Was ist ein Penetrationstest?
Bei einem Penetrationstest (kurz Pentest) greifen Sicherheitsfachleute Ihre Systeme mit den Methoden echter Angreifer an, allerdings mit Ihrer schriftlichen Erlaubnis, in einem festgelegten Rahmen und mit dem Ziel, Lücken zu schließen. Ein automatischer Schwachstellenscan meldet, wo eine Lücke vorhanden sein könnte. Der Pentest zeigt, ob sie sich tatsächlich ausnutzen lässt und wie weit ein Angreifer damit kommt: vom offenen Dienst im Internet über ein schwaches Passwort bis zum Konto eines Domänen-Administrators.
Das Ergebnis ist ein Bericht mit bewerteten Befunden und konkreten Maßnahmen. Wie sich Scan und Pentest unterscheiden und wie Sie beide kombinieren, lesen Sie im Vergleich Schwachstellenscan oder Penetrationstest.
Welche Arten von Penetrationstests gibt es?
Zwei Fragen bestimmen die Testart: Wie viel weiß der Tester vorab, und von wo greift er an? Nach dem Vorwissen unterscheidet man drei Varianten:
- Black Box: Der Tester erhält nur den Firmennamen oder eine Liste von Adressen, wie ein externer Angreifer. Das ist realistisch, aber ein Teil des Budgets fließt in die Aufklärung.
- Grey Box: Der Tester erhält zum Beispiel ein normales Benutzerkonto und eine Netzübersicht. In der Praxis ist das der häufigste Kompromiss aus Realismus und Prüftiefe.
- White Box: Der Tester kennt Konfigurationen, Architektur und teilweise den Quellcode. Das ist am gründlichsten, vor allem für eigene Software.
Nach dem Prüfgegenstand unterscheidet man diese Testarten:
| Testart | Was geprüft wird | Typische Frage |
|---|---|---|
| Externer Pentest | Aus dem Internet erreichbare Systeme: Firewall, VPN, Mailserver, Webseiten, Fernwartung | Kommt ein Angreifer von außen ins Netz? |
| Interner Pentest | Clients, Server, Active Directory und Netzsegmente, oft als „Assumed Breach“ mit einem übernommenen Arbeitsplatz | Wie weit kommt ein Angreifer, der bereits im Netz ist? |
| Webanwendung und API | Kundenportale, Shops und Schnittstellen, Rollen und Rechte, nach dem OWASP Web Security Testing Guide | Sieht ein Kunde die Daten anderer Kunden? |
| WLAN | Verschlüsselung, Anmeldung per 802.1X, Gäste-WLAN, Trennung der Netze, fremde Access Points | Erreicht ein Gast das interne Netz? |
| Social Engineering | Phishing-Kampagnen, Anrufe, Zutrittsversuche | Wie reagieren Mitarbeitende auf eine gezielte Täuschung? |
Beim WLAN-Test zeigt sich oft, ob Gäste und Firma wirklich getrennt sind. Wie eine saubere Trennung aussieht, beschreibt der Ratgeber zum Gäste-WLAN im Unternehmen.
Wie läuft ein Penetrationstest ab?
Bei seriösen Anbietern ist der Ablauf weitgehend gleich. Das BSI beschreibt Vorbereitung, Test und Bericht in seinem Praxis-Leitfaden für IS-Penetrationstests (Version 1.2 von 2016, in den Grundzügen weiter gültig). Internationale Methoden wie PTES oder der OWASP Web Security Testing Guide gehen ähnlich vor.
- Scoping: Gemeinsam legen Sie Ziele, Prüfgegenstände, IP-Bereiche, Anwendungen und Testart fest. Hier entscheidet sich, ob der Test die richtigen Fragen beantwortet und was er kostet.
- Rules of Engagement und schriftliche Beauftragung: Zeitfenster, erlaubte und verbotene Techniken (etwa Lasttests oder Eingriffe in Produktionsdaten), Notfallkontakte auf beiden Seiten, Abbruchkriterien und der Umgang mit gefundenen Daten. Gemietete Server, Hosting und Cloud-Dienste haben zusätzlich eigene Testregeln des Anbieters.
- Aufklärung: Die Tester sammeln öffentliche Informationen, DNS-Einträge, Zertifikate, offene Ports und eingesetzte Versionen.
- Schwachstellenanalyse und Ausnutzung: Werkzeuge liefern Hinweise, die Tester von Hand prüfen. Sie verketten Lücken und versuchen, Rechte auszuweiten. Kritische Funde melden sie sofort, nicht erst im Bericht.
- Bericht und Abschlussgespräch: Befunde werden bewertet, dokumentiert und mit IT und Geschäftsleitung besprochen.
- Retest: Nach der Behebung prüft der Tester gezielt, ob die Maßnahmen wirken.
Die schriftliche Freigabe ist keine Formalie. Unbefugtes Eindringen in fremde Systeme kann nach den §§ 202a ff. StGB strafbar sein, die Erlaubnis muss deshalb vom Berechtigten kommen. Sind personenbezogene Daten betroffen, verlangt der BSI-Leitfaden, den Datenschutzbeauftragten und gegebenenfalls Betriebsrat oder Personalrat vor dem Test einzubeziehen. Bei Phishing-Kampagnen ist das praktisch immer der Fall.
Was gehört in einen guten Pentest-Bericht?
Der Bericht ist das eigentliche Produkt des Tests. Achten Sie schon bei der Auswahl darauf, dass ein Musterbericht diese Punkte enthält:
- Management Summary: Ein bis zwei Seiten für die Geschäftsleitung mit Gesamtlage, den wichtigsten Risiken in geschäftlichen Worten und klaren Prioritäten.
- Umfang und Methodik: Was wurde wann, von wo und mit welchen Zugängen geprüft, und was ausdrücklich nicht.
- Bewertung nach CVSS: Jeder Befund mit Wert und Vektor nach dem Common Vulnerability Scoring System von FIRST. Aktuell ist Version 4.0 von 2023, viele Berichte arbeiten noch mit 3.1. In beiden Versionen gelten 9,0 bis 10,0 als kritisch und 7,0 bis 8,9 als hoch. Dazu gehört eine Einschätzung im Kontext Ihres Unternehmens.
- Reproduzierbare Befunde: Betroffene Systeme, Nachweis Schritt für Schritt, Screenshots oder Anfragen. So kann Ihre IT den Fund nachvollziehen und nach der Behebung selbst prüfen.
- Konkrete Maßnahmen: Nicht „System härten“, sondern welche Einstellung, welches Update, welche Regel.
- Angriffspfade: Wie einzelne mittlere Befunde zusammen einen kritischen Weg ergeben.
Warnzeichen sind unkommentierte Scanner-Ausgaben, Hunderte Seiten mit rein informativen Befunden oder fehlende Nachweise. Dann haben Sie einen Schwachstellenscan zum Preis eines Pentests gekauft.
Was kostet ein Penetrationstest?
Pentests werden fast immer nach Personentagen kalkuliert: Aufwand mal Tagessatz. Die Spannen in der Tabelle enthalten Vorbereitung und Bericht, der Retest wird meist getrennt abgerechnet. Alle Angaben sind Richtwerte am Markt, netto, Stand November 2026, kein Angebot.
| Prüfgegenstand | Typischer Aufwand | Richtwert am Markt |
|---|---|---|
| Tagessatz qualifizierter Pentester | 1 Personentag | 1.000 bis 1.800 Euro |
| Externer Pentest (Perimeter, bis etwa 20 öffentliche Dienste) | 3 bis 8 Personentage | 3.000 bis 14.000 Euro |
| Interner Pentest mit Active Directory (bis etwa 200 Systeme) | 5 bis 14 Personentage | 5.000 bis 25.000 Euro |
| Webanwendung klein bis mittel (wenige Rollen) | 3 bis 10 Personentage | 3.000 bis 18.000 Euro |
| Webanwendung komplex mit APIs und vielen Rollen | 12 bis 30 Personentage | 12.000 bis 54.000 Euro |
| WLAN an einem Standort | 2 bis 5 Personentage | 2.000 bis 9.000 Euro, zuzüglich Anfahrt |
| Social Engineering, z. B. Phishing-Kampagne | 2 bis 6 Personentage | 2.000 bis 11.000 Euro |
| Red Teaming (verdeckter, zielbasierter Angriff über mehrere Wochen) | 20 bis 60 Personentage und mehr | 20.000 bis 100.000 Euro und mehr |
| Retest der Befunde | 1 bis 3 Personentage | 1.000 bis 5.400 Euro |
Den Aufwand treiben vor allem die Zahl der Systeme und Adressen, die Zahl der Rollen und Funktionen einer Anwendung, die Testart (White Box spart Aufklärung, Black Box kostet sie), Anteile vor Ort, Tests außerhalb der Geschäftszeiten und der gewünschte Berichtsumfang. Spezialisten für einzelne Technologien, etwa SAP oder Industriesteuerungen, können beim Tagessatz auch darüber liegen.
Beispiel mit typischen Werten: Ein Unternehmen mit 150 Arbeitsplätzen und einem Standort lässt den Perimeter (3 Personentage), das interne Netz mit Active Directory (7 Personentage) und ein Kundenportal (5 Personentage) prüfen. Ein weiterer Tag entfällt auf die gemeinsame Management Summary und das Abschlussgespräch. Bei 16 Personentagen liegt das Projekt am Markt bei etwa 16.000 bis 29.000 Euro netto, der Retest kommt hinzu.
Penetrationstests rechnen wir nicht nach Stundensätzen ab, sondern nach Umfang des Tests. Nach dem Scoping erhalten Sie ein schriftliches Angebot für das vereinbarte Testpaket, bevor getestet wird.
Wie oft sollten Sie einen Penetrationstest durchführen?
Eine feste gesetzliche Frist für alle Unternehmen gibt es nicht. In der Praxis bewährt sich dieser Rhythmus:
- jährlich für extern erreichbare Systeme und zentrale Anwendungen,
- nach wesentlichen Änderungen, etwa einer neuen Firewall, einem neuen Fernzugriff oder einer Migration des Active Directory, und vor dem Livegang eigener Software,
- nach einem Sicherheitsvorfall, um zu prüfen, ob alle Wege des Angreifers geschlossen sind.
Der BSI-Leitfaden empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre. Das ist eine Untergrenze, Branchenregeln sind strenger. Der Kartenzahlungsstandard PCI DSS fordert Pentests alle zwölf Monate und nach wesentlichen Änderungen. Die EU-Verordnung DORA verlangt von Finanzunternehmen, außer Kleinstunternehmen, mindestens jährlich geeignete Tests aller IKT-Systeme, die kritische oder wichtige Funktionen unterstützen (Art. 24 Abs. 6 DORA). ISO/IEC 27001 fordert in Anhang A 8.8 ein Management technischer Schwachstellen, einen festen Pentest-Rhythmus nennt die Norm nicht.
Weder die NIS2-Richtlinie noch das BSI-Gesetz schreiben einen Pentest vor. § 30 Abs. 2 Nr. 6 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen aber Konzepte und Verfahren, mit denen sie die Wirksamkeit ihrer Risikomanagementmaßnahmen bewerten. Ein Pentest ist dafür der direkteste Nachweis. Für bestimmte digitale Anbieter, etwa Managed Service Provider und Rechenzentrumsbetreiber, verlangt die Durchführungsverordnung (EU) 2024/2690 im Anhang (Nr. 6.5) ein Konzept und Verfahren für Sicherheitsprüfungen, ihre Erwägungsgründe nennen Penetrationstests ausdrücklich. Welche Maßnahmen NIS2 insgesamt verlangt, zeigt unser Beitrag zu den NIS2-Risikomanagementmaßnahmen. Dieser Artikel ersetzt keine Rechtsberatung.
Typische Fehler bei der Beauftragung
- Der Umfang ist zu klein: Geprüft wird nur die Webseite, Fernzugriff und Mailserver bleiben außen vor.
- Der Preis zählt mehr als die Prüftiefe. Sehr günstige Angebote sind oft automatisierte Scans mit Pentest-Etikett. Fragen Sie nach Methodik, Musterbericht und Qualifikation der Tester, etwa OSCP, CREST oder die Personenzertifizierung des BSI als IS-Penetrationstester.
- Während des Tests ist niemand erreichbar. Wird ein kritischer Fund entdeckt oder reagiert ein System empfindlich, muss jemand entscheiden können.
- Produktionsrisiken werden übersehen. Ältere Systeme, Maschinensteuerungen und Telefonanlagen reagieren empfindlich auf Scans. In Produktionsnetzen gelten eigene Regeln, siehe OT-Sicherheit in der Produktion.
- Der Bericht bleibt folgenlos. Ohne verantwortliche Person, Fristen und Retest bleiben Befunde liegen.
Wie Unite2Link Sie beim Penetrationstest unterstützt
Unser Team führt Penetrationstests selbst durch. Wir beginnen mit einem Scoping-Gespräch, legen Umfang und Regeln schriftlich fest und besprechen den Bericht mit IT und Geschäftsleitung, bei Ihnen vor Ort und online. Weil wir Netzwerke, Firewalls und Fernzugriffe auch planen und betreiben, schreiben wir Maßnahmen so, dass Ihre IT sie umsetzen kann. Auf Wunsch übernehmen wir die Umsetzung und den Retest. Mehr zu unseren Leistungen in der Cybersicherheit.