Was ein Pentest ist und wie er sich von einem Schwachstellenscanner unterscheidet

Ein Pentest, ein Penetrationstest, ist ein kontrollierter Angriff auf Ihre Systeme mit Erlaubnis des Eigentümers. Ziel ist nicht, „alles zu finden“, sondern zu zeigen, was ein Angreifer mit einem bestimmten Zugriffsniveau tatsächlich tun kann und wie lange er dafür braucht.

Warum das kein Scanner ist

Ein Schwachstellenscanner prüft Systeme gegen eine Datenbank bekannter Probleme und liefert eine Liste mit hunderten Zeilen, von denen die meisten niemanden gefährden. Der Pentester nimmt dieselben Befunde und prüft sie von Hand: ob sich darüber wirklich etwas anstellen lässt, ob zwei „niedrige“ Schwachstellen zusammen kritisch werden, ob Daten dort abfließen, wo der Scanner nichts sieht, etwa in der Geschäftslogik.

Drei Zugriffsmodi

• Black Box: Wir kennen nur die Adresse, wie ein externer Angreifer.
• Grey Box: Wir haben ein normales Nutzerkonto, wie ein Insider oder Kunde.
• White Box: Wir haben Code, Schemata und Zugänge und finden so das Maximum in minimaler Zeit.

Was Sie erhalten

Einen Bericht mit jedem Befund: Nachweis, Schritte zur Reproduktion, Risikostufe nach CVSS und die geschäftliche Auswirkung in klaren Worten, Empfehlung zur Behebung. Dazu eine Nachprüfung nach der Behebung, die bestätigt, dass die Lücken geschlossen sind.

Wann ein Pentest nötig ist

• Vor dem Start eines neuen Produkts oder eines großen Releases.
• Nach einem Vorfall oder einem Verdacht auf Datenabfluss.
• Für die Zertifizierung nach ISO 27001, SOC 2 oder Anforderungen von Partnern.
• Einmal jährlich als Hygiene für Systeme, die Geld oder personenbezogene Daten verarbeiten.