Was ist ein Penetrationstest? Erklärung und Ablauf

Gefahren durch mangelhafte IT-Sicherheit werden zu sehr unterschätzt. Obwohl effektive Präventivmaßnahmen vorgenommen werden können, entscheidet sich bloß eine Minderheit der Unternehmen diese zu veranlassen. Einer dieser Maßnahmen bildet der Penetrationstest (auch Pentest oder Penetration Testing) ab. Jedoch ist den meisten Entscheidern das Thema Pentest gänzlich unbekannt oder sie sind falsch beziehungsweise nicht ausreichend informiert. Lesen Sie einen kurzen Beitrag der Alter Solutions Deutschland GmbH, der Grundlegende Elemente eines Penetrationstests und die Aufgaben eines Pentesters sowie häufig gestellte Fragen verständlich erklärt.

Warum sollte man einen Penetrationstest durchführen? 

IT ist heute ein bedeutender Bestandteil eines jeden Unternehmens. Hiermit wächst jedoch auch die Anzahl kritischer sowie vertraulicher Daten, welche in IT-Systemen gespeichert sind, sowie die Abhängigkeit davon, dass die eingesetzten IT-Systeme auch funktionieren. Deshalb häufen sich zunehmend Angriffe auf die Unternehmens-IT in Form von Industriespionage, Störung der Verfügbarkeit von Systemen und sonstige Möglichkeiten, einem Unternehmen signifikant schaden zu können. Wichtige Firmeninformationen werden durch Sicherheitslücken und Cyber-Angriffen ausspioniert und an die Konkurrenz verkauft. Systemausfälle werden gezielt ausgelöst, da diesen immer schlechter entgegengewirkt werden kann. Ein Penetrationstest gibt Auskunft darüber, wie verwundbar Ihre IT-Systeme sind. Ein erfolgreicher Angriff auf Ihre Strukturen gibt Aufschluss und Handlungsempfehlungen, wie Sie Ihre IT-Sicherheit in Zukunft besser vor möglichen Hacker-Angriffen schützen können

Wie läuft ein Penetrationstest ab?

Grundsätzlich findet vor jedem Pentest ein persönliches Vorgespräch statt. In diesem Vorgespräch werden die Möglichkeiten des Penetrationstests in Bezug auf die Kundensysteme vorgestellt. Ein Pentest macht nur Sinn, wenn er individualisiert und kundenorientiert durchgeführt wird. Man überprüft wirkungsvoll die Sicherheit der IT- und Netzwerk-Systeme. Dabei führt man kontrollierte Angriffe auf die Systeme durch und deckt dadurch äußerst realitätsnah etwaige technische und/oder organisatorische Schwachstellen auf. Weitere Informationen über die einzelnen Phasen eines Penetrationstests finden Sie hier.

Was sind Blackbox- und Whitebox-Tests?

Bei einem Whitebox Test, bekommen die Penetrationstester alle notwenigen Informationen über die IT-Systeme und interne Strukturen des Unternehmens zur Verfügung gestellt. Dazu gehören zum Beispiel Netzwerkpläne oder Quelltexte von Webapplikationen, oder Zugangsdaten für eine Webanwendung, wie sie normale Kunden besitzen. So kann getestet werden, inwiefern Benutzer mit Zugang zu einem System ihre Berechtigungen missbrauchen können.

Bei einem Blackbox-Test werden üblicherweise Tests definiert, bei denen die Experten nicht mehr Informationen erhalten, als Angreifer ohne interne Detailkenntnisse sie auch hätten. Es ist herauszufinden, wie weit mögliche Angreifer ohne jegliche internen Informationen kommen können. Trotz der Vorgabe, möglichst wenig Informationen über die zu testenden Systeme zu haben, ist jedoch die Angabe gewisser Rahmeninformationen unumgänglich. So besteht die Gefahr, während des Penetrationstests unbeteiligte Dritte zu treffen. Für echte Angreifer stellt dies natürlich kein Hindernis dar, für ein seriöses Unternehmen sollte es selbstverständlich sein, dass alle Schritte eines Penetrationstests nur dort stattfinden, wo die explizite Erlaubnis gegeben wurde.

Was ist das Ziel eines Penetrationstests?

Das Ziel des Penetrationstest ist es, Schwachstellen von Netzwerken und Geräten auf technischer und organisatorischer Ebene zu identifizieren und sie in einem detaillierten Bericht zu dokumentieren. Die Behebung der gefundenen Schwachstellen liegt jedoch in der Verantwortung des Auftraggebers. Wenn die empfohlenen Maßnahmen zur Beseitigung der aufgedeckten Schwachstellen durchgeführt werden, lässt sich die Sicherheit der untersuchten Systeme erheblich verbessern. Folgende Behebungsmaßnahmen könnten sein, Schulungen des Personals, Personalaufstockung, Abschaltung eines Systems oder das Einspielen von Korrekturen und Updates. Da solch ein Test keine kontinuierliche Überwachung der IT darstellt, kann er als eine Art Momentaufnahme des Sicherheitsstatus verstanden werden. Ein Penetrationstest sollte im besten Fall in regelmäßigen Abständen wiederholt werden.

Interesse an einem Penetrationstest?

Erhalten Sie eine detaillierte Beschreibung und Erklärung der Penetrationstests durch Alter Solutions Deutschland oder kontaktieren Sie uns jetzt!