Penetration Testing
Penetration Testing
Proaktive Sicherheitsüberprüfung durch simulierte Cyberangriffe. Erfahren Sie alles über Ethical Hacking, die PTES-Phasen, wichtige Tools und die rechtlichen Grundlagen.
Inhaltsverzeichnis
Schnellübersicht
Auf dieser Seite lernen Sie alles über Penetration Testing im Enterprise-Umfeld:
- Definition: Was ist ein Penetrationstest und warum ist er wichtig?
- Testmethoden: Black Box, White Box, Grey Box
- PTES-Standard: Die 7 Phasen eines professionellen Tests
- Tools: Nmap, Metasploit, Burp Suite, Wireshark & mehr
- Rechtliches: Strafbarkeit, Auftragsverhältnis, DSGVO
- Reporting: Wie wird ein Test dokumentiert?
- FAQ: Häufige Fragen zu Ethical Hacking
1. Was ist Penetration Testing?
Definition
Ein Penetrationstest (Pentest) ist eine autorisierte, simulierte Cyberattacke auf ein Computersystem, Netzwerk oder eine Webanwendung, um Sicherheitslücken zu identifizieren, die von Angreifern ausgenutzt werden könnten. Im Gegensatz zu automatisierten Vulnerability Scans wird ein Pentest meist manuell von zertifizierten Sicherheitsexperten (Ethical Hackern) durchgeführt.
Das Ziel ist nicht nur das Finden von Fehlern, sondern auch die Bewertung der Auswirkungen einer erfolgreichen Kompromittierung und die Empfehlung konkreter Gegenmaßnahmen zur Härtung der Infrastruktur.
Wichtig: Ein Penetrationstest darf nur mit schriftlicher Genehmigung des Eigentümers des Systems durchgeführt werden. Unautorisierte Tests sind strafbar (§ 202a ff. StGB in Deutschland).
Warum sind Pentests wichtig?
- Proaktiver Schutz: Schwachstellen finden, bevor es Hacker tun
- Compliance: Erfüllung von Vorgaben wie ISO 27001, PCI-DSS, GDPR/DSGVO
- Risikobewertung: Verstehen, welche Daten wirklich gefährdet sind
- Vertrauen: Kunden und Partner vertrauen geprüften Systemen mehr
- Kostenersparnis: Prävention ist günstiger als die Behebung nach einem Hack
2. Testmethoden: Black, White & Grey Box
Je nach Wissensstand des Testers über das Zielsystem unterscheidet man drei Hauptansätze.
Black Box
Der Tester hat keine Informationen über das Zielsystem. Er agiert wie ein externer Angreifer, der von außen eindringen will.
- Realistischstes Szenario für externe Angriffe
- Testet auch menschliche Faktoren (Social Engineering)
- Sehr zeitaufwändig
- Tiefe Schwachstellen können übersehen werden
White Box
Der Tester hat vollständigen Zugriff auf Quellcode, Architekturdiagramme, Admin-Accounts und Dokumentation.
- Sehr gründlich und effizient
- Findet auch komplexe logische Fehler
- Geringerer Zeitaufwand für Reconnaissance
- Weniger realistisch für externe Angreifer
Grey Box
Ein Kompromiss: Der Tester hat einige Informationen (z.B. Benutzeraccount, Netzwerkplan), aber keinen vollen Admin-Zugriff.
- Gute Balance aus Realismus und Tiefe
- Simuliert Insider-Bedrohungen oder kompromittierte Accounts
- Effizienter als Black Box
- Häufigste Methode in der Praxis
3. Der PTES-Standard (7 Phasen)
Professionelle Penetrationstests folgen oft dem Penetration Testing Execution Standard (PTES), der den Prozess in sieben klare Phasen unterteilt.
1. Pre-Engagement Interactions
Planung und Vereinbarung. Festlegung des Scope (was darf getestet werden?), Ziele, Zeitrahmen, Regeln of Engagement (RoE) und rechtliche Absicherung (Vertrag).
2. Intelligence Gathering (Reconnaissance)
Passive und aktive Informationsbeschaffung über das Ziel. Dazu gehören OSINT (Open Source Intelligence), DNS-Lookups, Social Media Analyse und Netzwerk-Scans.
3. Threat Modeling
Identifizierung potenzieller Bedrohungen und Schwachstellen basierend auf den gesammelten Daten. Welche Angriffsvektoren sind wahrscheinlich?
4. Vulnerability Analysis
Detaillierte Analyse der identifizierten Schwachstellen. Unterscheidung zwischen echten Lücken und False Positives. Priorisierung nach Risiko.
5. Exploitation
Der eigentliche "Hack". Versuch, die Schwachstellen auszunutzen, um Zugang zum System zu erhalten. Dies geschieht kontrolliert und dokumentiert.
6. Post-Exploitation
Wie weit kommt der Angreifer? Versuch der Rechteausweitung (Privilege Escalation), lateral Movement im Netzwerk und Identifizierung kritischer Daten ("Crown Jewels").
7. Reporting
Dokumentation aller findings. Ein guter Bericht enthält eine Management Summary (für die Geschäftsführung) und einen technischen Teil (für die IT-Abteilung) mit konkreten Handlungsempfehlungen.
4. Wichtige Pentesting-Tools
Die meisten Tools sind in der Linux-Distribution Kali Linux oder Parrot OS vorinstalliert.
Nmap
Der Standard für Netzwerk-Scans. Erkennt offene Ports, Dienste, Betriebssysteme und Versionen.
nmap.orgMetasploit Framework
Umfangreiche Plattform für die Entwicklung und Ausführung von Exploits gegen Zielsysteme.
metasploit.comBurp Suite
Führendes Tool für Web Application Security Testing. Proxy, Scanner, Intruder und Repeater.
portswigger.netWireshark
Netzwerk-Protokoll-Analysator. Zeigt den kompletten Datenverkehr im Detail an (Packet Sniffing).
wireshark.orgJohn the Ripper / Hashcat
Tools zum Knacken von Passwort-Hashes durch Brute-Force, Dictionary- oder Rainbow-Table-Angriffe.
openwall.comAircrack-ng
Suite von Tools zur Bewertung von WLAN-Sicherheit. Monitoring, Angriffe, Testing und Cracking.
aircrack-ng.org5. Rechtliche Grundlagen
Achtung: Straftatbestand!
Unautorisiertes Eindringen in fremde Systeme ist in Deutschland (und den meisten anderen Ländern) strafbar.
- § 202a StGB (Ausspähen von Daten): Unbefugtes Verschaffen von Zugang zu Daten.
- § 202b StGB (Abfangen von Daten): Unbefugtes Abfangen von Daten aus nicht-öffentlicher Übertragung.
- § 202c StGB (Vorbereiten des Ausspähens): Schon das Bereithalten von Hacking-Tools kann strafbar sein, wenn die Absicht zur Tat besteht.
- § 303a StGB (Datenveränderung): Löschen, Unterdrücken oder Unbrauchbarmachen von Daten.
Lösung: Immer einen schriftlichen Pentest-Vertrag mit klar definiertem Scope und "Get Out of Jail Free Card" (Autorisierungsschreiben) haben.
Wichtige Vertragsbestandteile
- Scope: Welche IPs, Domains, Anwendungen dürfen getestet werden?
- Ausschlüsse: Was ist verboten (z.B. DoS-Angriffe, Social Engineering gegen Mitarbeiter)?
- Zeitfenster: Wann darf getestet werden (nur nachts, am Wochenende)?
- Kontaktwege: Wer ist im Notfall (Systemabsturz) zu informieren?
- Vertraulichkeit: NDA (Non-Disclosure Agreement) zum Schutz der Ergebnisse.
6. Reporting & Nachbereitung
Das wertvollste Ergebnis eines Pentests ist der Bericht. Er muss verständlich, nachvollziehbar und handlungsorientiert sein.
Management Summary
Nicht-technische Zusammenfassung für die Geschäftsführung. Fokus auf Geschäftsrisiken und Kosten.
Technische Details
Detaillierte Beschreibung jeder Schwachstelle: CVSS-Score, Beweisfotos (Screenshots), Reproduktionsschritte.
Empfehlungen
Konkrete Maßnahmen zur Behebung (Patches, Konfigurationsänderungen, Code-Fixes).
Retest
Überprüfung, ob die gefundenen Lücken nach der Behebung tatsächlich geschlossen wurden.
7. FAQ – Häufige Fragen
Häufige Fragen zu Penetration Testing
Vulnerability Scan: Automatisierter Prozess, der bekannte Schwachstellen (CVEs) anhand einer Datenbank prüft. Schnell, günstig, aber oberflächlich. Viele False Positives.
Penetration Test: Manuelle, tiefgehende Untersuchung durch Experten. Versucht aktiv, die Lücken auszunutzen (Exploitation). Teurer, zeitaufwändiger, aber liefert echte Beweise für das Risiko.
Empfehlung:
- Mindestens einmal jährlich für kritische Systeme.
- Nach größeren Änderungen an der Infrastruktur oder Anwendung.
- Bei neuen Compliance-Anforderungen (z.B. ISO 27001 Zertifizierung).
- Kontinuierlich: Durch Bug Bounty Programme oder interne Red Teams.
Red Team: Die Angreifer. Simulieren reale Gegner mit fortgeschrittenen Taktiken (APT). Ziel ist es, die Verteidigung zu testen.
Blue Team: Die Verteidiger. Zuständig für die Überwachung (SOC), Incident Response und Härtung der Systeme.
Purple Teaming: Zusammenarbeit beider Teams, um die Erkennungsfähigkeiten des Blue Teams zu verbessern.
Ja, das ist ein Restrisiko. Daher ist die Planungsphase (Pre-Engagement) so wichtig. Professionelle Tester arbeiten vorsichtig und vermeiden destruktive Methoden (wie DoS), es sei denn, dies ist explizit gewünscht. Backups sollten vor dem Test immer aktuell sein.
Die Kosten variieren stark je nach Umfang:
- Kleine Webanwendung: 2.000 € - 5.000 €
- Mittelständisches Netzwerk: 5.000 € - 15.000 €
- Große Enterprise-Infrastruktur: 20.000 € - 100.000+ €
Es lohnt sich, auf Zertifizierungen der Anbieter (OSCP, CRE, GPEN) zu achten.
Die OWASP Top 10 ist eine standardisierte Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen (z.B. Injection, Broken Authentication, XSS). Sie dient als Checkliste für Pentester und Entwickler.
Zusammenfassung
Die wichtigsten Punkte
- Definition: Autorisierte Simulation von Cyberangriffen zur Schwachstellenfindung.
- Methoden: Black Box (kein Wissen), White Box (volles Wissen), Grey Box (teilweise).
- PTES: 7 Phasen von der Planung bis zum Reporting.
- Tools: Nmap, Metasploit, Burp Suite, Wireshark sind Industriestandards.
- Rechtliches: Nur mit schriftlichem Vertrag und Scope! Sonst strafbar.
- Reporting: Management Summary + Technische Details + Empfehlungen.
- Unterschied: Pentest > Vulnerability Scan (tiefer, manueller, teurer).
Nächste Schritte
Interessiert an praktischer Übung? Richten Sie eine eigene Lab-Umgebung mit Kali Linux und vulnerablen VMs (z.B. Metasploitable, DVWA) ein, um legal zu üben!
Weiterführende Themen
Firewalls, IDS/IPS und sichere Netzwerkarchitekturen.
Zur NetzwerksicherheitVerschlüsselung, Hashing und digitale Signaturen verstehen.
Zur KryptographieWas tun, wenn der Ernstfall eintritt? Reaktion auf Sicherheitsvorfälle.
Zu Incident ResponseDSGVO, ISO 27001 und andere regulatorische Anforderungen.
Zu Compliance