Black-Box
Die Tester erhalten vorab keine internen Informationen - wie ein externer Angreifer. Realistisch, aber aufwendig: Vieles der Testzeit fließt in die Informationsbeschaffung.
Penetrationstest · Wissen kompaktPenetrationstest:
Penetrationstest:
Definition, Ablauf in 5 Phasen, Arten, Kosten.
Der vollständige Überblick für Unternehmen: Was ein Penetrationstest ist, wie der Ablauf in 5 Phasen nach BSI-Methodik aussieht, welche Arten und Standards es gibt, was er kostet und wann Regulierungen wie NIS2, DORA oder ISO 27001 ihn faktisch verlangen.
Kurz erklärt
Ein Penetrationstest (Pentest) ist eine autorisierte, methodische Sicherheitsprüfung, bei der Fachleute mit den Techniken echter Angreifer kontrolliert versuchen, in IT-Systeme, Netzwerke oder Anwendungen einzudringen. Ziel ist es, Schwachstellen nachzuweisen, das reale Angriffspotenzial einzuschätzen und die Wirksamkeit vorhandener Sicherheitsmaßnahmen zu überprüfen - bevor es ein Angreifer tut.
500+
Pentests durchgeführt
OSCP+
Zertifizierte Tester
DE + EN
Berichte in zwei Sprachen
0 €
Retest nach Behebung
Was ist ein Penetrationstest?
„Ein IS-Penetrationstest ist ein erprobtes und geeignetes Vorgehen, um das Angriffspotenzial auf ein IT-Netz, ein einzelnes IT-System oder eine (Web-)Anwendung festzustellen.“
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt den Penetrationstest in seiner Studie „Durchführungskonzept für Penetrationstests“ als kontrollierten Versuch, von außen in ein bestimmtes Computersystem oder Netzwerk einzudringen, um Schwachstellen zu identifizieren - mit denselben Techniken, die auch bei einem realen Angriff zum Einsatz kämen.
Das NIST-Glossar (SP 800-115) definiert Penetration Testing gleichbedeutend als Sicherheitstest, bei dem Prüfer reale Angriffe nachbilden, um Wege zur Umgehung der Sicherheitsfunktionen einer Anwendung, eines Systems oder Netzwerks zu finden. Beide Definitionen betonen dasselbe: Es geht nicht um Theorie, sondern um den praktischen Nachweis, was ein Angreifer bei Ihnen tatsächlich erreichen könnte.
Aus dem Ergebnis leiten Unternehmen zwei Dinge ab: ergänzende Sicherheitsmaßnahmen für die gefundenen Schwachstellen - und einen belastbaren Nachweis, ob die bereits vorhandenen Maßnahmen in der Praxis wirken.
Die international gebräuchliche Definition stammt aus dem NIST-Glossar und verweist auf NIST SP 800-115:
„Security testing in which evaluators mimic real-world attacks in an attempt to identify ways to circumvent the security features of an application, system, or network.“
Abgrenzung
Penetrationstest vs. Schwachstellenscan vs. Red Teaming
Ein Schwachstellenscan sucht automatisiert nach bekannten Lücken, ein Penetrationstest weist Schwachstellen manuell nach und verkettet sie zu Angriffspfaden, ein Red Teaming prüft verdeckt, ob die eigene Verteidigung einen Angriff überhaupt bemerkt. Die drei Formate unterscheiden sich also nicht im Anspruch, sondern in der Fragestellung.
| Kriterium | Schwachstellenscan | Penetrationstest | Red Teaming |
|---|---|---|---|
| Ziel | Bekannte Schwachstellen automatisiert erkennen | Schwachstellen nachweisen, verketten und Angriffspotenzial bewerten | Erkennung und Reaktion der Verteidigung (Blue Team) testen |
| Methode | Überwiegend automatisiert (Scanner) | Überwiegend manuell, toolgestützt | Verdeckte Angriffssimulation nach realen Taktiken |
| Tiefe | Oberfläche - laut BSI mit vielen False Positives | Verifizierte Findings inkl. Logik- und Konfigurationsfehlern | Wenige, dafür vollständige Angriffspfade bis zum Ziel |
| Ergebnis | Rohliste möglicher Schwachstellen | Priorisierter Bericht mit Nachweis (PoC) und Empfehlungen | Erkenntnisse zu Detektion, Alarmierung und Response |
| Aufwand | Gering | Mittel - abhängig von Scope und Prüftiefe | Hoch - mehrwöchige Kampagnen |
Die vier Begriffe kurz definiert
- Schwachstellenscan
- Automatisierter Abgleich eines Systems gegen Datenbanken bekannter Schwachstellen. Liefert schnell eine Rohliste, verifiziert die Treffer aber nicht - daher laut BSI mit vielen False Positives.
- Penetrationstest
- Autorisierte, überwiegend manuelle Sicherheitsprüfung, die Schwachstellen mit einem Proof-of-Concept nachweist, sie zu Angriffspfaden verkettet und das reale Angriffspotenzial bewertet.
- Red Teaming
- Verdeckte, mehrwöchige Angriffssimulation entlang realer Angreifer-Taktiken. Geprüft wird nicht die Schwachstellenliste, sondern ob das Verteidigungsteam den Angriff erkennt und darauf reagiert.
- TLPT
- Threat-Led Penetration Testing: bedrohungsgeleitete Prüfung auf Basis echter Bedrohungsdaten, für bestimmte Finanzunternehmen in Art. 26 und 27 DORA ausdrücklich vorgeschrieben.
Der BSI-Praxis-Leitfaden ordnet die Prüftiefen als Stufenmodell: Ein technisches Sicherheitsaudit sichtet Versionen und Konfigurationen, ein nicht invasiver Schwachstellenscan prüft automatisiert (mit dem Nachteil vieler False Positives), ein invasiver Scan setzt bereits Exploits ein. Der Penetrationstest geht darüber hinaus: Er sucht gezielt Wege, Sicherheitsmaßnahmen zu umgehen. Das BSI empfiehlt dabei eine moderate Angriffsstärke - Schwachstellen nachweisen, Exploits nur einsetzen, wenn es unvermeidbar und der Exploit ausreichend getestet ist.
Red Teaming definiert das NIST als autorisierte Gruppe, die die Angriffs-Fähigkeiten eines realen Gegners gegen die Sicherheitsaufstellung eines Unternehmens nachbildet - das Ziel ist die Verbesserung der Verteidigung, nicht die möglichst vollständige Schwachstellenliste. Mehr dazu auf unseren Seiten zum Schwachstellenscan, zum Red Team Assessment und zum bedrohungsgeleiteten TLPT nach DORA.
Welche Arten von Penetrationstests gibt es?
Penetrationstests werden nach drei Achsen unterschieden: nach der Informationsbasis (Black-, Grey- oder White-Box), nach den sechs Klassifikationskriterien des BSI und nach dem Prüfobjekt - also Webanwendung, API, Infrastruktur, Active Directory, Cloud, Mobile App oder WLAN. Festgelegt werden alle drei Achsen im Scoping vor Vertragsschluss.
Grey-Box
Teilwissen, z. B. Testaccounts oder Netzpläne. In der Praxis der häufigste Kompromiss aus Realismus und Effizienz.
White-Box
Volle Transparenz über Systeme, Konfigurationen, ggf. Quellcode. Maximale Testabdeckung pro Testtag.
Das BSI empfiehlt grundsätzlich Whitebox-Tests, da bei einem Blackbox-Test aufgrund fehlender Informationen Schwachstellen übersehen werden können - bei zugleich höherem Schadensrisiko und deutlich größerem Aufwand.
Die 6 Klassifikationskriterien des BSI
Das BSI-Durchführungskonzept klassifiziert jeden Penetrationstest anhand von sechs Kriterien, die im Scoping festgelegt werden:
1 · Informationsbasis
Black-Box oder White-Box: Wie viel wissen die Tester vorab?
2 · Aggressivität
Von passiv scannend über vorsichtig und abwägend bis aggressiv.
3 · Umfang
Vollständig, begrenzt oder fokussiert auf einzelne Systeme.
4 · Vorgehensweise
Verdeckt (unangekündigt) oder offensichtlich (mit der IT abgestimmt).
5 · Technik
Netzwerkzugang, sonstige Kommunikation, physischer Zugang oder Social Engineering.
6 · Ausgangspunkt
Von außen (Internet) oder von innen (Innentäter-Perspektive).
Nach Prüfobjekt
In der Praxis wird der Penetrationstest meist nach dem Zielsystem benannt:
Webanwendungs-Pentest
Login, Session-Handling, Berechtigungen, Business-Logik - geprüft nach OWASP Top 10 und WSTG.
Web-App-PentestAPI-Pentest
REST, GraphQL und gRPC: Authentifizierung, Autorisierung, Datenexposition, Rate Limiting.
API-SicherheitstestExterne & interne Infrastruktur
Angriffsfläche aus dem Internet sowie interne Netze inkl. Lateral Movement und Privilege Escalation.
Infrastruktur-PentestActive Directory
Kerberoasting, Delegationen, ACL-Missbrauch - die typischen Pfade zur Domänen-Übernahme.
Active-Directory-PentestCloud (AWS, Azure, M365)
IAM-Rechte, Storage, Netzwerksegmentierung und Logging in Cloud-Umgebungen.
Cloud-PentestMobile Apps
iOS und Android nach OWASP MASVS - inklusive der dahinterliegenden Backend-APIs.
Mobile-App-PentestWLAN & Netzwerk-Audit
Funknetze, Segmentierung und Netzwerkkonfiguration als Einfallstor ins interne Netz.
Netzwerk-AuditPhishing & Social Engineering
Der Faktor Mensch - laut BSI nur unter klar definierten Rahmenbedingungen und mit Einbeziehung der Personalvertretung.
Phishing-SimulationStandards & Methodik
Wonach seriöse Anbieter testen.
Professionelle Penetrationstests folgen vier etablierten Methodiken: der BSI-Systematik für Tests in Deutschland, dem OWASP Web Security Testing Guide für Webanwendungen, dem PTES für den Projektablauf und NIST SP 800-115 für technisches Sicherheitstesten. Dokumentierte Methodik macht Ergebnisse nachvollziehbar, reproduzierbar und zwischen Anbietern vergleichbar.
BSI-Methodik
Das Durchführungskonzept für Penetrationstests und der Praxis-Leitfaden für IS-Penetrationstests definieren Phasen, Klassifikation und Anforderungen an Prüfer - die Referenz für Tests in Deutschland.
OWASP Top 10 & WSTG
Die OWASP Top 10 sind der Referenzstandard für die kritischsten Webanwendungs-Risiken (aktuell: Version 2025, angeführt von Broken Access Control). Der Web Security Testing Guide (v4.2) liefert das strukturierte Testframework dazu.
PTES
Der Penetration Testing Execution Standard gliedert einen Pentest in sieben Abschnitte: Pre-Engagement, Intelligence Gathering, Threat Modeling, Vulnerability Analysis, Exploitation, Post Exploitation und Reporting.
OSSTMM
Das Open Source Security Testing Methodology Manual von ISECOM (Version 3) ist eine vollständige Methodik für Sicherheits- und Penetrationstests - von physischer Sicherheit bis Funk, inkl. Metriken.
NIST SP 800-115 & CVSS
NIST SP 800-115 beschreibt technisches Sicherheitstesten methodisch; die Risikobewertung einzelner Findings erfolgt in der Praxis über CVSS-Scores, damit Sie Behebungen sauber priorisieren können.
Wie läuft ein Penetrationstest ab?
Ein Penetrationstest läuft in fünf Phasen ab: Vorbereitung, Informationsbeschaffung, Bewertung der gesammelten Informationen, aktive Eindringversuche und Abschlussanalyse mit Bericht. Diese Gliederung stammt aus dem BSI-Durchführungskonzept. In der Praxis kommt als sechster Schritt der Retest hinzu, der die Behebung der Findings verifiziert.
- 1Vorbereitung
Scoping, Ziele, Prüftiefe, Zeitfenster, schriftliche Beauftragung inkl. NDA - die vertragliche und organisatorische Basis.
- 2Informationsbeschaffung
Passive und aktive Aufklärung: Asset Discovery, eingesetzte Technologien, Angriffsflächen-Mapping.
- 3Bewertung & Risikoanalyse
Die gesammelten Informationen werden bewertet: Wo lohnen sich Eindringversuche, wo drohen Risiken für den Betrieb?
- 4Aktive Eindringversuche
Manuelle Angriffe auf die ausgewählten Systeme - kontrolliert, dokumentiert und mit abgestimmter Aggressivität.
- 5Abschlussanalyse
Auswertung, Clean-up der Testartefakte und Bericht mit Management Summary, Findings, Nachweisen und Empfehlungen.
- 6Retest (Praxis)
Nach der Behebung werden die Findings erneut geprüft. Bei Sodu Secure ist der Retest innerhalb von 30 Tagen kostenlos.
Wie lange dauert ein Penetrationstest?
Die Dauer hängt vom Scope ab: Eine fokussierte Webanwendung liegt typischerweise bei wenigen Testtagen, große interne Infrastrukturen können mehrere Wochen beanspruchen. Den genauen Aufwand legt das Scoping vor Vertragsschluss fest - inklusive der Testfenster, die mit Ihrem Betrieb abgestimmt werden.
Wichtig für die Planung: Ein Penetrationstest ist laut BSI immer nur eine Momentaufnahme. Das BSI empfiehlt, alle zwei bis drei Jahre Wiederholungsprüfungen durchzuführen - und je höher der Schutzbedarf, desto häufiger sollte getestet werden.
Regulatorik
Wann sind Penetrationstests Pflicht?
Kaum eine Norm schreibt das Wort „Penetrationstest“ wörtlich vor - fast alle relevanten Regulierungen verlangen aber den Nachweis, dass Ihre Sicherheitsmaßnahmen wirksam sind. Der Pentest ist dafür das etablierte Mittel.
Wie indirekt diese Pflicht formuliert ist, zeigt § 30 Abs. 2 Nr. 6 BSIG - die deutsche Umsetzung der NIS2-Richtlinie. Gefordert werden dort:
„Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“
| Regulierung | Anforderung | Bedeutung für die Praxis |
|---|---|---|
| ISO 27001:2022 | Annex A 8.8: Technische Schwachstellen identifizieren, bewerten und behandeln. Quelle | Regelmäßige, dokumentierte Pentests sind das gängige Umsetzungs- und Nachweismittel im Audit. |
| NIS2 / § 30 BSIG | § 30 Abs. 2 Nr. 6 BSIG fordert Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Quelle | Der klassische Ansatzpunkt für Penetrationstests bei wichtigen und besonders wichtigen Einrichtungen. |
| KRITIS / § 39 BSIG | Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen alle drei Jahre gegenüber dem BSI nachweisen. Quelle | Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen - Pentests liefern die technische Substanz. |
| DORA | Risikobasiertes, proportionales Testprogramm; für bestimmte Finanzunternehmen zusätzlich TLPT nach Art. 26/27. Quelle | Verpflichtete Institute erhalten laut BaFin einen Bescheid - TLPT im Regelfall im Drei-Jahres-Rhythmus. |
| DSGVO Art. 32 | Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM. Quelle | Pentests sind ein anerkanntes Verfahren, diese Prüfpflicht für personenbezogene Daten zu erfüllen. |
| TISAX / VDA ISA | Automotive-Prüfstandard der ENX Association; Labels sind drei Jahre gültig. Quelle | Wirksame technische Sicherheitsmaßnahmen müssen belegt werden - Pentest-Berichte stützen das Assessment. |
Für Finanzunternehmen unter DORA ist der bedrohungsgeleitete Penetrationstest (TLPT) die einzige Stelle, an der ein Pentest ausdrücklich vorgeschrieben ist - Details dazu auf unserer TLPT-Seite. Welche Anforderungen ISO 27001 konkret an Pentests stellt, erklärt unsere Seite zu den ISO-27001-Pentest-Anforderungen; für die Prüfpflichten bei personenbezogenen Daten siehe DSGVO-Penetrationstest.
Hinweis: Diese Übersicht ist keine Rechtsberatung. Ob und in welcher Frequenz Ihre Organisation testen muss, hängt von Einstufung, Branche und Aufsicht ab.
Warum Penetrationstests? Die Lage in Zahlen.
Genau die Schwachstellen, die ein Pentest vorab aufdeckt, sind inzwischen der häufigste Einstiegspunkt echter Angriffe.
119
neu bekannt gewordene Schwachstellen pro Tag - ein Plus von rund 24 %
Quelle: BSI-Lagebericht 202531 %
aller Breaches beginnen mit der Ausnutzung einer Schwachstelle - erstmals vor gestohlenen Zugangsdaten
Quelle: Verizon DBIR 202696 %
der Unternehmen in Deutschland von Datendiebstahl, Spionage oder Sabotage betroffen oder vermutlich betroffen - Schaden: 211 bis 270,8 Mrd. €
Quelle: Bitkom Wirtschaftsschutz 2026~80 %
der angezeigten Angriffe, etwa mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen
Quelle: BSI-Lagebericht 2025Die Schlussfolgerung ist unbequem, aber einfach: Wer seine Schwachstellen nicht selbst sucht, überlässt das Finden den Angreifern. Ein Penetrationstest dreht die Reihenfolge um.
Kosten
Was kostet ein Penetrationstest?
Ein automatisierter Schwachstellenscan startet bei Sodu Secure ab 1.499 €. Ein manueller Penetrationstest wird individuell kalkuliert und liegt meist zwischen 4.000 und 20.000 €, abhängig von Scope, Prüftiefe und Komplexität des Ziels. Seriöse Anbieter nennen den Preis erst nach dem Scoping, nicht pauschal.
Marktübliche Preisspannen anderer Anbieter, Tagessatz-Belege und eine Einordnung fremder Angebote finden Sie auf der Seite Pentest Kosten. Die drei Festpreis-Anker von Sodu Secure:
Schwachstellenscan (automatisiert)
ab 1.499 €
Automatisierter Scan mit Report - schneller Einstieg, kein manueller Pentest.
Manueller Pentest (Web, API, Netzwerk, AD)
meist 4.000 – 20.000 €
Individuell auf das Projekt zugeschnitten, kalkuliert nach Aufwand und Tagessätzen.
Multi-Scope / Enterprise
individuell
Mehrere Systeme, Cloud, wiederkehrende Tests - Angebot nach Scoping-Call.
Die wichtigsten Kostenfaktoren
- Scope: Anzahl und Größe der Systeme, Rollen und Schnittstellen
- Prüftiefe und Testansatz (Black-, Grey- oder White-Box)
- Komplexität der Umgebung (Legacy, Cloud, Segmentierung)
- Berichtsumfang, Abschlussgespräch und Retest
Den richtigen Anbieter auswählen.
Der BSI-Praxis-Leitfaden formuliert klare Anforderungen an Prüfer und Auftrag. Diese Checkliste trennt seriöse Anbieter von Scan-Verkäufern:
- Externe, unabhängige Prüfer beauftragen - nicht die hauseigene IT (BSI-Empfehlung)
- Testteam aus mindestens zwei Personen: Vier-Augen-Prinzip
- Nachweisbare Qualifikation: OSCP, BSI-Personenzertifizierung, CREST oder CEH
- Erfahrung belegen lassen - BSI-Kriterium: mindestens 6 Penetrationstests in den letzten 3 Jahren
- Schriftlicher Vertrag mit Prüfzeitraum, Prüfobjekt, Prüftiefe, NDA und Datenschutzregelungen
- Berichtsqualität prüfen: Management Summary, reproduzierbare Findings, konkrete Empfehlungen
- Retest nach Behebung inklusive - sonst fehlt die Qualitätskontrolle
Sodu Secure
Penetrationstest vom Anbieter aus Berlin.
Sodu Secure führt manuelle Penetrationstests nach BSI-orientierter Methodik, OWASP und PTES durch - mit zertifizierten Testern, Festpreisen und Berichten, mit denen Ihre Teams direkt arbeiten können. Eine kompakte Übersicht aller Leistungen finden Sie auf der Pentest-Service-Seite, regionale Informationen unter Pentest Berlin.
OSCP-zertifizierte Tester
Manuelles Testing durch zertifizierte Experten (OSCP+, OSWE, CEH) - über 500 durchgeführte Pentests.
Berichte in DE & EN
Management Summary plus technischer Teil mit PoC, CVSS-Bewertung und konkreten Fix-Empfehlungen.
Festpreis & kostenloser Retest
Verbindliches Angebot nach dem Scoping-Call, Retest der behobenen Findings innerhalb von 30 Tagen inklusive.
- 1Scoping-Call
Kostenlos und unverbindlich: Ziele, Systeme, Prüftiefe, Zeitfenster.
- 2Test & Bericht
Manueller Penetrationstest mit laufender Abstimmung und finalem Bericht.
- 3Retest
Verifikation Ihrer Fixes und bereinigtes Ergebnis - ohne Mehrkosten.
Pentest anfragen Antwort innerhalb von 24 Stunden
Häufige Fragen zum Penetrationstest.
Was ist ein Penetrationstest einfach erklärt?+
Ein Penetrationstest ist ein beauftragter, kontrollierter Hackerangriff auf die eigenen Systeme: Sicherheitsexperten versuchen mit den Methoden echter Angreifer, in Anwendungen, Netzwerke oder Cloud-Umgebungen einzudringen. Das Ergebnis ist ein Bericht, der nachgewiesene Schwachstellen, deren Risiko und konkrete Behebungsempfehlungen enthält.
Welche Arten von Penetrationstests gibt es?+
Unterschieden wird nach Prüfobjekt und nach Perspektive. Nach Prüfobjekt: Webanwendung, API, externe und interne Infrastruktur, Active Directory, Cloud, Mobile App, WLAN und Social Engineering. Nach Perspektive: extern aus dem Internet oder intern aus dem Firmennetz, jeweils als Black-, Grey- oder White-Box. Das BSI unterscheidet zusätzlich nach Informationsbasis, Aggressivität, Umfang, Vorgehensweise, Technik und Ausgangspunkt.
Was kostet ein Penetrationstest?+
Die Kosten hängen von Scope und Prüftiefe ab. Ein automatisierter Schwachstellenscan startet bei Sodu Secure ab 1.499 €. Ein manueller Penetrationstest wird individuell auf das Projekt zugeschnitten und nach Aufwand und Tagessätzen kalkuliert - meist zwischen 4.000 und 20.000 €. Den verbindlichen Festpreis erhalten Sie nach dem Scoping-Call. Vorsicht bei Pauschalpreisen ohne Scoping - dahinter steckt oft nur ein automatisierter Scan.
Wie lange dauert ein Penetrationstest?+
Je nach Scope wenige Testtage bis mehrere Wochen: Eine fokussierte Webanwendung ist meist innerhalb weniger Tage getestet, große interne Infrastrukturen brauchen länger. Der genaue Zeitrahmen wird im Scoping festgelegt und mit Ihrem Betrieb abgestimmt.
Wie läuft ein Penetrationstest ab?+
In vier Schritten: Im Scoping werden Prüfobjekt, Prüftiefe, Zeitraum und Eskalationswege schriftlich festgelegt. Danach folgt die Informationsbeschaffung über Systeme, Dienste und erreichbare Angriffsfläche, anschließend die aktive Prüfung, bei der jeder Fund manuell verifiziert und zu realen Angriffspfaden verkettet wird. Zum Abschluss erhalten Sie den Bericht mit Management Summary, CVSS-Bewertung und Proof-of-Concept; nach Ihrer Behebung verifiziert der kostenlose Retest die Fixes.
Wie oft sollte ein Penetrationstest durchgeführt werden?+
Das BSI empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre, da regelmäßig neue Schwachstellen und Angriffsmethoden bekannt werden - je höher der Schutzbedarf, desto häufiger. In der Praxis testen Unternehmen mit agiler Entwicklung oder hohem Schutzbedarf jährlich oder nach jedem größeren Release, denn jeder Pentest ist nur eine Momentaufnahme.
Was ist der Unterschied zwischen Penetrationstest und Schwachstellenscan?+
Ein Schwachstellenscan prüft automatisiert gegen bekannte Schwachstellen und liefert laut BSI viele False Positives. Ein Penetrationstest geht darüber hinaus: Erfahrene Tester verifizieren Schwachstellen manuell, verketten sie zu realen Angriffspfaden und finden auch Logik- und Konfigurationsfehler, die kein Scanner erkennt.
Ist ein Penetrationstest gesetzlich vorgeschrieben?+
Wörtlich vorgeschrieben ist er nur in Ausnahmen - etwa der TLPT nach DORA für bestimmte Finanzunternehmen. ISO 27001 (Annex A 8.8), NIS2 bzw. § 30 BSIG und DSGVO Art. 32 verlangen aber Schwachstellenmanagement und regelmäßige Wirksamkeitsprüfungen der Sicherheitsmaßnahmen - Penetrationstests sind das etablierte Mittel, diese Anforderungen zu erfüllen und nachzuweisen.
Sind Penetrationstests legal - und was muss vertraglich geregelt werden?+
Ja, mit ausdrücklicher Genehmigung des Systemeigentümers. Ohne Beauftragung wäre das Eindringen in fremde Systeme strafbar (§ 202a ff. StGB). Das BSI verlangt einen schriftlichen Vertrag mit Prüfzeitraum, Prüfobjekt, Prüftiefe sowie NDA- und Datenschutzregelungen.
Was ist der Unterschied zwischen Pentest und Red Teaming?+
Der Pentest sucht möglichst viele nachweisbare Schwachstellen in einem definierten Scope. Red Teaming simuliert laut NIST-Definition gezielt einen realen Gegner, um die Erkennungs- und Reaktionsfähigkeit der Verteidigung zu testen - verdeckt, über längere Zeit und mit Fokus auf wenige vollständige Angriffspfade statt auf Vollständigkeit.
Black-Box, Grey-Box oder White-Box: Welcher Ansatz ist der richtige?+
Das BSI empfiehlt grundsätzlich Whitebox-Tests, weil bei Blackbox-Tests mangels Informationen Schwachstellen übersehen werden können - bei höherem Schadensrisiko und größerem Aufwand. In der Praxis ist Grey-Box oft der beste Kompromiss: Testaccounts und Grundinformationen maximieren die Abdeckung pro Testtag, ohne den Angreifer-Blick zu verlieren.
Kann ein Penetrationstest den laufenden Betrieb stören?+
Bei professioneller Durchführung ist das Risiko gering: Das BSI empfiehlt eine moderate Angriffsstärke, Exploits werden nur eingesetzt, wenn sie ausreichend getestet sind. Prüfzeiträume, kritische Systeme und Eskalationswege werden vorab abgestimmt - auf Wunsch wird ausschließlich auf Staging-Umgebungen getestet.
Weiterführend
Vertiefende Inhalte zum Penetrationstest.
Pentest Kosten
Preisspannen, Kostenfaktoren und Beispielrechnungen im Detail.
Pentest Preisindex
Unsere Preisstufen und belegte Marktspannen deutscher Anbieter im Vergleich.
Penetrationstest Anbieter
Zertifizierungen, Red Flags und die richtige Auswahl.
Pentest-Leistungen
Die kompakte Service-Übersicht: Web, API, Netzwerk, AD, Cloud.
TLPT nach DORA
Bedrohungsgeleitete Penetrationstests für Finanzunternehmen.
ISO 27001 & Pentest
Was die Norm verlangt und wie der Bericht das Audit stützt.
DSGVO-Penetrationstest
Art. 32 DSGVO und die Prüfpflicht für personenbezogene Daten.
TISAX
Informationssicherheit in der Automobilindustrie nachweisen.
Pentest Berlin
Penetrationstests für Unternehmen in Berlin und Umgebung.
Schwachstellenscan
Automatisierte Scans als Ergänzung - nicht als Ersatz.
Bereit für Ihren Penetrationstest?
Unverbindliches Angebot nach kostenlosem Scoping-Call - Antwort innerhalb von 24 Stunden.