Penetrationstest im Mittelstand: Ziele, Varianten, Ablauf und Auswertung

Ein Penetrationstest im Mittelstand beantwortet eine Frage, die sich mit Richtlinien, Zertifikaten und Fragebögen allein nicht klären lässt: Wie weit käme ein Angreifer mit den Mitteln und dem Wissen eines realen Täters tatsächlich in die eigene IT-Umgebung? Während Audits prüfen, ob Regeln dokumentiert und Maßnahmen beschlossen wurden, versucht ein Penetrationstest, die vorhandenen Schutzmaßnahmen kontrolliert zu überwinden und die dabei gefundenen Schwachstellen nachvollziehbar zu belegen. Für Geschäftsführer und IT-Verantwortliche liegt der Wert in einem belastbaren Lagebild: Welche Schwachstellen sind ausnutzbar, welche Daten und Systeme wären betroffen, und welche Maßnahmen verringern das Risiko am stärksten? Gerade in mittelständischen Unternehmen mit gewachsener Infrastruktur, Altsystemen und externen Dienstleistern entstehen Lücken oft an den Schnittstellen und nicht in einzelnen Produkten. Der Beitrag erläutert, was ein Penetrationstest leistet, wie er sich von Schwachstellenscans und Audits unterscheidet, welche Testarten es gibt, welche rechtlichen Voraussetzungen gelten und wie Vorbereitung, Durchführung und Auswertung so organisiert werden, dass das Ergebnis tatsächlich zu Verbesserungen führt.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechts- oder Steuerberatung dar und ersetzt nicht die Beratung durch qualifizierte Fachleute. Für verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an eine zugelassene Beratung.

Titelbild: Foto von Jefferson Santos auf Unsplash.

Was ein Penetrationstest leistet und was nicht

Ein Penetrationstest ist eine zeitlich begrenzte, geplante und autorisierte Sicherheitsprüfung. Qualifizierte Prüfer setzen dabei Methoden ein, die auch reale Angreifer nutzen, etwa das Ausnutzen von Konfigurationsfehlern, schwachen Zugangsdaten, ungepatchten Komponenten oder fehlerhaften Berechtigungen. Das Ergebnis ist kein Zertifikat, sondern ein Bericht mit nachgewiesenen Schwachstellen, deren Auswirkungen und konkreten Empfehlungen zur Behebung.

Wichtig ist die Einordnung der Aussagekraft. Ein Test ist eine Momentaufnahme im definierten Umfang. Ein unauffälliges Ergebnis bedeutet nicht, dass keine Schwachstellen existieren, sondern dass die Prüfer innerhalb von Zeit, Umfang und Methodik keine ausnutzbaren Lücken gefunden haben. Umgekehrt zeigt ein auffälliges Ergebnis nicht zwingend Versagen, sondern ist ein Zeichen dafür, dass die Prüfung ihren Zweck erfüllt hat.

• Er belegt, ob und wie sich Schwachstellen in einer realistischen Angriffskette verknüpfen lassen.
• Er liefert eine priorisierte Maßnahmenliste auf Basis nachgewiesener Auswirkungen.
• Er prüft, ob Erkennungs- und Reaktionsfähigkeiten im Betrieb tatsächlich greifen.
• Er ersetzt weder ein Informationssicherheits-Managementsystem noch regelmäßiges Patch-Management oder eine Risikoanalyse.

Abgrenzung zu Schwachstellenscan, Audit und Red Teaming

Im Sprachgebrauch werden Begriffe häufig vermischt. Das führt in Ausschreibungen zu Angeboten, die nicht vergleichbar sind, und zu falschen Erwartungen bei der Geschäftsführung. Die folgende Übersicht ordnet die gängigen Prüfformate ein.

Format	Kernfrage	Vorgehen	Typische Dauer
Schwachstellenscan	Welche bekannten Schwachstellen sind vorhanden?	Automatisiert, breit, ohne manuelle Ausnutzung	Stunden bis wenige Tage
Penetrationstest	Was kann ein Angreifer im definierten Umfang erreichen?	Manuell und werkzeuggestützt, Ausnutzung wird nachgewiesen	Mehrere Tage bis Wochen
Red Teaming	Erkennt und stoppt das Unternehmen einen gezielten Angriff?	Zielorientiert, verdeckt, inklusive Social Engineering	Mehrere Wochen
Security-Audit	Sind Regeln und Maßnahmen dokumentiert und umgesetzt?	Dokumentenprüfung, Interviews, Stichproben	Tage bis Wochen

Für die meisten mittelständischen Unternehmen ist die Kombination aus regelmäßigen automatisierten Scans und einem gezielten Penetrationstest in größeren Abständen sinnvoll. Red Teaming setzt eine hohe Reife in Erkennung und Reaktion voraus und lohnt sich erst, wenn die Grundlagen stabil sind.

Testarten und Testobjekte

Blackbox, Greybox und Whitebox

Die Testarten unterscheiden sich im Vorwissen der Prüfer. Beim Blackbox-Test erhalten sie nur öffentlich zugängliche Informationen, etwa Domainnamen und IP-Bereiche. Das bildet einen externen Angreifer ab, ist aber zeitintensiv und deckt weniger in die Tiefe ab. Beim Greybox-Test stehen den Prüfern begrenzte Informationen zur Verfügung, zum Beispiel ein Benutzerkonto mit Standardrechten. Das entspricht einem Innentäter oder einem Angreifer, der bereits ein Konto erbeutet hat.

Beim Whitebox-Test liegen Architekturunterlagen, Konfigurationen oder Quellcode vor. Die Prüfung wird dadurch effizienter und gründlicher. Für Unternehmen mit begrenztem Budget ist der Greybox-Ansatz häufig der beste Kompromiss, weil die Prüfzeit auf tatsächliche Schwachstellen statt auf Informationsbeschaffung verwendet wird.

Typische Testobjekte im Mittelstand

• Extern erreichbare Systeme: Webserver, VPN-Gateways, Mailserver, Remotezugänge und Cloud-Dienste.
• Interne Netzwerke: Segmentierung, Active Directory, Dateiserver, Druckdienste und Administrationsschnittstellen.
• Webanwendungen und Portale: Kundenportale, Shops, Schnittstellen und Eigenentwicklungen.
• Funknetze und Gäste-WLAN: Trennung vom Produktivnetz und Zugangsschutz.
• Menschen und Prozesse: Phishing-Simulationen und Prüfung physischer Zutrittswege nur nach ausdrücklicher Abstimmung.

Die Auswahl richtet sich nach dem Schutzbedarf. Systeme, deren Ausfall oder Kompromittierung den Geschäftsbetrieb oder personenbezogene Daten gefährdet, haben Vorrang. Produktionsnahe Umgebungen mit Steuerungstechnik erfordern besondere Vorsicht und sollten nur nach gesonderter Risikoabwägung getestet werden.

Rechtliche Rahmenbedingungen

Ein Penetrationstest greift in Systeme ein, die ohne Erlaubnis nicht angegriffen werden dürfen. Die Strafvorschriften zum Ausspähen und Abfangen von Daten (§§ 202a und 202b StGB) sowie zur Vorbereitung solcher Taten (§ 202c StGB) machen eine ausdrückliche, schriftliche Beauftragung unverzichtbar. Maßgeblich ist, dass der Auftraggeber über die geprüften Systeme verfügungsberechtigt ist. Den Wortlaut finden Sie auf gesetze-im-internet.de.

Bei Systemen, die nicht im Eigentum des Unternehmens stehen, ist die Zustimmung der Betreiber einzuholen. Das betrifft Cloud-Dienste, gehostete Anwendungen und Rechenzentrumsdienstleister. Viele Anbieter haben eigene Regeln für Sicherheitstests und verlangen Anmeldung oder Freigabe. Ohne diese Freigabe drohen vertragliche Konsequenzen oder die Sperrung von Konten.

Datenschutzrechtlich ist zu beachten, dass die Prüfer bei der Arbeit Zugriff auf personenbezogene Daten erlangen können. Besteht die Möglichkeit eines solchen Zugriffs, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO oder eine gleichwertige Vereinbarung sinnvoll. Zusätzlich sollten Verschwiegenheit, Datenminimierung und die Löschung von Testdaten verbindlich geregelt werden.

Ein Penetrationstest ohne klare Beauftragung, definierten Umfang und benannte Ansprechpartner ist kein Sicherheitsgewinn, sondern ein zusätzliches Risiko.

Vorbereitung und Scoping

Die Qualität eines Tests entscheidet sich in der Vorbereitung. Ein unscharfer Umfang führt zu Nachträgen, Lücken oder Prüfungen an Systemen, die nicht freigegeben waren. Die folgenden Schritte haben sich bewährt.

1. Ziel festlegen: Soll ein Kundenportal abgesichert, eine Anforderung eines Kunden erfüllt oder die Wirksamkeit der Segmentierung geprüft werden?
2. Umfang abgrenzen: Welche Systeme, Netzbereiche und Anwendungen sind enthalten, welche ausdrücklich ausgeschlossen?
3. Testart bestimmen: Blackbox, Greybox oder Whitebox, intern, extern oder kombiniert.
4. Zeitfenster und Randbedingungen festlegen: Testzeiten, Lastgrenzen, Verhalten bei kritischen Funden und Notfallkontakte.
5. Freigaben einholen: Eigentümer, Betreiber, Dienstleister und gegebenenfalls Betriebsrat und Datenschutzbeauftragte informieren.
6. Verhaltensregeln vereinbaren: Wann wird der Auftraggeber sofort informiert, und welche Techniken sind ausgeschlossen?

Eine häufig unterschätzte Entscheidung ist, wer im Unternehmen vom Test weiß. Wird die IT-Abteilung eingeweiht, lassen sich Ausfälle vermeiden. Wird sie bewusst nicht informiert, lässt sich prüfen, ob die Erkennung funktioniert. Beide Varianten sind legitim, müssen aber von der Geschäftsführung bewusst entschieden werden.

Ablauf eines Penetrationstests

Seriöse Anbieter orientieren sich an etablierten Vorgehensmodellen, etwa den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (bsi.bund.de). Im Kern durchläuft jeder Test dieselben Phasen.

1. Informationsbeschaffung: Die Prüfer sammeln öffentlich verfügbare Informationen und identifizieren erreichbare Systeme, Dienste und Versionsstände.
2. Schwachstellenanalyse: Aus den gewonnenen Informationen werden mögliche Angriffspunkte abgeleitet, teils mit automatisierten Werkzeugen.
3. Ausnutzung: Ausgewählte Schwachstellen werden kontrolliert ausgenutzt, um die tatsächliche Auswirkung zu belegen.
4. Nachgelagerte Schritte: Gelingt der Zugriff, wird geprüft, ob sich Rechte ausweiten oder weitere Systeme erreichen lassen.
5. Dokumentation: Alle Schritte, Befunde und Belege werden nachvollziehbar festgehalten.
6. Abschlussbesprechung: Die Ergebnisse werden mit IT, Geschäftsführung und gegebenenfalls Dienstleistern besprochen.

Während der Durchführung sollte ein fester Ansprechpartner erreichbar sein. Entdecken die Prüfer eine kritische Schwachstelle, etwa einen offenen Zugang mit Administratorrechten oder bereits vorhandene Spuren eines fremden Angriffs, muss der Auftraggeber unverzüglich informiert werden, ohne das Ende des Testzeitraums abzuwarten.

Ergebnisbericht und Bewertung der Befunde

Ein guter Bericht richtet sich an zwei Zielgruppen. Die Geschäftsführung benötigt eine verständliche Zusammenfassung mit Gesamtbewertung, Risikoeinschätzung und Handlungsbedarf. Die technischen Verantwortlichen benötigen reproduzierbare Details, damit sie Schwachstellen nachstellen und beheben können.

Die Bewertung der Befunde erfolgt üblicherweise nach Schweregrad, häufig unter Rückgriff auf das Common Vulnerability Scoring System (CVSS). Entscheidend ist die Anpassung an die konkrete Umgebung: Eine formal mittlere Schwachstelle kann auf einem Server mit sensiblen Daten kritisch sein.

Schweregrad	Bedeutung	Empfohlene Reaktion
Kritisch	Unmittelbare Kompromittierung wichtiger Systeme oder Daten möglich	Sofortmaßnahme, Eskalation an die Geschäftsführung
Hoch	Ausnutzung mit begrenztem Aufwand, erhebliche Auswirkung	Behebung innerhalb weniger Tage bis Wochen
Mittel	Ausnutzung erfordert Voraussetzungen oder bringt begrenzte Auswirkung	Einplanung im regulären Wartungszyklus
Niedrig	Geringe Auswirkung oder schwer ausnutzbar	Behebung bei Gelegenheit, Dokumentation

Der Bericht sollte außerdem positive Befunde enthalten, also Bereiche, in denen Schutzmaßnahmen wirksam waren. Das hilft bei der Einordnung und stärkt die Akzeptanz im Team.

Maßnahmen nachverfolgen und Wirksamkeit prüfen

Der häufigste Mangel ist nicht der Test selbst, sondern die fehlende Nachverfolgung. Befunde, die nach dem Abschlussgespräch in einer Ablage verschwinden, verbessern nichts. Jeder Befund benötigt einen Verantwortlichen, eine Frist und einen Status. Empfehlenswert ist die Überführung in das bestehende Ticket- oder Risikomanagement, damit Fortschritt sichtbar bleibt.

Nach der Behebung kritischer und hoher Befunde sollte ein Nachtest stattfinden. Er prüft gezielt, ob die Maßnahmen wirksam sind und keine neuen Schwachstellen eingeführt haben. Viele Anbieter bieten dafür ein reduziertes Nachprüfungspaket an, das bereits im Angebot vereinbart werden kann.

• Offene Befunde nach Schweregrad im Management-Reporting darstellen.
• Ursachen gruppieren: fehlende Updates, schwache Authentifizierung, Fehlkonfiguration, unsichere Eigenentwicklung.
• Systemische Ursachen angehen, etwa durch ein Patch-Management oder verbindliche Härtungsstandards.
• Erkenntnisse in Schulungen und Beschaffungsanforderungen übernehmen.

Anbieterauswahl: Worauf es ankommt

Der Markt ist heterogen. Neben spezialisierten Prüfhäusern bieten auch Systemhäuser und Beratungsunternehmen Tests an. Für die Auswahl lassen sich nachvollziehbare Kriterien anlegen, die unabhängig vom Preis die Qualität sichern.

• Nachweisbare Qualifikation der Prüfer, etwa anerkannte Zertifizierungen und Erfahrung mit vergleichbaren Umgebungen.
• Transparente Methodik und Vorgehensbeschreibung statt reiner Werkzeugläufe.
• Muster eines anonymisierten Berichts, um Verständlichkeit und Tiefe zu beurteilen.
• Klare Regelungen zu Vertraulichkeit, Haftung, Datenhaltung und Löschung von Testdaten.
• Unabhängigkeit: Der Prüfer sollte die Systeme nicht selbst betreiben oder verkaufen, die er bewertet.
• Kontinuität, damit Folgetests auf vorherige Ergebnisse aufbauen können.

Auffällig niedrige Festpreise ohne Angabe des Aufwands in Personentagen sind ein Warnsignal. Ein belastbares Angebot nennt Umfang, Testart, Aufwand und Berichtsumfang.

Typische Stolperfallen

Aus der Praxis lassen sich wiederkehrende Fehler benennen, die den Nutzen eines Tests mindern.

• Der Umfang wird zu eng gewählt, sodass die kritischsten Systeme nicht geprüft werden.
• Ein automatisierter Scan wird als Penetrationstest verkauft oder eingekauft.
• Die Tests laufen ohne Abstimmung mit Dienstleistern und lösen Sperrungen oder Alarme aus.
• Der Bericht wird nur technisch gelesen, die Geschäftsführung erhält keine Entscheidungsgrundlage.
• Befunde werden behoben, ohne die Ursache zu klären, sodass dieselben Fehler erneut auftreten.
• Es gibt keinen Plan für den Fall, dass der Test selbst einen Ausfall verursacht.

Rhythmus und Auslöser für einen Test

Ein starrer Rhythmus ist weniger wichtig als ein klarer Anlass. Viele Unternehmen testen ihre extern erreichbaren Systeme einmal jährlich und zusätzlich bei wesentlichen Änderungen. Als Auslöser kommen in Betracht:

• Einführung oder wesentliche Änderung eines Kundenportals oder einer geschäftskritischen Anwendung.
• Umzug in die Cloud oder Neugestaltung der Netzwerkarchitektur.
• Übernahme eines Unternehmens und Integration fremder IT-Systeme.
• Vertragliche Anforderungen von Kunden oder Versicherern.
• Sicherheitsvorfall mit anschließender Wirksamkeitsprüfung.

Zwischen den Tests sorgen regelmäßige Schwachstellenscans und ein diszipliniertes Patch-Management dafür, dass bekannte Lücken nicht über Monate offen bleiben.

Praxisbeispiel: Mittelständischer Zulieferer mit Kundenportal

Ein Zulieferer mit mehreren Standorten betreibt ein Kundenportal, über das Auftragsdaten und Zeichnungen ausgetauscht werden. Auf Wunsch eines Großkunden soll die Sicherheit des Portals nachgewiesen werden. Das Unternehmen beauftragt einen Greybox-Test der Anwendung und der angebundenen Schnittstellen. Vorab werden Umfang, Testkonten und Zeitfenster schriftlich festgelegt, der Hosting-Dienstleister erteilt die Freigabe.

Die Prüfer stellen fest, dass ein Standardkonto mit Kundenrechten Dokumente anderer Kunden abrufen kann, weil eine Berechtigungsprüfung fehlt. Zudem ist eine veraltete Komponente der Anwendung mit bekannter Schwachstelle im Einsatz. Beide Befunde werden als hoch bewertet. Die Behebung erfolgt binnen zwei Wochen, anschließend bestätigt ein Nachtest die Wirksamkeit. Für die Zukunft wird die Berechtigungsprüfung in die Abnahmekriterien für Änderungen am Portal aufgenommen. Das Beispiel ist konstruiert und dient nur der Veranschaulichung.

Checkliste für die Beauftragung

• Ziel und Anlass des Tests sind schriftlich festgehalten.
• Umfang, Ausschlüsse, Testart und Zeitfenster sind abgestimmt.
• Eigentümer und Betreiber der Systeme haben zugestimmt.
• Ein Vertrag regelt Verschwiegenheit, Datenschutz, Haftung und Löschung der Testdaten.
• Ansprechpartner und Notfallkontakte sind auf beiden Seiten benannt.
• Das Verfahren bei kritischen Funden ist festgelegt.
• Berichtsformat, Abschlussbesprechung und Nachtest sind im Angebot enthalten.
• Die Nachverfolgung der Befunde ist mit Verantwortlichen und Fristen geplant.

Wer diese Punkte vor Testbeginn klärt, erhält mit einem Penetrationstest ein belastbares Instrument zur Steuerung von IT-Risiken, das über den Moment der Prüfung hinaus Wirkung entfaltet.

FAQ

Was kostet ein Penetrationstest im Mittelstand?
Die Kosten richten sich nach Umfang, Testart und Aufwand in Personentagen. Ein eng gefasster Test einzelner Systeme ist deutlich günstiger als die Prüfung eines gesamten Netzwerks. Verlässliche Angebote nennen den geplanten Aufwand und den Berichtsumfang, sodass sich mehrere Angebote vergleichen lassen.

Ist ein Schwachstellenscan ein Ersatz für einen Penetrationstest?
Nein. Ein Scan identifiziert bekannte Schwachstellen automatisiert, weist aber nicht nach, ob und wie sie sich ausnutzen lassen. Der Penetrationstest verknüpft Befunde manuell zu Angriffsketten und bewertet die tatsächlichen Auswirkungen. Beide Verfahren ergänzen sich.

Darf ein Penetrationstest ohne Genehmigung durchgeführt werden?
Nein. Unautorisierte Eingriffe können nach den Strafvorschriften zum Ausspähen und Abfangen von Daten strafbar sein. Erforderlich sind eine schriftliche Beauftragung und die Zustimmung der Verfügungsberechtigten, bei fremden Systemen auch der Betreiber.

Kann ein Penetrationstest den Betrieb stören?
Ein Restrisiko besteht, da Systeme gezielt belastet und angegriffen werden. Es lässt sich durch Testzeiten außerhalb kritischer Phasen, Lastgrenzen, Datensicherungen und einen erreichbaren Notfallkontakt deutlich verringern.

Wie oft sollte ein Penetrationstest stattfinden?
Üblich ist ein jährlicher Test der extern erreichbaren Systeme sowie ein zusätzlicher Test bei wesentlichen Änderungen, etwa neuen Anwendungen, Architekturumbauten oder Unternehmensübernahmen. Maßgeblich ist der Schutzbedarf der Systeme.