Penetrationstest beauftragen: Scope, Anbieter und Ergebnisse richtig nutzen

TL;DR

Der Scope ist die wichtigste Entscheidung: Ein zu weiter Scope liefert oberflächliche Ergebnisse, ein zu enger Scope übersieht kritische Bereiche.
Wähle den Anbieter nicht nach dem niedrigsten Preis, sondern nach Zertifizierungen (OSCP, CREST, BSI), Referenzen und der Qualität eines Beispielberichts.
Ein guter Pentest-Bericht enthält nicht nur technische Findings, sondern eine Risikobewertung im Geschäftskontext und priorisierte Handlungsempfehlungen.
Die Findings im Bericht zu lesen und abzulegen ist verschwendetes Geld. Der Mehrwert entsteht erst durch die systematische Behebung und den Retest.
Plane Pentests als wiederkehrenden Prozess ein, nicht als einmaliges Projekt. Mindestens jährlich für die kritische Infrastruktur, nach größeren Änderungen und vor Zertifizierungsaudits.

Was ein Penetrationstest ist und was nicht

Ein Penetrationstest ist der kontrollierte Versuch, in die Systeme deines Unternehmens einzudringen, mit deiner Erlaubnis und durch qualifizierte Spezialisten. Das Ziel ist nicht, Schaden anzurichten, sondern Schwachstellen zu identifizieren, die ein echter Angreifer ausnutzen könnte.

Dabei ist es wichtig, einen Pentest von verwandten, aber verschiedenen Methoden abzugrenzen:

Schwachstellenscan (Vulnerability Scan): Ein automatisierter Scan, der bekannte Schwachstellen in Systemen identifiziert. Schnell, günstig, aber oberflächlich. Ein Scanner findet, dass ein Server eine veraltete Software-Version nutzt, aber er prüft nicht, ob die Schwachstelle tatsächlich ausnutzbar ist.

Penetrationstest: Geht deutlich weiter. Ein Pentester nutzt automatisierte Tools und manuelle Techniken, um Schwachstellen zu finden und auszunutzen. Er verkettet mehrere Schwachstellen, um zu zeigen, dass ein Angreifer vom Internetzugang bis zur Domain-Admin-Berechtigung vordringen kann. Das Ergebnis ist ein realistisches Bild der Angriffsfähigkeit.

Red Teaming: Die Königsdisziplin. Ein Red Team simuliert einen realen Angriff über einen längeren Zeitraum (Wochen bis Monate), nutzt alle verfügbaren Angriffsvektoren (technisch, physisch, Social Engineering) und testet nicht nur die technische Sicherheit, sondern auch die Erkennungs- und Reaktionsfähigkeit. Deutlich aufwendiger und teurer als ein Pentest.

Für die meisten mittelständischen Unternehmen ist ein Penetrationstest die richtige Wahl: umfassender als ein Schwachstellenscan, aber mit überschaubarem Aufwand und Budget.

Schritt 1: Den Scope definieren

Warum der Scope alles bestimmt

Der Scope legt fest, was getestet wird, wie tief getestet wird und welche Methoden erlaubt sind. Ein schlecht definierter Scope ist der häufigste Grund für unbefriedigende Pentest-Ergebnisse: Entweder ist der Scope so weit, dass der Pentester alles nur oberflächlich anreißt, oder so eng, dass kritische Bereiche gar nicht getestet werden.

Scope-Dimensionen

Was wird getestet?

Externes Netzwerk: Alle aus dem Internet erreichbaren Systeme und Dienste (Webserver, VPN-Gateway, E-Mail-Server, DNS). Der häufigste Einstiegspunkt für Angriffe.
Internes Netzwerk: Systeme im internen Netz. Setzt voraus, dass der Pentester einen Zugang zum internen Netz bekommt (physisch vor Ort, VPN oder simulierter Innentäter).
Webanwendungen: Spezifische Web-Applikationen (Kundenportal, Webshop, Intranet). Testet OWASP Top 10, Authentifizierung, Autorisierung, Eingabevalidierung.
Mobile Anwendungen: Firmen-Apps für iOS/Android. Testet die App selbst und die API-Kommunikation.
WLAN: Sicherheit des Firmen-WLANs, Gast-WLANs, Segmentierung.
Social Engineering: Phishing-Kampagnen, Telefonanrufe, physischer Zugang. Optional und getrennt vom technischen Pentest.

Wie wird getestet?

Black Box: Der Pentester hat keinerlei Vorinformationen über die Zielsysteme. Er agiert wie ein externer Angreifer, der das Unternehmen nur aus öffentlichen Quellen kennt. Am realistischsten, aber auch am zeitintensivsten.
Grey Box: Der Pentester bekommt eingeschränkte Informationen, z. B. IP-Adressbereiche, Netzwerkdiagramme oder Benutzerzugänge. Ein guter Kompromiss zwischen Realismus und Effizienz.
White Box: Der Pentester bekommt vollständigen Zugang zu Dokumentation, Quellcode, Konfigurationen und Architekturdokumenten. Am effizientesten, weil der Pentester keine Zeit mit Aufklärung verbringt, aber am wenigsten realistisch.

Was ist verboten?

Definiere explizit, was der Pentester nicht tun darf:

Denial-of-Service-Angriffe (könnten Produktivsysteme lahmlegen)
Zugriff auf bestimmte Systeme (z. B. produktive Datenbanken mit Kundendaten)
Social Engineering gegen bestimmte Personen (z. B. Geschäftsführung)
Tests außerhalb definierter Zeitfenster (z. B. nicht während der Hauptgeschäftszeiten)
Physischer Zugang zu bestimmten Bereichen

Scope-Empfehlung für den ersten Pentest

Wenn du zum ersten Mal einen Pentest beauftragst, empfehle ich einen zweigeteilten Ansatz:

Externer Netzwerk-Pentest: Teste alle aus dem Internet erreichbaren Systeme. Das ist der Bereich, den ein Angreifer als Erstes sieht, und hier liegen oft die kritischsten Schwachstellen.
Webanwendungs-Pentest für die ein bis zwei wichtigsten Webanwendungen (Kundenportal, Webshop). Webanwendungen sind ein häufiger Angriffsvektor und erfordern spezialisierte Tests.

Den internen Netzwerk-Pentest kannst du in einem zweiten Schritt planen, wenn die externen Schwachstellen behoben sind.

Schritt 2: Den richtigen Anbieter finden

Qualifikationen und Zertifizierungen

Die Pentest-Branche hat keine einheitliche Regulierung, was bedeutet, dass die Qualität zwischen Anbietern stark variiert. Achte auf folgende Qualifikationen:

Individuelle Zertifizierungen der Pentester:

OSCP (Offensive Security Certified Professional): Der De-facto-Standard für technische Pentest-Kompetenz. Erfordert den Nachweis praktischer Fähigkeiten in einer 24-Stunden-Prüfung.
OSCE/OSWE/OSEP: Weiterführende Offensive-Security-Zertifizierungen für Spezialbereiche.
CREST CRT/CCT: Britischer Standard, international anerkannt.
CEH (Certified Ethical Hacker): Einstiegszertifizierung, weniger praxisorientiert als OSCP.

Unternehmenszertifizierungen:

BSI-Anerkennung: Das BSI führt eine Liste anerkannter IT-Sicherheitsdienstleister. Eine Anerkennung als Penetrationstest-Dienstleister durch das BSI ist ein starkes Qualitätsmerkmal.
CREST-Akkreditierung: Internationale Akkreditierung für Pentest-Unternehmen.
ISO 27001 des Anbieters: Zeigt, dass der Anbieter selbst Informationssicherheit ernst nimmt.

Angebote vergleichen

Hole mindestens drei Angebote ein und vergleiche sie anhand folgender Kriterien:

Verständnis des Scope: Hat der Anbieter den Scope verstanden und Rückfragen gestellt? Ein Anbieter, der ein Angebot abgibt, ohne den Scope zu hinterfragen, hat entweder wenig Erfahrung oder wenig Interesse an einem qualitativ hochwertigen Ergebnis.

Anzahl der Pentester und Testtage: Wie viele Personen werden wie lange testen? Ein externer Netzwerk-Pentest für ein mittelständisches Unternehmen sollte mindestens fünf Testtage umfassen. Ein Webanwendungs-Pentest für eine komplexe Anwendung mindestens fünf bis zehn Tage.

Methodik: Welche Methodik wird verwendet? Etablierte Frameworks sind OWASP Testing Guide (für Webanwendungen), PTES (Penetration Testing Execution Standard) und BSI-Praxis-Leitfaden für IS-Penetrationstests.

Beispielbericht: Fordere einen anonymisierten Beispielbericht an. Die Qualität des Berichts ist das wichtigste Differenzierungsmerkmal. Ein guter Bericht enthält eine Management Summary, eine Risikobewertung im Geschäftskontext, detaillierte technische Beschreibungen der Findings mit Nachweisen (Screenshots, Logs) und priorisierte Handlungsempfehlungen.

Retest: Bietet der Anbieter einen Retest an, bei dem nach der Behebung der Findings geprüft wird, ob die Schwachstellen tatsächlich geschlossen sind? Ein Retest ist essenziell und sollte im Angebot enthalten oder als Option verfügbar sein.

Preisrahmen

Pentest-Preise variieren stark, aber als Richtwert für den deutschen Markt:

Externer Netzwerk-Pentest (mittelständisches Unternehmen, 5-10 Testtage): 8.000 bis 20.000 Euro
Webanwendungs-Pentest (eine Anwendung, 5-10 Testtage): 8.000 bis 25.000 Euro
Interner Netzwerk-Pentest (5-10 Testtage, inkl. Anreise): 10.000 bis 25.000 Euro
WLAN-Pentest (2-3 Testtage, vor Ort): 4.000 bis 8.000 Euro

Wenn ein Anbieter deutlich unter diesen Werten liegt, solltest du hinterfragen, wie viel manuelle Arbeit tatsächlich geleistet wird. Ein Pentest, der im Wesentlichen aus einem automatisierten Schwachstellenscan mit angehängtem Bericht besteht, ist kein Pentest.

Schritt 3: Den Pentest vorbereiten

Vertragliche Grundlagen

Bevor der Pentest beginnt, müssen die vertraglichen Grundlagen stehen:

Autorisierungsschreiben (Permission to Test): Ein formales Schreiben der Geschäftsführung, das den Pentest autorisiert und den Scope definiert. Ohne dieses Dokument handelt der Pentester potenziell illegal, unabhängig von der vertraglichen Vereinbarung.

Geheimhaltungsvereinbarung (NDA): Der Anbieter verpflichtet sich zur Vertraulichkeit der Ergebnisse und aller Informationen, die er während des Tests erlangt.

Scope-Dokument: Detaillierte Beschreibung des Testumfangs: IP-Adressen, URLs, Testzeitraum, Testmethoden, Ausschlüsse, Ansprechpartner, Eskalationswege.

Haftungsregelung: Was passiert, wenn der Pentest unbeabsichtigt Schäden verursacht (z. B. einen Server zum Absturz bringt)? Die meisten Pentester haben eine Berufshaftpflichtversicherung, aber die Haftungsfrage sollte vertraglich geregelt sein.

Interne Vorbereitung

Ansprechpartner benennen: Definiere einen primären Ansprechpartner für den Pentester. Diese Person muss während des Testzeitraums erreichbar sein und Entscheidungen treffen können (z. B. "Der Scanner hat eine kritische Schwachstelle gefunden und der Exploitversuch könnte den Server beeinträchtigen. Soll ich fortfahren?").

IT-Team informieren: Informiere das IT-Team über den Pentest. Definiere, ob der Pentest verdeckt oder offen stattfindet. Bei einem verdeckten Test weiß das IT-Team nicht, wann der Test stattfindet, und die Erkennungs- und Reaktionsfähigkeit wird mitgetestet. Bei einem offenen Test weiß das Team Bescheid und kann ungewöhnliche Aktivitäten einordnen.

Backups prüfen: Stelle sicher, dass aktuelle Backups aller im Scope befindlichen Systeme existieren. Für den unwahrscheinlichen, aber möglichen Fall, dass der Pentest ein System beeinträchtigt.

Monitoring anpassen: Wenn du ein IDS/IPS oder SIEM betreibst, entscheide, ob die IP-Adressen des Pentesters auf eine Whitelist gesetzt werden (offener Test) oder ob die Erkennung aktiv bleibt (verdeckter Test).

Schritt 4: Den Pentest-Bericht lesen und verstehen

Aufbau eines guten Berichts

Ein professioneller Pentest-Bericht besteht typischerweise aus folgenden Abschnitten:

Management Summary (1-2 Seiten): Eine nicht-technische Zusammenfassung der Ergebnisse, gerichtet an die Geschäftsführung. Gesamtbewertung der Sicherheitslage, Anzahl und Schwere der Findings, die drei bis fünf kritischsten Risiken und eine Gesamteinschätzung.

Methodik: Beschreibung der verwendeten Methoden, Tools und des zeitlichen Ablaufs.

Findings: Das Herzstück des Berichts. Jedes Finding enthält:

Titel und Kennung
Schweregrad (Kritisch / Hoch / Mittel / Niedrig / Informationell)
Beschreibung der Schwachstelle
Nachweis (Proof of Concept): Screenshots, Logs, die zeigen, dass die Schwachstelle tatsächlich ausnutzbar ist
Auswirkung: Was ein Angreifer mit dieser Schwachstelle erreichen kann
Empfohlene Behebung: Konkrete, umsetzbare Maßnahmen
Referenzen: CVE-Nummern, OWASP-Kategorien, CWE-Klassifizierung

Positive Findings: Was gut funktioniert. Dieser Abschnitt fehlt leider in vielen Berichten, ist aber wertvoll, weil er zeigt, wo das Unternehmen bereits gut aufgestellt ist.

Den Schweregrad einordnen

Die Schweregrad-Bewertung im Pentest-Bericht basiert in der Regel auf technischen Kriterien (CVSS-Score oder ein vergleichbares System). Diese Bewertung ist wichtig, aber sie bildet nicht das Geschäftsrisiko ab. Eine technisch kritische Schwachstelle auf einem Testsystem hat eine andere Geschäftsrelevanz als dieselbe Schwachstelle auf dem ERP-System.

Übertrage die technischen Findings in deinen ISMS-Risikokontext: Bewerte jedes Finding nach Eintrittswahrscheinlichkeit (wie schwer ist die Ausnutzung? wie exponiert ist das System?) und Geschäftsauswirkung (welche Daten, Prozesse oder Systeme sind betroffen?). Diese Bewertung liefert die Grundlage für die Priorisierung der Behebung.

Schritt 5: Ergebnisse umsetzen

Priorisierung der Findings

Nicht alle Findings müssen sofort behoben werden. Priorisiere nach der Kombination aus Schweregrad und Umsetzbarkeit:

Sofort (innerhalb einer Woche): Kritische und hohe Findings, die aus dem Internet ausnutzbar sind und zu einer Kompromittierung führen können. Beispiel: SQL-Injection im Kundenportal, ungeschützter Admin-Zugang.

Kurzfristig (innerhalb eines Monats): Hohe und mittlere Findings, die in Kombination mit anderen Schwachstellen ausnutzbar sind. Beispiel: Fehlende Netzwerksegmentierung, veraltete Software-Versionen mit bekannten Exploits.

Mittelfristig (innerhalb von drei Monaten): Mittlere und niedrige Findings, die eine Verbesserung der Sicherheitslage darstellen, aber kein akutes Risiko sind. Beispiel: Fehlende Security-Header auf Webseiten, informationelle Findings.

Risiko akzeptiert: Findings, die nach bewusster Risikobewertung akzeptiert werden, weil die Behebung unverhältnismäßig aufwendig ist oder das Restrisiko tragbar ist. Diese Entscheidung muss dokumentiert und vom Risikoeigner genehmigt werden.

Maßnahmenplan erstellen

Für jedes Finding, das behoben werden soll, erstellst du eine Maßnahme mit:

Beschreibung der Maßnahme (Was genau wird getan?)
Verantwortlicher (Wer setzt die Maßnahme um?)
Frist (Bis wann muss die Maßnahme umgesetzt sein?)
Verifikation (Wie wird geprüft, ob die Maßnahme wirksam ist?)

Retest beauftragen

Nach der Behebung der kritischen und hohen Findings sollte ein Retest stattfinden. Der Pentester prüft gezielt, ob die gemeldeten Schwachstellen tatsächlich geschlossen sind. Ein Retest ist in der Regel deutlich günstiger als der initiale Test, weil der Scope auf die bekannten Findings beschränkt ist.

Der Retest liefert dir einen Nachweis, dass die Schwachstellen behoben sind, den du im ISMS dokumentieren und bei Audits vorlegen kannst.

Pentest als wiederkehrender Prozess

Frequenz

Ein einzelner Pentest ist eine Momentaufnahme. Die Sicherheitslage ändert sich kontinuierlich: Neue Schwachstellen werden entdeckt, Systeme werden aktualisiert, neue Dienste gehen online. Deshalb sollten Pentests regelmäßig wiederholt werden:

Jährlich: Für die kritische Infrastruktur und die wichtigsten Webanwendungen.
Nach größeren Änderungen: Neues System, neue Webanwendung, Netzwerkumbau, Cloud-Migration.
Vor Zertifizierungsaudits: Ein aktueller Pentest-Bericht mit behobenen Findings hinterlässt einen positiven Eindruck beim Auditor.
Nach Sicherheitsvorfällen: Um sicherzustellen, dass die Einfallstore geschlossen und keine weiteren Schwachstellen vorhanden sind.

Pentest-Ergebnisse im ISMS

Die Pentest-Findings fließen in mehrere ISMS-Prozesse ein:

Risikobewertung: Kritische Findings werden als Risiken erfasst und bewertet. In ISMS Lite lassen sich Pentest-Findings direkt als Maßnahmen importieren und mit dem zugehörigen Risiko verknüpfen, inklusive Frist, Verantwortlichem und Retest-Status.
Maßnahmenverfolgung: Die Behebung wird als Maßnahme mit Verantwortlichem und Frist verfolgt.
Management Review: Die Geschäftsführung erhält eine Zusammenfassung der Ergebnisse und des Behebungsstands.
Internes Audit: Der Auditor prüft, ob Pentest-Findings systematisch bearbeitet werden.
Kontinuierliche Verbesserung: Wiederkehrende Schwachstellenmuster deuten auf systemische Probleme hin, die über die Einzelbehebung hinaus adressiert werden müssen.

Ein Penetrationstest ist eine Investition, die sich nur dann rentiert, wenn du die Ergebnisse konsequent umsetzt. Ein Bericht, der ungelesen in der Schublade liegt, ist verschwendetes Geld. Ein Bericht, dessen Findings systematisch behoben und nachverfolgt werden, ist eines der wirksamsten Instrumente zur Verbesserung deiner Sicherheitslage.

Weiterführende Artikel

Penetrationstest Pentest Schwachstellenmanagement Sicherheitsaudit ISMS ISO 27001 IT-Sicherheit