IT-Lexikon
Was ist ein Penetrationstest?
Kurz erklärt
Ein Penetrationstest ist ein kontrollierter, simulierter Angriff auf eine Website, Anwendung oder IT-Infrastruktur, um Sicherheitslücken zu finden, bevor echte Angreifer sie ausnutzen. Geprüft werden dabei sowohl Frontend, Backend als auch Schnittstellen wie eine API.
Ein Penetrationstest, oft kurz „Pentest" genannt, prüft gezielt, wie leicht sich in eine Website, ein Backend oder eine API eindringen lässt. Anders als ein automatischer Scan versucht ein Pentest aktiv, Schwachstellen tatsächlich auszunutzen, so wie es ein Angreifer tun würde, allerdings kontrolliert und dokumentiert.
Wie läuft ein Penetrationstest ab?
Ein Penetrationstest folgt in der Regel einem festen Ablauf: zuerst Informationsbeschaffung über das Zielsystem, dann systematisches Suchen nach Schwachstellen, anschließend der kontrollierte Versuch, diese auszunutzen, und zum Schluss ein Bericht mit konkreten Handlungsempfehlungen.
| Phase | Inhalt |
|---|---|
| Informationsbeschaffung | Domains, Technologien, offene Schnittstellen erfassen |
| Schwachstellensuche | Bekannte Lücken in Software, Plugins, Konfiguration prüfen |
| Ausnutzung (Exploitation) | Kontrollierter Zugriffsversuch, um den Fund zu bestätigen |
| Bericht | Schwachstellen, Risiko-Einstufung, Empfehlungen |
Welche Bereiche prüft ein Penetrationstest?
Ein vollständiger Test beschränkt sich nicht auf einen Teil der Anwendung. Geprüft werden das sichtbare Frontend (zum Beispiel unsichere Formulareingaben), das Backend (Datenbank, Serverkonfiguration) sowie Schnittstellen zu Drittsystemen. Gerade bei einem CMS wie WordPress zeigen Praxiswerte, dass ein großer Teil erfolgreicher Angriffe über veraltete Plugins läuft, nicht über den Kern der Software selbst.
Wie oft sollte ein Penetrationstest durchgeführt werden?
Eine pauschale Frist gibt es nicht, sinnvoll ist ein Test nach größeren Änderungen an einer Website oder Anwendung, etwa nach einem Relaunch, einer Migration oder der Einführung einer neuen Schnittstelle. Auch regelmäßig in größeren Abständen ist ein Test sinnvoll, weil neue Schwachstellen laufend bekannt werden.
Für wen ist ein Penetrationstest (noch) nicht der richtige Schritt?
Für eine ganz neue, noch unveröffentlichte Website ohne Formulare, Logins oder Zahlungsfunktionen ist ein vollständiger Penetrationstest meist überdimensioniert. Hier reicht zunächst ein technisches Grundlagen-Audit, ein Pentest lohnt sich, sobald echte Nutzerdaten oder Zahlungen verarbeitet werden.
Penetrationstests in der Praxis: was wir in Hannover sehen
In unseren technischen Erstprüfungen für Unternehmen aus Hannover und der Region zeigt sich immer wieder dasselbe Muster: Ein großer Teil der WordPress-Installationen wurde über veraltete Plugins kompromittiert, nicht über komplexe Angriffstechniken. Ein Penetrationstest deckt genau solche naheliegenden, aber unbemerkten Lücken auf, bevor sie ausgenutzt werden.
Häufige Fragen
Ist ein Penetrationstest legal? Ja, sofern er mit ausdrücklicher Erlaubnis des Systembetreibers durchgeführt wird. Ohne diese Erlaubnis ist derselbe Vorgang ein strafbarer Angriff.
Was kostet ein Penetrationstest? Das hängt vom Umfang der Systeme ab, exakte Preise nur auf Anfrage.
Reicht ein automatischer Sicherheits-Scan statt eines Penetrationstests? Ein Scan findet bekannte Muster automatisiert, ein Penetrationstest geht weiter und prüft aktiv, ob eine gefundene Schwachstelle tatsächlich ausnutzbar ist.
Was passiert nach einem Penetrationstest? Sie erhalten einen Bericht mit gefundenen Schwachstellen, deren Risiko-Einstufung und konkreten Empfehlungen zur Behebung.
Weitere Begriffe rund um IT-Sicherheit und Webentwicklung im IT- & Marketing-Lexikon.
Verwandte Begriffe
