Externer vs. Interner Pentest Berlin

Ein externer Pentest simuliert einen Angreifer aus dem Internet ohne Vorwissen über Ihre Infrastruktur. Der Tester greift von außen auf Ihre öffentlichen IPs, Domains, Webserver, VPNs und Mailserver an – so wie ein echter Angreifer es tun würde. Ziel: Identifikation aller von außen erreichbaren Schwachstellen.

Ein interner Pentest simuliert einen Angreifer, der bereits im Netzwerk ist – z. B. nach einem Phishing-Angriff oder durch einen böswilligen Mitarbeiter. Der Tester erhält Zugang zu einem internen System und versucht, sich lateral durch das Netzwerk zu bewegen, Privilegien zu eskalieren und sensible Daten zu erreichen.

Black-Box: Kein Vorwissen, simuliert realen externen Angreifer. Grey-Box: Teilweises Vorwissen (z.B. ein normaler Benutzeraccount), effizienteres Testen. White-Box: Vollständiges Vorwissen inklusive Architektur, Quellcode und Credentials – tiefste Testabdeckung. Für KMUs empfiehlt sich Grey-Box extern + White-Box intern.

Mit dem externen Test. Er hat den kleineren Scope, ist schneller fertig und deckt die Angriffsfläche ab, die ohne Ihr Zutun jeden Tag gescannt wird. Der interne Test mit Active Directory folgt im zweiten Schritt, weil er mehr Vorbereitung und Abstimmung mit Ihrer IT braucht. Reicht das Budget für beides, bündeln wir sie in einem Projekt und einem Bericht, das ist günstiger als zwei getrennte Beauftragungen.

Ein automatisierter Schwachstellenscan der externen Angriffsfläche (bis 20 IPs / Domains) startet bei 1.499 €. Ein manueller externer Pentest wird individuell nach Aufwand kalkuliert und kostet mit Webapplikationen, VPN und Mailserver meist zwischen 4.000 und 8.000 €. Ein vollständiges KMU-Paket (extern + intern + AD) beginnt bei 8.000 €.

Entscheidend ist, welches Risiko Sie belegen müssen. Ein externer Test gehört dazu, sobald Sie Dienste aus dem Internet erreichbar machen: Webanwendungen, APIs, VPN-Einwahl, Mailserver, Remote-Zugänge. Ein interner Test gehört dazu, sobald ein kompromittiertes Mitarbeiterkonto größeren Schaden auslösen könnte, also bei Windows-Domänen, Dateiservern, Produktionsnetzen und flacher Netzsegmentierung. Verlangt ein Kunde, eine Versicherung oder eine Aufsicht einen Nachweis über die gesamte Angriffsfläche, brauchen Sie beide Perspektiven in einem Bericht. Eine Übersicht aller Testarten finden Sie auf unserer Seite zum Penetrationstest.

Active-Directory-Pentesting ist der Kern jedes internen Pentests in Windows-Umgebungen. Wir starten mit einem normalen Domänenkonto und prüfen, wie weit sich Rechte ausweiten lassen: Kerberoasting, AS-REP Roasting, Pass-the-Hash, unsichere GPO- und ACL-Konfigurationen, Delegationsfehler. Ziel ist das Domain-Admin-Szenario. Das Ergebnis zeigt, welcher einzelne kompromittierte Mitarbeiteraccount Ihre gesamte Domäne öffnen würde.

Nicht zwingend. In den meisten Fällen genügt ein VPN-Zugang oder eine kleine virtuelle Maschine in Ihrem Netz, über die wir remote testen. Wenn Sie physischen Zugriff, WLAN-Tests oder eine Prüfung der Netzwerksegmentierung vor Ort wünschen, kommen wir in Berlin persönlich zu Ihnen. Beides klären wir beim Kick-off und halten es schriftlich fest.

Ein externer Pentest auf eine überschaubare Angriffsfläche dauert typischerweise 3 bis 5 Werktage aktives Testing. Ein interner Pentest mit Active Directory liegt bei 5 bis 10 Werktagen, abhängig von Netzgröße und Anzahl der Standorte. Rechnen Sie zusätzlich 3 bis 5 Tage für Bericht und Abschlusspräsentation. Kombiniert ergibt das 2 bis 4 Wochen vom Kick-off bis zur Übergabe.