Was ist ein Penetrationstest?

Penetrationstest einfach erklärt

Im Alltag eines Unternehmens sind viele Schutzmaßnahmen eingerichtet: eine Firewall am Internetanschluss, Updates auf den Rechnern, Rechte für die Dateiablage. Ob diese Maßnahmen auch gegen jemanden standhalten, der gezielt nach einem Weg hinein sucht, lässt sich am Schreibtisch nur begrenzt beurteilen. Genau diese Frage beantwortet ein Penetrationstest, kurz Pentest.

Technisch geht das Prüfteam vor wie ein Angreifer. Rechtlich und organisatorisch trennt beide eine Erlaubnis: Bevor der Test beginnt, stimmt die Unternehmensleitung oder eine von ihr beauftragte Person schriftlich zu und legt fest, was geprüft werden darf.

Abzugrenzen ist der Pentest von zwei verwandten Prüfungen. Ein Schwachstellenscan ist ein Programm, das in kurzer Zeit viele Systeme abfragt und eine lange Liste möglicher Probleme ausgibt, darunter auch Fehlmeldungen. Im Pentest wird dagegen nachgewiesen, welche Folgen ein Fund in genau dieser Umgebung hätte, etwa ob er bis zu den Kundendaten führt. Eine organisatorische Bestandsaufnahme wiederum fragt nach Zuständigkeiten, Sicherungen und Updates, ohne etwas anzugreifen; den Unterschied erklärt unser Vergleich Sicherheitscheck vs. Pentest.

Was ein Pentest untersuchen kann

Der Prüfumfang richtet sich nach der Frage, die beantwortet werden soll:

• Von außen: Was ist aus dem Internet erreichbar, etwa Website, Mailserver, der Zugang per VPN oder die Regeln der Firewall?
• Von innen: Wie weit käme jemand, der bereits einen einzelnen Arbeitsplatz unter Kontrolle hat?
• Anwendungen: Lässt sich ein Kundenportal oder eine andere Webanwendung zu Aktionen bewegen, die nicht vorgesehen sind?
• Cloud-Dienste: Sind Freigaben, Rollen und Anmeldungen in Cloud-Umgebungen so eng gefasst wie beabsichtigt?
• Menschen: Lassen sich Mitarbeitende mit Methoden des Social Engineering zu einer Handlung bewegen?

Die Ergebnisse helfen auch, die eigene Architektur weiterzuentwickeln. Ein Beispiel ist das Modell Zero Trust, bei dem ein einzelner Fehler nicht das ganze Netz öffnen soll.

Gut vorbereitet in den Test

Aus Sicht des IT-Betriebs entscheidet die Vorbereitung darüber, ob ein Test reibungslos verläuft. Diese Punkte gehören auf die Liste:

• Umfang festlegen: Adressbereiche, Systeme und Ausschlüsse schriftlich benennen.
• Beteiligte informieren: Den IT-Dienstleister einbinden und in den Verträgen mit Hosting- und Cloud-Anbietern nachlesen, ob Tests vorher angemeldet werden müssen.
• Sicherung prüfen: Vor dem Test kontrollieren, ob sich wichtige Systeme aus einer aktuellen Sicherung wiederherstellen lassen.
• Erreichbarkeit klären: Für die Testzeit eine Ansprechperson benennen, die bei einer Störung entscheiden kann.
• Alarme absprechen: Vereinbaren, wie Überwachung und Endpoint-Schutz mit den Testaktivitäten umgehen und wer echte von gewollten Alarmen unterscheidet.

Wenn der interne Test einen Umweg findet

Angenommen, ein Zulieferer aus dem Maschinenbau mit 70 Arbeitsplätzen soll einem Großkunden nachweisen, dass seine IT geprüft wurde. Der externe Teil des Tests ergibt nur geringe Befunde. Für den internen Teil erhält das Prüfteam einen gewöhnlichen Büroarbeitsplatz ohne besondere Rechte.

Von dort stößt es auf den Netzwerkspeicher, auf dem die nächtlichen Backups des Servers liegen. Die Freigabe kann jedes Konto lesen, und aus den Sicherungsdateien lassen sich die Anmeldedaten des Verzeichnisdienstes gewinnen. Außerdem ist die Verwaltungsoberfläche der unterbrechungsfreien Stromversorgung im Büronetz erreichbar und nur mit dem Werkskennwort geschützt. Der Bericht stuft den ersten Befund als hoch ein, den zweiten als mittel.

Der IT-Dienstleister beschränkt den Zugriff auf die Sicherungen auf ein eigenes Konto der Backup-Software, tauscht die betroffenen Kennwörter aus und verlegt die Verwaltungszugänge per Netzwerksegmentierung in einen getrennten Netzbereich. Ein Nachtest bestätigt, dass beide Wege geschlossen sind.

Was der Bericht leistet und wann sich ein Test lohnt

Jeder Befund im Bericht trägt eine Einstufung, etwa von niedrig bis kritisch, und eine Empfehlung zur Behebung. Daraus lässt sich eine Reihenfolge ableiten: Was sofort geschlossen werden sollte, was in die nächste Wartung passt und was als bewusstes Restrisiko dokumentiert wird. Die Arbeit selbst übernehmen diejenigen, die die Systeme betreuen, also das eigene IT-Team oder der IT-Dienstleister. Wer etwa eine Firewall für Unternehmen einrichten und pflegen lässt, kann deren Konfiguration auf diese Weise von außen überprüfen lassen. Zeigt ein Test Spuren, dass schon jemand eingedrungen ist, wird aus der Prüfung ein Fall für die Incident Response.

Gute Anlässe sind der Start eines Kundenportals, ein Umbau des Netzes oder die Anfrage eines Auftraggebers nach einem Nachweis. Art. 32 Abs. 1 lit. d DSGVO zählt zu den möglichen Schutzmaßnahmen ein Verfahren, das die Wirksamkeit der Maßnahmen regelmäßig überprüft und bewertet. Ein Penetrationstest wird dort nicht ausdrücklich genannt, kann aber ein Baustein eines solchen Verfahrens sein. Ob er im Einzelfall angemessen ist, hängt vom Risiko der Verarbeitung ab; diese Einordnung ist keine Rechtsberatung.

Wer Penetrationstests durchführt

ProNet führt selbst keine Penetrationstests durch. Einen Überblick über die Schutzmaßnahmen, die sich mit einem solchen Test überprüfen lassen, gibt die Seite IT-Sicherheit für Unternehmen. Die Tests selbst übernimmt unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH. Welche Prüfungen dort möglich sind, zeigt die Übersicht der Penetrationstests bei Rootsektor (externe Website). Wie die Zusammenarbeit aussieht, lesen Sie auf unserer Seite zu Partnern und Herstellerunabhängigkeit.