Was ist ein Penetrationstest?
Der Begriff "Penetrationstest" beschreibt eine IT-Sicherheitsüberprüfung - in der Regel von Unternehmen und Behörden. IT-Sicherheitsexperten, sogenannte Ethical Hacker, versuchen dabei ein System zu penetrieren - also in dieses einzudringen - und die zuvor definierte Zielsetzung (Datenschutzverletzung, Ausfall von Infrastrukturen etc.) kontrolliert hervorzurufen. Dabei werden gängige Hackermethoden und Tools verwendet. Auch manuelle Methoden der persönlichen Beeinflussung können genutzt werden (Social-Engineering). Hintergrund des Penetration Testings ist es, Sicherheitslücken aufzuspüren, um IT-Umgebungen nachhaltig und sicher zu gestalten.
Unsere Kunden:
Black-Box-Test
Der Black-Box-Penetrationstest zeichnet sich dadurch aus, dass die Angreifer / Ethical Hacker kaum bis gar kein Wissen über das Zielobjekt besitzen. Hierdurch lassen sich Schwachstellen an Außenpunkten von Systemen ausmachen. Häufig überschneidet sich die Begrifflichkeit mit dem "externen Penetrationstest".
Grey-Box-Test
Beim Grey-Box-Pentest sind den Pentestern bereits einige (aber noch nicht alle) Daten bekannt - beispielsweise Passwörter oder andere Zugangsdaten. Mit diesem Wissen ändert sich die Methodik - auch neue Angriffsziele werden ins Visier genommen, um weitere Kontrolle über ein System zu erlangen.
White-Box-Test
Im Rahmen des White-Box-Pentests haben die Prüfer nicht nur Zugriff auf ein System, sondern auch auf sämtliche Quellcodes des Ziels. Auch das Infrastruktur-Design sowie Dienstauskünfte sind den Ethical Hackern in diesem Szenario bekannt. Der White-Box-Pentest ist sozusagen die dritte Ausbaustufe.
1. Vorbereitungsphase
Ganz am Anfang gilt es, in engster Abstimmung mit dem Auftraggeber Ziele und Umfang des Penetrationstests zu definieren. Soll eine spezielle Anwendung geprüft werden, rücken menschliche Schwachstellen im Bereich Social-Engineering in den Fokus, bezieht sich die Sicherheitsprüfung auf spezielle Apps und Endgeräte und welches Szenario soll gewählt werden? Diese und weitere Fragen werden geklärt. Auch die Vertragsgestaltung wird entsprechend besprochen und umgesetzt.
2. Sammeln von Informationen
Nach Abschluss der Phase 1 starten die Pentester ihre Arbeit. Diese bezieht sich zunächst auf das Sammeln so vieler Informationen wie möglich. Erst dann ist es möglich, die geeigneten Methoden zu wählen, mit denen der Penetrationstest in einem der nächsten Schritte in die heiße Phase eintaucht.
3. Bewertungsphase
Bevor der eigentliche Penetrationstest startet, bewerten die Pentester in einer dritten Phase der Vorbereitung das individuelle Gefahrenpotential des Zielobjekts. In dieser Phase werden beispielsweise Prioritäten definiert sowie Aufwand und Erfolgschancen abgewägt.
4. Durchführung des Pentests
Die vierte Phase dient der Durchführung des eigentlichen Tests. Hier werden die in Phase 1 definierten Ziele mit der gewählten Methodik angegriffen, um diese zu penetrieren. Schwachstellen werden nun sichtbar und entsprechend dokumentiert.
5. Dokumentation + Nachbetreuung
Die letzte Phase dient der Dokumentation und Besprechung der Testergebnisse mit den Auftraggebern. Neben der Darstellung sämtlicher detektierter Risiken können auch Empfehlungen gegeben oder gar weitreichende Aktionspläne entwickelt werden.
IT-Sicherheit ist keine Kür, sondern eine Pflichtaufgabe - für Unternehmen und Behörden jeder Art und Größe. In einer vernetzten Welt, in der die globalen Bedrohungen Auswirkungen auf jeden einzelnen von uns haben, ist der Fokus auf die Überprüfung von Sicherheitsrisiken und die damit verbundene Implementierung nachhaltiger Standards zu richten.
Zögern Sie nicht, bis es zu spät ist, sondern handeln Sie jetzt. Mein Team und ich beraten Sie umfassend und unverbindlich rund um den Penetrationstest und sind auch weiterführend für Sie da.
Martin Nambli
Zertifizierter IT-Security-Experte
Sicherheit und Performance in perfekter Symbiose
Bedrohungen - Methodik
Ein Penetrationstest wird mit den gleichen Methoden durchgeführt, die auch kriminelle Hacker anwenden, um sich Zugang zu IT-Systemen zu verschaffen.
Was wird beim Pentest geprüft?
Der Penetrationstest kann sich auf isolierte Bereiche oder komplette Netzwerke und Systeme beziehen.
Web-Application-Pentest
Hierbei werden Web-Anwendungen, bestehend aus Quellcode, Datenbank und Back-End-Network, attackiert. Mögliche Angriffsmethoden beim Web-Application-Pentest sind SQL-Injection und DDoS-Attacken.
IT-Infrastruktur-Pentest
Sämtliche Hard-und Software-Komponenten befinden sich bei einem IT-Infrastruktur Penetration Test im Visier der Ethical Hacker. Sowohl interne Systeme als auch Cloud-Lösungen und hybride Einrichtungen werden dabei geprüft.
IOT-Penetrationstest
Das Internet der Dinge (engl. “Internet of Things”) nimmt im Alltag immer mehr an Bedeutung zu. Der IoT-Pentest deckt Sicherheitslücken in IOT-Umgebungen auf, indem sämtliche Komponenten wie Server, Apps, Hardware und Schnittstellen einem “Stresstest” unterzogen werden.
Externer Pentest
Die öffentlich zugänglichen Systeme werden bei einem externen Penetrationstest geprüft. Dies können Login Bereiche von Websites bzw. CMS-Systemen aber auch Mailserver und Datenbanken sein.
Interner Pentest
Der interne Penetrationstest stellt die Prüfung interner Verschlüsselungssysteme und Konfigurationen, aber auch der User Awareness, in den Vordergrund.
Martin Nambli
FAQ - Antworten auf häufige Fragen
Informationen des BSI zum Penetrationstest
Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat ein Durchführungskonzept für Penetrationstests erarbeitet. Dieses informiert gleichermaßen über Durchführung, Methodik und Zielsetzung eines Penetrationstests. Das Dokument ist kostenlos verfügbar.
Wer sind wir und warum machen wir das?
Wir sind ein Zusammenschluss von IT-Expertinnen und -Experten und haben uns 2022 zusammengefunden, um auf einer zentralen und vor allem übersichtlichen Plattform über Penetrationstests zu informieren. Ziel ist es, den wirtschaftlichen Schaden, der jedes Jahr in Deutschland durch Cyberangriffe entsteht, zu minimieren. Dazu beraten wir telefonisch und vermitteln passende, zertifizierte und handgeprüfte Dienstleister in allen Regionen Deutschlands.
Fordern Sie einen Rückruf an.
[fc id='3'][/fc]