Was ist ein Penetrationstest und wann brauchen Sie einen?

Ein Penetrationstest ist ein autorisierter, kontrollierter Angriff auf Ihre eigenen Systeme, um die Wege zu entdecken, die ein echter Angreifer nutzen könnte. Ziel ist nicht eine Liste von Schwachstellen, sondern der Nachweis, ob diese Schwachstellen tatsächlich ausgenutzt werden können und wie weit ein Angreifer im System vordringen könnte.

Typische Anzeichen, dass ein Unternehmen einen Penetrationstest braucht:

  • Sie verarbeiten Kundendaten, Zahlungsdaten oder personenbezogene Daten in einer Anwendung.
  • Sie durchlaufen ein ISO-27001- oder PCI-DSS-Audit und ein aktueller Bericht wird verlangt.
  • Sie haben ein großes Release, eine Zahlungsintegration oder eine Infrastrukturänderung ausgeliefert.
  • Ein Großkunde verlangt unabhängige Sicherheitstests als Vertragsbedingung.
  • Sie hatten noch nie eine unabhängige Sicherheitsbewertung.

Unser Testumfang

Die Tests folgen OWASP Top 10, OWASP MASVS, NIST SP 800-115 und PTES. Wir nehmen nur die Bereiche auf, die Sie tatsächlich brauchen.

Penetrationstest für Webanwendungen

Vollständige Abdeckung von SQL-Injection, XSS, CSRF, fehlerhafter Zugriffskontrolle und IDOR, unsicherem Datei-Upload, Fehlern im Session-Management und in der Geschäftslogik. Authentifizierte und nicht authentifizierte Rollen werden getrennt getestet.

Penetrationstest für mobile Anwendungen

Statische und dynamische Analyse für Android und iOS: Widerstand gegen Reverse Engineering, unsichere lokale Speicherung, Certificate Pinning, Root- und Jailbreak-Erkennung sowie Prüfung des API-Verkehrs hinter der App.

API- und Webservice-Tests

Bewertung von REST, SOAP und GraphQL mit Fokus auf fehlerhafte Authentifizierung und Autorisierung, BOLA und IDOR, übermäßige Datenpreisgabe, fehlendes Rate Limiting und Injection.

Server- und Infrastrukturbewertung

Härtungsprüfung für Linux- und Windows-Server, Analyse offener Ports und Dienste, fehlender Patches, schwacher Konfigurationen und TLS-Einstellungen.

Internes Netzwerk und Active Directory

Kontrollierte Tests von Rechteausweitung, Kerberoasting, AS-REP-Roasting, Lateral Movement und vollständiger Domänenübernahme.

Social Engineering und Phishing

Kontrollierte Phishing-Kampagnen und Messung der Mitarbeitersensibilisierung, die das Risiko durch den Faktor Mensch in eine Zahl übersetzen. Die Ergebnisse werden auf Organisationsebene berichtet, nie pro Person.

Unser Testablauf

Der Auftrag ist transparent, vertraglich geregelt und vollständig autorisiert.

1. Scoping und Vereinbarung

Zielsysteme, Testzeitraum und Einsatzregeln werden schriftlich dokumentiert, und eine Geheimhaltungsvereinbarung wird unterzeichnet. Systeme außerhalb des Umfangs werden mit derselben Klarheit festgehalten.

2. Aufklärung

Passive und aktive Erkundung bildet Ihre tatsächliche Angriffsfläche ab: Domains, Subdomains, offene Dienste, eingesetzte Technologien und geleakte Zugangsdaten.

3. Schwachstellenanalyse

Automatisierte Tools und manuelle Prüfung werden kombiniert. Jeder Befund wird manuell verifiziert, und False Positives werden entfernt, bevor sie in den Bericht gelangen.

4. Ausnutzung

Kontrollierte Ausnutzung innerhalb des freigegebenen Umfangs. Wird Zugriff erlangt, werden Auswirkungen und Ausbreitung mit Screenshots und Request-Logs dokumentiert.

5. Bericht und Nachtest

Der Bericht wird übergeben und mit Ihrem Team durchgesprochen; nach der Behebung wird ein Verifikationstest kostenlos wiederholt.

Was steht im Bericht?

Der Bericht hat zwei Ebenen, damit Management und Entwickler dasselbe Dokument nutzen können.

  • Management-Zusammenfassung: das gesamte Risikobild in nichttechnischer Sprache, Anzahl kritischer Befunde und Prioritäten.
  • Befunddetails: CVSS-v3.1-Bewertung, betroffener Endpunkt, Reproduktionsschritte und Nachweise für jedes Problem.
  • Behebungshinweise: konkrete Lösungen, die Ihre Entwickler direkt in Ihrem Stack umsetzen können.
  • Verifikationsmethode: die Prüfungen, mit denen Ihr eigenes Team bestätigen kann, dass eine Behebung wirkt.
  • Ergebnisse des Nachtests: eine aktualisierte Abschlusstabelle, was behoben ist und was offen bleibt.

Was den Preis bestimmt

Ein fester Listenpreis wäre irreführend; derselbe Begriff "Website-Test" kann eine fünfseitige Imagewebsite oder ein Händlerportal mit Hunderten von Bildschirmen beschreiben. Die Kostentreiber sind:

  • Umfang: Anzahl der IPs, Domains, Anwendungen und Bildschirme.
  • Testmodell: Black-Box (keine Informationen), Grey-Box (Benutzerkonto bereitgestellt), White-Box (Quellcode geteilt).
  • Anzahl der Rollen: Jede Berechtigungsstufe ist ein eigener Arbeitsaufwand.
  • Terminierung: Tests, die außerhalb der Geschäftszeiten oder in einem Wartungsfenster laufen müssen.
  • Nachtest und Beratung: Unterstützung Ihrer Entwickler während der Behebung.

Sobald der Umfang gemeinsam vereinbart ist, nennen wir einen Festpreis ohne Überraschungen.

ISO 27001 und DSGVO

Ein Penetrationstest ist nicht nur technische Arbeit, sondern auch ein Compliance-Nachweis. Er ist der konkreteste Beleg dafür, dass das Management technischer Schwachstellen nach ISO 27001 funktioniert und dass angemessene technische Maßnahmen zum Datenschutz nach DSGVO und dem türkischen KVKK bestehen. Unsere Berichte sind so geschrieben, dass sie einem Auditor übergeben werden können; auf Wunsch liefern wir auch ein Scope-Schreiben und eine Abschlussbestätigung des Nachtests.