Security-Glossar

Was ist ein Penetrationstest?

Ein Penetrationstest (Pentest) ist ein autorisierter, simulierter Angriff auf ein System, durchgeführt so, wie ein echter Angreifer vorgehen würde, um Schwächen zu finden und zu bestätigen, bevor es jemand mit bösen Absichten tut. Das entscheidende Wort ist „bestätigen“: Ein Pentest beweist, dass ein Problem ausnutzbar ist, statt es nur als möglich zu markieren.

Er validiert, er scannt nicht nur

Der zentrale Unterschied, wie ihn NIST SP 800-115 beschreibt: Ein Penetrationstest nutzt eine Schwäche aktiv aus, um ihre Existenz zu bestätigen, statt nur zu melden, dass eine Schwachstelle vorhanden sein könnte. Deshalb filtert ein guter Pentest die Fehlalarme von Scannern heraus: Jeder Befund kommt mit Nachweis. Die Kehrseite ist, dass es sich um eine zeitlich begrenzte Momentaufnahme handelt. Sie zeigt das System so, wie es im vereinbarten Zeitfenster getestet wurde.

Wie ein Projekt abläuft

Die meisten Projekte folgen einem anerkannten Prozess wie dem Penetration Testing Execution Standard (PTES) oder den vier Phasen von NIST SP 800-115: Planung, Discovery, Angriff und Berichterstattung. Dabei kehrt die Angriffsphase zur Discovery zurück, sobald neuer Zugriff neue Pfade eröffnet. Am Anfang stehen Scoping und Rules of Engagement (bei Vexaro außerdem ein NDA vor jedem Zugriff), am Ende ein priorisierter Bericht und bei uns ein kostenloser Re-Test der Korrekturen innerhalb des im SoW festgelegten Zeitfensters.

Was getestet wird

Pentests werden auf ein Ziel zugeschnitten: eine Webanwendung (nach dem OWASP Web Security Testing Guide), eine API (OWASP API Security Top 10), eine mobile App (OWASP MASVS/MASTG), ein internes oder externes Netzwerk oder eine Cloud-Konfiguration. Verschiedene Ziele brauchen verschiedene Methoden (wer eine Web-Checkliste auf eine API anwendet, übersieht den Großteil des realen Risikos), deshalb sind die Leistungen nach Ziel aufgeteilt.

Box-Typen und Assurance

Der Tester kann ohne Vorwissen arbeiten (Black-Box), mit Teilwissen wie Zugangsdaten und einer Spezifikation (Grey-Box) oder mit vollem Wissen einschließlich Quellcode und Architektur (White-Box). Mehr Informationen bedeuten in der Regel tiefere Abdeckung in derselben Zeit. Die Wahl sollte sich deshalb nach Ihrem Assurance-Ziel richten und nicht danach, was am härtesten klingt. Für die meisten Anwendungs- und API-Tests ist Grey-Box der kosteneffiziente Standard.

Häufig gestellte Fragen

Ein autorisierter, simulierter Angriff, durchgeführt so, wie ein echter Angreifer vorgehen würde, um ausnutzbare Schwächen zu bestätigen, statt nur mögliche zu melden. Nach NIST SP 800-115 nutzt er eine Schwäche aktiv aus, um zu beweisen, dass sie existiert. Er ist eine zeitlich begrenzte Momentaufnahme und bildet das System so ab, wie es im vereinbarten Zeitfenster getestet wurde.

Die meisten Projekte folgen einem anerkannten Prozess wie PTES oder den vier Phasen von NIST SP 800-115: Planung, Erkundung, Angriff und Berichterstattung. Am Anfang stehen Scoping und Rules of Engagement (bei Vexaro mit einem NDA vor jedem Zugriff), am Ende ein priorisierter Bericht und bei uns ein kostenloser Re-Test der Korrekturen innerhalb des im SoW festgelegten Zeitfensters.

Pentests werden auf ein Ziel zugeschnitten (eine Web-App, eine API, eine mobile App, ein Netzwerk oder eine Cloud-Konfiguration), weil unterschiedliche Ziele unterschiedliche Methoden brauchen. Der Tester kann ohne Vorwissen starten (Black-Box), mit Teilwissen wie Zugangsdaten und einer Spezifikation (Grey-Box) oder mit vollem Quellcode und Architektur (White-Box). Gewählt wird nach dem Assurance-Ziel, nicht danach, was am härtesten klingt.

Sprechen Sie mit einem echten Praktiker.

Eine Frage, die diese Seiten nicht beantwortet haben? Sagen Sie uns, was Sie schützen möchten, und wir weisen Ihnen den Weg zum passenden Projekt. Die Erstberatung ist kostenlos.