Was ein Penetrationstest genau ist und was Sie dafür zurückbekommen
„Können Sie unsere Software testen?“ ist eine Frage mit drei Antworten darin. Wie viel darf die Testerin vorab sehen, wie tief geht es und welche Fachgebiete zählen mit. Trennt man diese drei, wird der Rest einfach. Hier steht die ganze Geschichte: was die Begriffe bedeuten, was wir tun, was Sie bekommen und was wir nicht versprechen.
Drei Fragen in einer
Wer fragt „was für einen Test macht ihr?“, fragt eigentlich drei Dinge auf einmal. Erstens: wie viel weiß die Testerin vorab? Das heißt Box, und daher kommen Black Box, Grey Box und White Box. Zweitens: wie tief geht es? Das ist der Unterschied zwischen automatisiertem Scan, Pentest und Red Team, und das bestimmt vor allem den Preis. Drittens: welche Fachgebiete zählen mit? Web, Schnittstellen, Netzwerk, Quellcode, mobile Apps, KI-Funktionen. Diese drei Achsen sind unabhängig voneinander. Es gibt oberflächliche White-Box-Tests und tiefe Black-Box-Tests. Solange man sie vermischt, reden Angebote aneinander vorbei.
Black Box: hier ist die Adresse, viel Erfolg
Sie geben nur die URL heraus, sonst nichts. Keine Anmeldung, keine Dokumentation, keinen Code. Genau das, was jeder Außenstehende auch hat. Ich finde selbst heraus, welche Seiten es gibt, welche Schnittstellen darunterliegen, welche Ports offen sind und wo die schwachen Stellen sitzen. Vorteil: das realistischste Bild eines Angriffs von außen. Nachteil: Zeit geht ins Finden, und was man nicht findet, testet man auch nicht. Alles hinter der Anmeldung bleibt unsichtbar. Das ist eine gute erste Messung oder eine jährliche Kontrolle einer öffentlichen Website, aber es ist nicht der Weg, Tiefe einzukaufen.
Grey Box: die Adresse und ein Ausweis
Sie geben ein Testkonto dazu, wie Ihre Kunden es haben, und wo möglich eine Beschreibung der Schnittstellen. Jetzt lässt sich auch alles hinter der Anmeldung testen: kommt ein Nutzer an die Unterlagen eines anderen, kann er seine Rechte ausweiten, einen Prozessschritt überspringen, einen Betrag ändern, der feststehen müsste. Das bringt pro Stunde mit Abstand am meisten, weil keine Zeit im Suchen versickert. Und es ist nicht weniger ehrlich als Black Box: ein echter Angreifer legt sich einfach ein Konto an. Veröffentlicht Ihre Anwendung selbst eine technische Beschreibung ihrer Schnittstellen, wird die automatisch gefunden und der Scan kennt die vorhandenen Aufrufe, ohne zu raten. Tut sie das nicht, ist die Reichweite kleiner — und das gehört vorab ins Angebot, nicht nachher in die Nachbesprechung.
White Box: der Tresor und der Bauplan
Sie liefern den Quellcode oder den Container, in dem die Anwendung läuft. Dann muss nichts geraten werden. Ich lese, wo eine Datenbankabfrage zusammengebaut wird, sehe, welche Passwörter oder Schlüssel versehentlich im Code zurückgeblieben sind und welche mitgelieferten Bestandteile veraltet sind und bekannte Lücken haben. Damit findet man, was von außen unsichtbar bleibt. Der Nachteil: man sieht auch Code, der nie ausgeführt wird, es muss also priorisiert werden, und der Code sagt nichts darüber, wie der Server im Betrieb eingestellt ist. Deshalb steht White Box hier nie allein: es läuft zusätzlich zum Test der laufenden Anwendung, nicht an deren Stelle.
Eine Richtigstellung: White Hat ist nicht White Box
Diese beiden werden ständig verwechselt. Hat betrifft die Absicht des Hackers: Black Hat ist kriminell, White Hat arbeitet mit Erlaubnis, Grey Hat handelt ungefragt, aber nicht bösartig. Box betrifft, was die Testerin vorab sehen darf. Wir sind immer White Hat, und gerade als White Hat können wir Black-, Grey- und White-Box-Tests durchführen. Das eine Wort betrifft, wer man ist, das andere, was auf dem Tisch liegt.
Scan, Pentest oder Red Team
Ein Schwachstellenscan ist eine Maschine, die bekannte Schwächen abhakt. Schnell, breit und günstig, aber er erzeugt auch Fehlalarme und versteht Ihre Geschäftslogik nicht. Ein Pentest ist dieser Scan plus ein Mensch, der verifiziert, einzelne Feststellungen zu einer Angriffskette verknüpft und beurteilt, was es bedeutet, dass jemand an diese Daten kommt. Ein Red Team ist etwas ganz anderes: zielgerichtet, unauffällig, über Wochen, samt physischem Zugang und Täuschung von Mitarbeitenden. Letzteres mache ich nicht, also verspreche ich es auch nicht. Was ich liefere, sind die ersten beiden: ein breiter systematischer Scan mit Verifikation dahinter, plus menschliche Einordnung dessen, was herauskommt.
Was genau getestet wird
Die Anwendung selbst und ihre Schnittstellen, mit den klassischen OWASP-Kategorien als Grundlage: Injektion, gebrochene Zugriffskontrolle, Fehlkonfiguration, kaputte Sitzungen. Schnittstellen gesondert, denn REST, GraphQL und die älteren Varianten haben jeweils eigene Fehlerbilder. Moderne Webanwendungen, die alles im Browser aufbauen, werden mit einem echten Browser durchlaufen statt mit einem einfachen Textcrawler, sonst findet man nur einen Bruchteil der Oberfläche. Dazu: die Anmeldung und das Rechtemodell pro Rolle, ob jemand an die Daten eines anderen Kunden kommt, der Server und seine offenen Ports, die Einstellungen des Schlosses auf Ihrer Verbindung, fremde Bestandteile mit bekannten Lücken und KI-Funktionen in Ihrer Software — kann ein Nutzer den Assistenten seine Anweisungen ignorieren oder Daten herausgeben lassen. Mobile Apps für Android und iOS sind ein eigener Ablauf, ebenso eine Phishing-Simulation, die eine eigene Erlaubnis verlangt.
Drei Pakete, steigend mit dem, was Sie beisteuern
Basis ist schwarze Box: eine vollständige Portinventur plus die Standardprüfungen auf allem, was von außen auffindbar ist, mit Bericht und einem Nachtest. Gedacht, um zu wissen, wo Sie stehen. Standard ist graue Box: alles aus Basis, dazu authentifiziertes Testen hinter der Anmeldung, browserbasierte Erkundung für moderne Webanwendungen, der vollständige Prüfsatz statt des Standardsatzes und ein Beweisanhang mit Netzwerkmitschnitten und Screenshots. Premium ist weiße Box: alles aus Standard, dazu Quellcodeanalyse, das Aufspüren zurückgelassener Schlüssel und Passwörter, eine Inventur mitgelieferter Bestandteile mit ihren bekannten Lücken und die Zuordnung der Feststellungen zu Normen. Bei Premium wird die Zugangsinformation im Bericht unkenntlich gemacht, damit der Bericht nicht selbst zur neuen Lücke wird.
Was im Bericht steht
Geschrieben, um von Menschen gelesen zu werden, die keine Hacker sind. Vier Dinge pro Feststellung: was es ist, wo es sitzt, wie schwer es wiegt und was es für Ihren Betrieb bedeutet — also nicht „Konfigurationsfehler erkannt“, sondern was jemand damit anfangen kann. Dazu pro Feststellung, wie Sie es sicher nachstellen, mit Screenshots und Netzwerkmitschnitten als Beweis, und ein Nachtestkriterium: die konkrete Prüfung, mit der Sie später belegen, dass es zu ist. Vorn steht eine Top fünf, wo anzufangen ist, denn eine Liste von zweihundert Feststellungen ohne Rangfolge hilft niemandem. Für eine Auditakte werden die Feststellungen den Anforderungen zugeordnet, die sie berühren: OWASP, ISO 27001, NIS2, PCI-DSS, SOC 2 und DSGVO.
Einmal testen ist eine Momentaufnahme
Software ändert sich wöchentlich, und jeden Monat kommen neue Schwachstellen in Bestandteilen dazu, die Sie seit Jahren nutzen. Der Bericht vom letzten Jahr sagt also wenig. Deshalb kann ein Intervall darunterliegen: monatlich ein leichter Scan und quartalsweise ein tiefer, wobei jede Runde mit der vorherigen verglichen wird. Dann sehen Sie nicht nur, was da ist, sondern auch, was seit dem letzten Mal dazugekommen ist und was Sie tatsächlich behoben haben. Zu jeder Behebung gehört ein Nachtest, denn ohne Nachtest ist „geschlossen“ eine Behauptung und keine Tatsache.
Was ich nicht verspreche
Niemand findet alles, und wer das verspricht, verkauft Ihnen etwas. Deshalb steht im Bericht auch, was nicht getestet wurde und wo ich aufgehört habe: welche Teile außerhalb des Umfangs lagen, wo die Zeitgrenze saß und welche Teile nicht erreichbar waren. Automatisiertes Testen ersetzt keine erfahrene Fachkraft, die Tage an einer Anwendung sitzt; es liefert die systematische Hälfte, nachweisbar und wiederholbar. Wochenlanges stilles Eindringen samt Täuschung von Mitarbeitenden mache ich nicht. Und „zugeordnet zu ISO 27001“ bedeutet, dass ich zeige, welche Anforderung eine Feststellung berührt — es ist kein Audit und kein Zertifikat, und diese beiden dürfen in einem Angebot nie ineinanderlaufen.
Was in den Auftrag gehört
Vier Dinge, immer. Erstens die schriftliche Erlaubnis vor dem ersten Scan, mit dem Umfang darin: welche Domains und Adressen, in welchem Zeitfenster und wer Ansprechpartner ist, falls etwas umfällt. Ohne diese Erlaubnis teste ich nicht, das ist keine Formalie, sondern Strafrecht. Zweitens ausdrücklich, was außerhalb des Tests liegt. Drittens ein Auftragsverarbeitungsvertrag, wenn ich an personenbezogene Daten kommen kann, was bei einem Test hinter der Anmeldung fast immer der Fall ist. Viertens die Vereinbarung, dass ein Nachtest nach der Behebung enthalten ist. Bekommen Sie von wem auch immer ein Angebot, in dem diese vier fehlen, fragen Sie danach, bevor Sie unterschreiben.
Kurz gefasst
Box betrifft, was die Testerin vorab sieht: nur Ihre Adresse, zusätzlich ein Testkonto, oder zusätzlich den Quellcode. Mehr sehen heißt mehr testen, und ein echter Angreifer legt sich einfach ein Konto an — deshalb bringt Grey Box pro Stunde am meisten. Tiefe betrifft, wer hinschaut: ein Scan hakt ab, ein Pentest verifiziert und ordnet ein. Sie bekommen einen Bericht mit Beweis, Nachstellung und Nachtestkriterium pro Feststellung, dazu eine ehrliche Aufstellung dessen, was nicht getestet wurde. Die schriftliche Erlaubnis steht immer am Anfang.
Wollen Sie wissen, was Ihre Software nach außen zeigt?
Kostenloses Erstgespräch buchen →