Was ist ein Pentest?

Ein Pentest, kurz für Penetrationstest, ist ein kontrollierter und ausdrücklich autorisierter Angriffsversuch auf die eigene IT-Infrastruktur. Eine Fachperson schlüpft dabei in die Rolle eines Angreifers und versucht, in Systeme einzudringen, Schwachstellen auszunutzen oder an sensible Daten zu gelangen — mit dem einzigen Ziel, diese Lücken zu dokumentieren und schließen zu lassen, bevor es jemand mit böswilliger Absicht tut.

Der entscheidende Unterschied zu einem echten Angriff: Der Auftrag, der Umfang und die Grenzen sind vorher schriftlich festgelegt. Der Auftraggeber weiß, dass getestet wird, und legt fest, welche Systeme betroffen sein dürfen.

Wie läuft ein Pentest ab?

Ein Pentest folgt in der Regel einem festen Ablauf:

Zieldefinition und Scope — Auftraggeber und Tester legen gemeinsam fest, welche Systeme, Anwendungen oder Netzwerkbereiche getestet werden und welche ausdrücklich tabu sind.
Informationsbeschaffung — Der Tester sammelt öffentlich verfügbare und technisch erreichbare Informationen über die Zielumgebung, ähnlich wie ein echter Angreifer es tun würde.
Schwachstellen suchen und ausnutzen — Gefundene Lücken werden nicht nur aufgelistet, sondern soweit vereinbart aktiv ausprobiert, um zu prüfen, ob sich daraus tatsächlich ein Zugriff ergibt.
Dokumentation und Bericht — Am Ende steht ein Bericht mit gefundenen Schwachstellen, deren Schweregrad und konkreten Empfehlungen zur Behebung.

Worauf KMU bei einem Pentest achten sollten

Scope realistisch wählen. Nicht jedes System muss getestet werden — die wichtigsten Angriffsflächen zuerst: externe Zugänge, Webanwendungen, VPN, E-Mail.
Schriftliche Freigabe vor Testbeginn. Ein Pentest ohne dokumentierte Autorisierung ist rechtlich riskant, auch wenn er gut gemeint ist.
Ergebnisse tatsächlich umsetzen. Ein Bericht, der in der Schublade landet, bringt keine Sicherheit — die gefundenen Punkte müssen priorisiert abgearbeitet werden.
Regelmäßigkeit statt Einmalaktion. IT-Umgebungen verändern sich laufend, ein einzelner Pentest ist eine Momentaufnahme.
Abgrenzung zum reinen Scan verstehen. Ein automatisierter Schwachstellenscan ist deutlich günstiger, ersetzt aber keinen echten Pentest, wenn es um die tatsächliche Ausnutzbarkeit von Lücken geht.

Pentest in der Praxis

Ein typisches Beispiel: Ein mittelständisches Unternehmen lässt vor der Einführung eines neuen Kundenportals einen Pentest der Webanwendung durchführen. Der Tester findet dabei eine Kombination aus einer schwach abgesicherten Login-Funktion und einer fehlerhaften Berechtigungsprüfung — einzeln betrachtet unauffällig, in Kombination aber ein Weg, an fremde Kundendaten zu gelangen. Weil der Fund vor dem Livegang gemacht wird, lässt sich die Lücke ohne Schaden schließen.

Ob ein vollständiger Pentest, ein gezielter Test einzelner Systeme oder zunächst ein Schwachstellenscan der passende Einstieg ist, hängt von der eigenen IT-Landschaft und dem Risiko ab. Bei IT-Sicherheit von LNIT ordnen wir das gemeinsam mit Ihnen ein und sorgen dafür, dass am Ende ein Ergebnis steht, das auch wirklich umgesetzt wird.

Häufige Fragen zu Pentest

Was ist der Unterschied zwischen einem Pentest und einem Schwachstellenscan?

Ein Schwachstellenscan läuft automatisiert und listet bekannte Sicherheitslücken anhand von Datenbanken auf. Ein Pentest geht einen Schritt weiter: Eine Fachperson versucht aktiv, gefundene Schwachstellen tatsächlich auszunutzen und zu kombinieren — so wie es ein echter Angreifer tun würde.

Wie oft sollte ein Unternehmen einen Pentest durchführen lassen?

Eine feste Regel gibt es nicht, üblich ist jedoch ein Rhythmus von ein bis zwei Jahren sowie zusätzlich nach größeren Veränderungen an der IT-Infrastruktur, etwa nach einem Umzug in die Cloud oder der Einführung neuer Systeme.

Ist ein Pentest auch für kleine Unternehmen sinnvoll?

Ja, in angepasstem Umfang. Ein vollständiger Pentest aller Systeme ist für ein kleines Unternehmen selten notwendig, ein gezielter Test der wichtigsten Angriffsflächen — etwa der externen Zugänge oder der wichtigsten Anwendung — liefert aber auch dort einen echten Erkenntnisgewinn.

Pentest — einfach erklärt