Ethical Hacking als Auftrag: So läuft ein Penetrationstest ab

Ein Hacker dringt in ein Firmennetz ein und schreibt dafür eine Rechnung. Für Außenstehende klingt das widersprüchlich. Für viele Unternehmen ist es Alltag. Sie beauftragen Fachleute, ihre Systeme so anzugreifen, wie es ein Krimineller tun würde. Der Unterschied liegt in der Erlaubnis und im Ziel.

Diese Arbeit heißt Ethical Hacking, auf Deutsch auch ethisches Hacken. Die bekannteste Form ist der Penetrationstest, kurz Pentest. Dabei suchen Prüfer in einem vereinbarten Rahmen nach Schwachstellen und zeigen, wie weit ein Angreifer damit käme. Am Ende steht kein Schaden, sondern ein Bericht.

Dieser Artikel betrachtet das Thema aus Sicht des Auftraggebers. Wann ist ein solcher Test sinnvoll, wie wird er sauber vorbereitet, und was passiert danach?

Die Erlaubnis macht den Unterschied

Technisch ähneln sich ethische und kriminelle Angriffe oft. Rechtlich trennt sie eine klare Linie. Wer ohne Zustimmung in fremde Systeme eindringt, macht sich in Deutschland strafbar, auch wenn er nur helfen wollte. Das gilt ebenso für einen Fremden, der ungefragt testet und danach einen Hinweis schickt.

Ein seriöser Test beginnt deshalb mit einer schriftlichen Vereinbarung. Unterschreiben muss jemand, der über die betroffenen Systeme tatsächlich verfügen darf. Liegen Daten bei einem Rechenzentrum oder in der Cloud, gelten oft auch dessen Regeln. Viele Betreiber erlauben Tests durch ihre Kunden, aber nur unter Bedingungen.

Ein Sicherheitstest ohne schriftliche Erlaubnis ist kein Test, sondern ein Angriff mit guter Ausrede.

Wann sich ein Test lohnt

Ein Pentest ist kein Einstieg in die IT-Sicherheit. Wer Updates nicht im Griff hat und keine Datensicherung besitzt, braucht keinen teuren Test, um das zu erfahren. Sinnvoll wird er, wenn die Grundlagen stehen und das Unternehmen wissen will, ob sie tragen.

Typische Anlässe sind eine neue Webanwendung vor dem Start, ein Kundenportal mit sensiblen Daten oder ein größerer Umbau des Netzes. Oft verlangen auch Geschäftskunden oder Versicherer einen Nachweis. In regulierten Branchen wie dem Finanzwesen gehören regelmäßige Sicherheitstests ohnehin zu den Erwartungen der Aufsicht.

Wichtig ist eine klare Frage. „Testen Sie mal alles“ ist kein guter Auftrag. Besser sind Fragen wie diese: Kann ein angemeldeter Kunde die Daten anderer Kunden sehen? Wie weit käme jemand, der das Passwort einer Mitarbeiterin erbeutet hat? Je genauer die Frage, desto brauchbarer die Antwort.

Was vor dem Test festgelegt wird

Die Vorbereitung entscheidet über den Wert des ganzen Projekts. Auftraggeber und Prüfer klären gemeinsam einige Punkte, bevor die erste Prüfung startet:

• Umfang: Welche Systeme, Anwendungen oder Standorte gehören dazu, und welche ausdrücklich nicht?
• Ziel: Geht es um eine Webanwendung, um das interne Netz oder um die Frage, wie weit ein Angreifer mit einem gestohlenen Laptop käme?
• Kenntnisstand: Erhalten die Prüfer Zugangsdaten und Unterlagen, oder starten sie wie Außenstehende ohne Vorwissen?
• Zeitfenster: Wann darf getestet werden, damit Kunden und Produktion nicht gestört werden?
• Grenzen: Sind etwa Übungen mit vorbereiteten Täuschungsmails an Mitarbeitende erlaubt, und wer wird vorab informiert?
• Notfallkontakte: Wen rufen die Prüfer an, wenn ein System ausfällt oder sie Spuren eines echten Angriffs finden?

Gerade der letzte Punkt wird oft vergessen. Es kommt vor, dass Prüfer auf Hinweise stoßen, dass bereits Unbefugte im Netz waren. Dann muss sofort klar sein, wer entscheidet und wie es weitergeht.

Welche Arten von Tests es gibt

Ein Pentest ist nicht gleich ein Pentest. Ein externer Test prüft, was aus dem Internet erreichbar ist, etwa Webseiten, Kundenportale und Zugänge für das Homeoffice. Ein interner Test geht davon aus, dass ein Angreifer schon im Netz ist, etwa über ein verseuchtes Gerät. Er zeigt, wie leicht er sich von dort ausbreiten könnte.

Daneben gibt es Prüfungen einzelner Anwendungen, von Apps oder von vernetzten Geräten in der Produktion. Manche Unternehmen lassen auch prüfen, wie Mitarbeitende auf Täuschungsversuche reagieren. Solche Übungen brauchen besondere Sorgfalt. Sie sollen aufklären, nicht einzelne Personen bloßstellen. Der Betriebsrat ist hier oft einzubeziehen.

Eine erweiterte Form ist das sogenannte Red Teaming. Hier simuliert ein Team über Wochen einen gezielten Angriff, ohne dass die eigene Sicherheitsabteilung eingeweiht ist. Das prüft vor allem, ob Angriffe bemerkt werden. Für Unternehmen ohne eigene Überwachung kommt das meist zu früh.

Den richtigen Prüfer finden

Die Qualität schwankt stark. Manche Angebote bestehen im Kern aus einem automatischen Scan, der als Pentest verkauft wird. Ein Scanner findet bekannte Lücken. Er übersieht aber Fehler in der Geschäftslogik, etwa wenn ein Kunde durch Ändern einer Nummer fremde Rechnungen sieht.

Fragen Sie deshalb nach einem anonymisierten Beispielbericht. Fragen Sie, wer konkret testet, welche Erfahrung diese Person hat und wie viele Tage Handarbeit eingeplant sind. Anerkannte Zertifikate können ein Hinweis sein, ersetzen aber nicht den Blick auf Arbeitsproben. Auch Haftung, Verschwiegenheit und Versicherung des Dienstleisters gehören in den Vertrag.

Die Kosten richten sich vor allem nach der Zahl der Prüftage. Der Test einer einzelnen Webanwendung ist deutlich günstiger als die Prüfung eines ganzen Konzernnetzes. Ein sehr niedriger Preis deutet meist auf wenig Handarbeit hin.

Nach dem Bericht beginnt die Arbeit

Ein guter Bericht beschreibt jede Schwachstelle verständlich, bewertet ihr Risiko und schlägt eine Abhilfe vor. Er enthält eine Zusammenfassung für die Geschäftsleitung und technische Details für die IT. Weil er die Schwächen des Unternehmens auflistet, wird er streng vertraulich behandelt.

Danach kommt der unbequeme Teil: beheben. Kritische Lücken sollten sofort geschlossen werden, der Rest nach einem Plan mit Fristen und Verantwortlichen. Ein Nachtest zeigt, ob die Korrekturen wirken. Viele Prüfer bieten ihn in reduziertem Umfang an.

Lesen Sie den Bericht auch auf Muster hin. Tauchen ähnliche Fehler in mehreren Anwendungen auf, liegt das Problem oft im Entwicklungsprozess und nicht im einzelnen Programm. Dann helfen Schulungen, feste Prüfschritte vor jeder Veröffentlichung oder sicherere Standardeinstellungen mehr als einzelne Korrekturen.

Wichtig bleibt der Blick auf die Grenzen. Ein Pentest ist eine Momentaufnahme. Schon das nächste Update oder eine neue Anwendung kann neue Lücken schaffen. Deshalb wiederholen viele Unternehmen Tests regelmäßig oder nach größeren Änderungen.

Manche ergänzen sie um ein Meldeprogramm, über das externe Sicherheitsforscher gefundene Lücken nach klaren Regeln melden dürfen, oft gegen eine Belohnung. Sicherheit entsteht dabei nicht durch den einen Test. Sie entsteht durch die Routine dahinter.