 | sofort, max. 7 Tage |
| High | 7.0–8.9 | 30 Tage |
| Medium | 4.0–6.9 | 90 Tage |
| Low | 0.1–3.9 | nach Risikoanalyse |
| Informational | — | nach Möglichkeit |
Behebungsprozess
- Triage — Findings nach Schweregrad und Aufwand priorisieren
- Behebungsplan mit verantwortlichen Personen und Fristen
- Behebung durch Entwicklung / IT-Operations
- Re-Test — vom Pentest-Anbieter verifizieren lassen
- Abschluss-Bericht mit verifizierten Behebungen
Re-Test ist Pflicht — ohne verifizierte Behebung bleibt der Pentest-Bericht eine theoretische Übung. Im Auditfall (ISO 27001, TISAX, NIS2) zählt nur die nachweislich behobene Schwachstelle.
Pentest unter NIS2 und DORA
Beide Regelwerke verschärfen die Anforderungen an regelmäßige Sicherheitstests.
NIS2 — § 30 Pkt. 5 BSIG-neu
NIS2 fordert „Sicherheit beim Erwerb, der Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich der Behandlung und Offenlegung von Schwachstellen". Praktisch:
- mindestens jährlicher Pentest der kritischen Systeme
- Schwachstellenmanagement-Programm mit dokumentierter Behebung
- Re-Tests nach Behebung kritischer Findings
- Berichterstattung an Geschäftsleitung und ggf. BSI
DORA — Art. 24-27
DORA hat zwei Test-Stufen:
| Stufe | Geltungsbereich | Frequenz |
|---|---|---|
| Allgemeine Tests (Art. 25) | alle Finanzunternehmen | jährlich |
| TLPT (Art. 26) | signifikante Finanzunternehmen | alle 3 Jahre |
TLPT (Threat-Led Penetration Testing) nach TIBER-DE-Methodik:
- externer Threat Intelligence Provider erstellt Bedrohungsprofil
- externes Red-Team führt simulierte Angriffe durch
- Dauer 12–20 Wochen
- BaFin-Aufsicht
- Kosten 250.000–800.000 EUR pro Test
FAQ
Wie oft sollte ein Penetrationstest durchgeführt werden?
Mindestens jährlich — bei kritischen Systemen halbjährlich. Zusätzlich nach jeder größeren Architekturänderung oder Sicherheitsvorfall.
Was kostet ein Penetrationstest?
Typische Kostenspanne: 8.000–35.000 EUR für Standard-Pentests (Webanwendung, Netzwerk). Vollständige Red-Team-Übungen: 60.000–150.000 EUR. TLPT nach DORA: 250.000–800.000 EUR.
Was ist der Unterschied zwischen Pentest und Schwachstellenscan?
Schwachstellenscans sind automatisiert und oberflächlich (Listen bekannter CVEs). Pentests sind manuell, kreativ und tief (Verkettung von Schwachstellen, Geschäftslogik-Fehler, neue Angriffspfade).
Welche Test-Tiefe ist die richtige?
Für die meisten Unternehmen: Grey-Box-Pentest (mit Basis-Informationen) — bietet maximale Findings pro Aufwand. Black-Box nur für realistische Bedrohungs-Simulation; White-Box bei sicherheitskritischen Anwendungen oder vor wichtigen Releases.
Wie wähle ich den richtigen Pentest-Anbieter?
Auf folgende Kriterien achten: OSCP/OSEP-zertifizierte Tester, BSI-Anerkennung, Berufshaftpflicht ≥ 5 Mio. EUR, dokumentierte Methodik (BSI-Studie A, OWASP), Beispiel-Berichte, DSGVO-konforme Verarbeitung.
Was ist im Pentest-Bericht enthalten?
Executive Summary, Methodik, Scope, Findings nach CVSS-Schweregrad mit Reproduktion und Behebungsempfehlung, Angriffsketten, Anhänge mit Beweisen.
Wie lange dauert die Behebung der Findings?
Critical: max. 7 Tage. High: 30 Tage. Medium: 90 Tage. Low: nach Risikoanalyse. Re-Test nach Behebung der Critical/High-Findings ist zwingend.
Brauche ich einen Pentest unter DSGVO?
Implizit ja — Art. 32 DSGVO verlangt „Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig zu überprüfen, zu bewerten und zu evaluieren". Pentests sind die Standard-Methode dafür.
Was ist ein TLPT?
Threat-Led Penetration Test — eine fortgeschrittene Pentest-Form unter DORA, bei der reale Bedrohungsszenarien simuliert werden. Pflicht für signifikante Finanzunternehmen alle 3 Jahre.
Welche rechtlichen Grundlagen muss ein Pentest haben?
Schriftliche Autorisierung („Permission to Attack" / Letter of Engagement) durch den Auftraggeber, klar definierter Scope und Zeitraum, Notfallkontakte. Ohne klare Autorisierung wäre der Pentest nach § 202c StGB strafbar.
Verwandte Themen
- Ransomware Incident Response: Vollständiger Leitfaden — Reaktion auf identifizierte Schwachstellen
- Zero Trust: Vollständiger Leitfaden zum modernen Sicherheits-Modell — Architektur-Grundlage gegen Lateral Movement
- ISO 27001 Anforderungen: Vollständige Checkliste der 93 Annex-A-Controls — Pentest-Pflicht in A.8.29
- TOMs nach Art. 32 DSGVO: Vollständiger Maßnahmen-Katalog — Wirksamkeits-Nachweis-Komponente
Fazit
Ein Penetrationstest ist eines der wirksamsten Werkzeuge gegen reale Cyberbedrohungen — und Pflicht in praktisch allen relevanten Compliance-Rahmenwerken (NIS2, DORA, ISO 27001, TISAX, DSGVO). Die Investition zahlt sich mehrfach aus: durch geringeres Bußgeldrisiko, niedrigere Cyber-Versicherungsprämien, schnellere Audit-Freigaben und vor allem durch konkret behobene Schwachstellen, bevor sie ausgenutzt werden.
Drei strategische Empfehlungen:
Erstens, Tester-Qualifikation vor Anbieter-Marke priorisieren. Ein OSCP-zertifizierter Tester einer mittelständischen Firma liefert oft tiefere Ergebnisse als ein Junior-Berater einer Big-Four-Marke.
Zweitens, Re-Tests einplanen und budgetieren. Ohne nachweisbare Behebung bleibt der Pentest-Bericht eine teure Theorie.
Drittens, Pentest-Programm statt Einzeltest aufbauen. Eine kontinuierliche Sicherheitsbewertung mit Quartals-Schwachstellenscans und jährlichen Pentests ist deutlich wirksamer als sporadische Einzeltests.
Vision Compliance koordiniert Pentest-Programme im Rahmen unserer Cyber-Security-Beratung und Vorfallmanagement-Services — von der Anbieter-Auswahl über die Vorbereitung bis zur Behebungs-Begleitung. Wir verbinden technische Auditkompetenz mit Compliance-Verständnis (ISO 27001, NIS2, DORA, TISAX), damit Pentest-Ergebnisse direkt in Audit-bewährte Behebungsmaßnahmen einfließen. Sprechen Sie uns an für eine kostenlose Pentest-Bedarfsanalyse mit konkreter Anbieter-Empfehlung.
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.