Penetrationstests: Methoden, Ablauf und Vorteile

Das Ziel eines Penetrationstests besteht darin, die Sicherheitslage einer Organisation unter realistischen Bedingungen zu überprüfen. Der Test simuliert Angriffe auf Systeme, Anwendungen und Netzwerke, um Schwachstellen aufzudecken und die Wirksamkeit vorhandener Schutzmaßnahmen objektiv zu bewerten. Im Mittelpunkt steht die Frage, wie weit ein Angreifer in der Praxis gelangen könnte und welche Risiken daraus entstehen.

Aus diesem Ansatz ergeben sich mehrere Schwerpunkte:

• Schwachstellenanalyse: Identifikation technischer und konzeptioneller Lücken in Anwendungen, Netzwerken und Konfigurationen.
• Praktische Ausnutzbarkeit: Überprüfung, ob gefundene Schwachstellen tatsächlich ausgenutzt werden können und welche Auswirkungen dies hätte.
• Kontrollmechanismen prüfen: Bewertung, ob vorhandene Schutzmaßnahmen Angriffe erkennen oder verhindern.
• Realistische Angriffsszenarien: Durchführung von Tests mit unterschiedlichen Ausgangsbedingungen (z. B. externe Angreifer ohne Vorwissen oder interne Angreifer mit begrenzten Rechten).
• Risikoeinordnung: Klassifizierung gefundener Schwachstellen zur Priorisierung von Maßnahmen.

Über die technische Ebene hinaus liefert ein Penetrationstest eine Grundlage für das Risikomanagement: Unternehmen erhalten Transparenz über die tatsächliche Angriffsfläche, können ihre Sicherheitsstrategie gezielt weiterentwickeln und verfügen über einen nachvollziehbaren Nachweis gegenüber Kunden, Partnern oder Auditoren. Damit wird IT-Sicherheit als fortlaufender Prozess messbar und überprüfbar.

---

Grundsätzlich gibt es verschiedene Möglichkeiten, Penetrationstests zu kategorisieren: nach der Zielsetzung und nach der vom Auftraggeber zur Verfügung gestellten Informationsbasis. Letzteres wird manchmal auch als Vorgehensweise des Penetrationstests bezeichnet, was jedoch irreführend ist. Die Vorgehensweise beschreibt nämlich, wie der Penetrationstester vorgeht – also nach welchem Standard oder mit welchem technischen Ablauf der Penetrationstest selbst durchgeführt wird.

Die zur Verfügung gestellte Informationsbasis unterscheidet sich klassisch in Black Box, Gray Box und White Box. Beim Black-Box-Pentest hat der Penetrationstester keinerlei Informationen vom Auftraggeber erhalten, außer einem groben Ziel. Beim White-Box-Pentest erhält der Penetrationstester vollen Einblick in Systeme, Architektur, Code usw. Beim Gray-Box-Pentest – und das ist der am häufigsten verwendete Ansatz – erhält der Penetrationstester teilweise mehr Informationen als öffentlich bekannt. Der Sinn dahinter ist, eine effektive und effiziente Durchführung des Penetrationstests zu ermöglichen. Beispielsweise kann der Penetrationstester bei einem Test einer Webseite raten, welche Datenbank dahintersteckt. Der Auftraggeber kann ihm dies (auch einfach auf Nachfrage) mitteilen, was Zeit spart und eine zielgerichtetere Prüfung ermöglicht.

Penetrationstests kann man natürlich auch nach dem Angriffsvektor unterscheiden. Typischerweise wird dabei zwischen externen und internen Penetrationstests unterschieden. Ein externer Penetrationstest wird von außen – also über das Internet – durchgeführt, während der interne Penetrationstest – wer hätte es jetzt erwartet – von einem Zugangspunkt innerhalb des Unternehmens bzw. des Netzwerks erfolgt. Grundsätzlich empfiehlt es sich, aufgrund der höheren Exponiertheit, zunächst einen externen Penetrationstest durchführen zu lassen und danach einen internen. In der Regel findet man jedoch bei einem internen Penetrationstest die gravierendsten Sicherheitsprobleme.

Ein Penetrationstest kann verschiedene Ausgangssituationen simulieren. Ziel ist es, realistische Angriffspfade nachzustellen und so die tatsächliche Widerstandsfähigkeit eines Unternehmens zu bewerten. Typische Szenarien sind:

• Externer Pentest (über das Internet)
  Simulation eines Angreifers ohne internen Zugang. Getestet werden öffentlich erreichbare Systeme wie Webserver, VPN-Gateways oder E-Mail-Infrastrukturen. Dieses Szenario entspricht dem klassischen Angriff aus dem Internet.
• Interner Pentest (ohne Zugangsdaten)
  Hierbei wird ein Angreifer simuliert, der bereits physischen oder logischen Zugang zum Unternehmensnetzwerk hat – z. B. durch ein kompromittiertes Gerät oder den Anschluss an ein internes Netzwerksegment. Ziel ist es, die Ausbreitungsmöglichkeiten innerhalb der IT-Infrastruktur aufzuzeigen.
• Interner Pentest (mit gültigen Zugangsdaten)
  In diesem Szenario wird geprüft, welche Möglichkeiten ein regulärer Benutzeraccount eröffnet. So lässt sich feststellen, ob Fehlkonfigurationen, unzureichende Rechtekonzepte oder fehlende Netzwerksegmentierung zu einer unautorisierten Privilegienerweiterung führen.
• Webanwendungen & APIs
  Test von webbasierten Anwendungen und Schnittstellen, die über das Internet oder intern erreichbar sind. Der Fokus liegt insbesondere auf der Prüfung von Zugriffskontrollen (Access Control) und Injection-Angriffen, ebenso wie auf der Absicherung von Session-Management und weiteren sicherheitskritischen Mechanismen.
• Mobile Anwendungen
  Untersuchung von Apps inklusive lokaler Datenspeicherung, Kommunikation mit Backend-Services und Absicherung der Authentifizierung. Häufig lassen sich hier sensible Informationen auslesen oder Manipulationen der Requests durchführen.
• Cloud-Umgebungen
  Prüfung von Cloud-Diensten und -Infrastrukturen auf Fehlkonfigurationen, unsichere Rechtevergabe und mangelhafte Trennung von Mandanten. Besonders relevant sind hier Identitäts- und Berechtigungsmanagement sowie Sicherheitsmechanismen der Anbieter.
• Social Engineering
  Simulation menschlicher Täuschungsangriffe, beispielsweise durch Phishing-E-Mails, Spear-Phishing oder Telefonangriffe (Vishing). Ziel ist es, die Sensibilisierung der Mitarbeiter und die Wirksamkeit organisatorischer Sicherheitsmaßnahmen zu überprüfen.
• Physische Szenarien
  Hier wird getestet, ob es einem Angreifer gelingt, Zutritt zu Gebäuden oder sicherheitskritischen Bereichen zu erlangen. Im Fokus stehen z. B. unzureichend gesicherte Serverräume, manipulierbare Zugangskontrollen oder mangelnde Überwachung.
• Red-Teaming
  Im Gegensatz zu klassischen Pentests ist Red-Teaming ein ganzheitlicher, zielgerichteter Angriff, der über einen längeren Zeitraum durchgeführt wird. Dabei werden technische, physische und soziale Angriffsmethoden kombiniert, um die gesamte Sicherheitsarchitektur und insbesondere die Erkennungs- und Reaktionsfähigkeit (Blue Team / SOC) zu prüfen.

Ein Schwachstellenscan ist ein automatisiertes Tool, das Webanwendungen, Systeme oder Netzwerke auf bekannte Schwachstellen wie veraltete Software, fehlende Patches oder Fehlkonfigurationen überprüft. In der Praxis geben Sie Zielinformationen (wie IP-Adressen oder Domänennamen) ein, klicken auf „SCAN“ und erhalten einen Bericht mit den identifizierten Schwachstellen. Diese Scans sind vollständig automatisiert und beschränken sich in der Regel auf die Erkennung bereits bekannter Probleme in Softwarekomponenten.

Ein Penetrationstest hingegen ist ein simulierter Angriff auf Webanwendungen, Systeme oder Netzwerke, der ebenfalls darauf abzielt, Schwachstellen zu identifizieren. Er wird jedoch manuell von einem erfahrenen Penetrationstester durchgeführt, der eine breite Palette von Tools, fortschrittliche Angriffstechniken und eine strukturierte Testmethodik einsetzt. Dieser Ansatz ermöglicht es, neue oder komplexe Schwachstellen aufzudecken und diese – je nach definiertem Testumfang – auch auszunutzen.

Die Kosten eines Penetrationstests richten sich nach Umfang, Komplexität und manuellem Aufwand – etwa der Anzahl und Art der Zielsysteme, der Tiefe der Analyse und dem Umfang des Berichts. Da ein echter, manueller Pentest individuell ist, ersetzen wir pauschale Stundensätze durch ein transparentes Festpreis-Angebot für Ihre konkrete Zielumgebung.

Eine detaillierte, nachvollziehbare Aufschlüsselung nach Umfang, Methode und Aufwand erfahren Sie in unserem Beitrag zu den Pentest-Kosten.

Pentest-Kosten im Detail →

Ein Penetrationstest liefert mehr als nur technische Details. Er schafft eine belastbare Grundlage, um IT-Sicherheit als Teil der Unternehmenssteuerung zu verstehen und weiterzuentwickeln. Unternehmen profitieren dabei auf mehreren Ebenen.

• Transparenz: Klare Sicht auf vorhandene Schwachstellen, die Angriffsfläche und den tatsächlichen Sicherheitsstatus.
• Priorisierung: Strukturierte Einordnung nach Risiko und Auswirkung, um Ressourcen gezielt einzusetzen.
• Wirksamkeitsprüfung: Nachweis, ob bestehende Schutzmaßnahmen wie Firewalls, WAFs oder Endpoint-Security ihre Aufgabe erfüllen.
• Strategische Planung: Grundlage für Investitionsentscheidungen und die Weiterentwicklung der Sicherheitsstrategie.
• Compliance und Nachweise: Unterstützung bei regulatorischen Anforderungen (z. B. ISO 27001, TISAX, NIS2, PCI DSS) und objektiver Nachweis gegenüber Kunden, Partnern oder Auditoren.
• Reaktionsfähigkeit: Erkenntnisse darüber, wie schnell und effektiv interne Teams auf simulierte Angriffe reagieren.

Der wesentliche Vorteil liegt darin, dass Unternehmen ihre Sicherheitslage nicht nur theoretisch, sondern praktisch und überprüfbar bewerten können. So lassen sich Risiken realistisch einschätzen und Maßnahmen fundiert priorisieren.

Eine häufige Frage von Kunden lautet: Warum entdeckt die binsec GmbH in Penetrationstests regelmäßig Schwachstellen, die zuvor von anderen Anbietern übersehen wurden?

Die Antwort ist PTDoc – unser internes Tool für die strukturierte Durchführung und Dokumentation von Penetrationstests. Entwickelt von der binsec systems GmbH und gepflegt innerhalb der binsec group, entstand es aus einer zentralen Herausforderung: Wie lässt sich die Qualität konstant hochhalten, wenn das Team wächst und unterschiedliche Tester eigene Schwerpunkte haben? Und wie kann sichergestellt werden, dass Ergebnisse unabhängig vom ausführenden Senior Penetration Tester identisch und reproduzierbar bleiben?

PTDoc liefert die Lösung: standardisierte Vorgehensweisen für unterschiedliche Zielsysteme – von Active Directory über mobile Anwendungen bis hin zu Netzwerken. Dabei fließen kontinuierlich etablierte Standards wie der OWASP Testing Guide, MASVS und OSSTMM ein. Ebenso spiegeln sich in den Prüfschritten die gesammelten Erfahrungen unserer Pentester wider: Regelmäßig werden neue Prüfpunkte ergänzt, die sofort dem gesamten Team zur Verfügung stehen.

In der Praxis bedeutet das:

• binsec deckt Schwachstellen auf, die andere übersehen. In den letzten Jahren konnten wir immer wieder Findings identifizieren, die bei früheren Tests nicht entdeckt wurden.
• PTDoc entlastet die Pentester von binsec: Sie können sich voll auf die Durchführung konzentrieren, während die Dokumentation, die Verwaltung von Evidences und die Berichtsgenerierung effizient im Hintergrund ablaufen.
• Berichte sind schnell verfügbar und mehrsprachig: PTDoc unterstützt die Erstellung von deutschen und englischen Reports – auf Wunsch auch in beiden Sprachen.

Das ist das Geheimnis hinter den Pentest der binsec: ein systematischer Ansatz, der Standards und Erfahrung verbindet, Qualität und Wiederholbarkeit sicherstellt – und damit für die Kunden den entscheidenden Unterschied macht. Ein Kunde brachte es auf den Punkt: „Seit wir mit binsec arbeiten, bezeichne ich die Tests davor eigentlich nicht mehr als richtige Penetrationstests.“

Vor einem Penetrationstest können datenschutzrechtliche und vertragliche Vereinbarungen notwendig sein, um sowohl die rechtlichen Anforderungen (z. B. DSGVO) zu erfüllen als auch die Verantwortlichkeiten und Pflichten zwischen Auftraggeber und Penetrationstester eindeutig zu regeln. Der Umfang der Verarbeitung personenbezogener Daten hängt bei einem Penetrationstest stark von der Zielstellung des eigentlichen Tests ab. Bei der Durchführung eines Penetrationstests können folgende personenbezogene Daten verarbeitet werden:

• Personenbezogene Daten eines oder mehrerer Ansprechpartner des Auftraggebers

  Das sind in der Regel der Vorname, der Nachname, die berufliche E-Mail-Adresse, die berufliche Telefonnummer sowie die Position innerhalb des Unternehmens. Diese personenbezogenen Daten werden üblicherweise im E-Mail-Programm, auf dem Mailserver, in der Telefonanlage, in Kalendereinträgen sowie im abschließenden Bericht zum Penetrationstest gespeichert bzw. verarbeitet. Klingt banal – ist es in diesem Fall auch – und ist einfach für die Kommunikation zwischen Auftraggeber und Auftragnehmer notwendig. Diese Daten werden immer verarbeitet, sind jedoch oftmals ohnehin öffentlich verfügbar.

• Personenbezogene Daten weiterer Mitarbeiter des Auftraggebers

  Ist das Ziel des Penetrationstests eher das Unternehmensnetzwerk, wird man den Kontakt zu personenbezogenen Daten von Mitarbeitern oft nicht vermeiden können. Bei externen Penetrationstests ist dies seltener der Fall, spätestens bei internen Tests mit einem Active Directory jedoch nahezu unvermeidlich. Dabei erhält man oftmals mindestens die Namen der Mitarbeiter. Häufig gehört es zum internen Test, dass versucht wird, Privilegien zu erweitern oder weitere Accounts bzw. Zugänge zu erhalten. Gelingt dies – was mit steigender Mitarbeiterzahl wahrscheinlicher wird –, erhält man Zugriff auf valide Passwörter oder zumindest Passwort-Hashes. Um den Pentest durchzuführen, müssen zumindest diese Daten lokal auf dem Endgerät des Penetrationstesters verarbeitet werden. Durch die Kompromittierung von Accounts oder Umgehung von Zugriffsbeschränkungen können noch mehr Informationen zugänglich werden. Im schlimmsten Fall, etwa bei vollständiger Übernahme des Active Directory, kann der Zugriff auf sehr viele personenbezogene Daten erfolgen. Allerdings ist es nicht notwendig, diese Daten auf IT-Systeme des Auftragnehmers zu kopieren – im Gegenteil, dies sollte unbedingt vermieden werden. Eine Notwendigkeit dazu besteht nicht.

• Personenbezogene Daten von Kunden des Auftraggebers

  Mit personenbezogenen Daten von Kunden des Auftraggebers kommt man oft in Berührung, wenn Produktionssysteme getestet werden. Ein einfaches Beispiel ist ein Online-Shop. Das Absichern der Kundendaten im Shop ist ein zentrales Ziel des Penetrationstests. Es soll geprüft werden, ob es möglich ist, unberechtigt auf andere Datensätze zuzugreifen. Falls dies gelingt, werden beim Test zumindest kurzfristig einzelne Datensätze lokal auf dem Arbeitsgerät angezeigt und damit verarbeitet.

In den letzten beiden Fällen kann es ratsam sein, eine Vereinbarung zur Auftragsdatenverarbeitung zu schließen. Dabei sollte der Fokus auf dem Prinzip der Datenvermeidung liegen. Ein Penetrationstester ist – offensichtlich – kein böswilliger Angreifer, und es besteht keine Notwendigkeit, nennenswerte Datensätze des Unternehmens zu verarbeiten. Nur bei der Erstellung des Berichts muss ein sinnvoller Kompromiss zwischen Anonymisierung und Pseudonymisierung gefunden werden. Wurden beispielsweise beim Penetrationstest erfolgreich Zugangsdaten gefunden, müssen diese im Bericht dokumentiert werden, damit der Auftraggeber die nötigen Informationen erhält. Es ist jedoch nicht zwingend erforderlich, diese Zugangsdaten einzelnen Personen zuzuordnen.

Penetrationstests erzeugen sensible Informationen: technische Details zu Systemen, Konfigurationen, Schwachstellen, Benutzerkonten oder internen Strukturen. Entscheidend ist daher nicht nur wo, sondern auch wie diese Daten verarbeitet werden.

Die gesamte Verarbeitung erfolgt innerhalb einer eigenen, kontrollierten Infrastruktur in Deutschland. Der Betrieb findet in einem Rechenzentrum in Frankfurt am Main statt und wird durch eine räumlich getrennte Hot Standby Location zur Sicherstellung von Redundanz und Ausfallsicherheit ergänzt. Projektdaten werden weder in Public Cloud Umgebungen noch in unspezifizierte Drittstaaten ausgelagert.

Es werden eigene IPv4 und IPv6 Adressräume betrieben. Als Local Internet Registry wird eine unabhängige Netz und Routing Infrastruktur unterhalten, basierend auf Enterprise Hardware mit Juniper Netzwerkkomponenten. Auch Hypervisor und Storage Systeme befinden sich vollständig in technischer Eigenkontrolle.

Projektdaten werden ausschließlich in dedizierten, segmentierten Systemen verarbeitet. Der Zugriff ist strikt rollenbasiert und auf die jeweils beteiligten Senior Penetration Tester beschränkt. Erfasste Daten umfassen beispielsweise:

• technische Testnotizen und Analysen
• Screenshots und Evidences
• Berichtsentwürfe und finale Reports

Alle eingesetzten Laptops sind vollständig verschlüsselt. Projektdaten werden nach Abschluss lokal von den Systemen der Tester gelöscht. Die zentrale Dokumentation und Verwaltung sämtlicher Findings erfolgt ausschließlich in PTDoc als kontrolliertes Kernsystem. Durch diese Kombination aus eigener Infrastruktur, klarer Zugriffstrennung, verschlüsselten Endgeräten und strukturiertem Dokumentationsprozess bleibt die Verarbeitung jederzeit nachvollziehbar und kontrolliert.