Penetrationstest: Ein Penetrationstest ist ein simulierter, kontrollierter Angriff auf IT-Systeme, Netzwerke oder Anwendungen, mit dem spezialisierte Tester gezielt ausnutzbare Schwachstellen aufdecken, bevor echte Angreifer sie finden.
Anders als ein automatisierter Schwachstellenscan versucht ein Penetrationstest aktiv, gefundene Lücken auch tatsächlich auszunutzen – etwa um zu prüfen, ob sich über eine offene Schnittstelle wirklich in ein System eindringen lässt. Durchgeführt wird er meist von externen, spezialisierten Dienstleistern, die nach einem vorab vereinbarten Testumfang (Scope) und mit klar definierten Grenzen arbeiten, um den laufenden Betrieb nicht zu gefährden.
Man unterscheidet typischerweise Black-Box-Tests, bei denen der Tester keine internen Informationen erhält und die Perspektive eines externen Angreifers einnimmt, und White-Box-Tests mit vollem Zugriff auf Quellcode und Systemdokumentation für eine tiefere Prüfung. Am Ende steht ein Bericht mit gefundenen Schwachstellen, deren Kritikalität und konkreten Handlungsempfehlungen zur Behebung. Verbreitet ist zudem der Grey-Box-Test als Mischform, bei dem die Tester über eingeschränktes Vorwissen verfügen, etwa einen einfachen Nutzerzugang, um realistische Angriffsszenarien mit vertretbarem Aufwand abzubilden.
Für ISO 27001 ist der Penetrationstest eine von mehreren möglichen Methoden, um die Wirksamkeit technischer Sicherheitsmaßnahmen zu überprüfen; die Norm selbst schreibt keine feste Testmethode vor. Die NIS2-Richtlinie nennt regelmäßige Sicherheitstests dagegen explizit als eine der Pflichtmaßnahmen für betroffene Einrichtungen.
- Black-Box-Test: Perspektive eines externen Angreifers ohne Vorwissen
- White-Box-Test: voller Zugriff auf Quellcode und Dokumentation
- Ergebnis: Bericht mit Schwachstellen, Kritikalität und Handlungsempfehlungen
- NIS2 nennt regelmäßige Tests explizit als Pflichtmaßnahme
Relevanz für die Zertifizierung
Für die ISO-27001-Zertifizierung ist ein Penetrationstest keine explizite Normanforderung, aber ein anerkannter Nachweis dafür, dass technische Sicherheitsmaßnahmen tatsächlich wirken – der Auditor akzeptiert ihn als Beleg für die in Anhang A geforderte regelmäßige Überprüfung der Informationssicherheit. Unternehmen, die zusätzlich unter NIS2 fallen, sollten den Test nicht als Kür, sondern als eine der zehn Pflichtmaßnahmen einplanen und dessen Ergebnisse samt Behebung im ISMS dokumentieren. Wichtig für das Audit ist weniger der Test selbst als der Umgang mit den Ergebnissen: Werden gefundene Schwachstellen nachweislich behoben und die Behebung dokumentiert, statt den Bericht nur abzulegen?
Häufige Fragen zu Penetrationstest
Nein, ISO 27001 schreibt keine bestimmte Testmethode vor. Der Auditor verlangt lediglich einen Nachweis, dass die Wirksamkeit technischer Sicherheitsmaßnahmen regelmäßig überprüft wird – ein Penetrationstest ist dafür ein anerkanntes, aber nicht das einzige Mittel. Unternehmen, die unter NIS2 fallen, müssen regelmäßige Sicherheitstests dagegen als explizite Pflichtmaßnahme nachweisen.
Die Kosten hängen stark vom Testumfang ab: Ein einfacher Test einer einzelnen Webanwendung liegt oft im niedrigen vierstelligen Bereich, ein umfassender Test mehrerer Systeme mit internem Netzwerk deutlich darüber. Entscheidend für den Preis sind Anzahl der Systeme, Testtiefe (Black- oder White-Box) und der vereinbarte Zeitaufwand der Tester.
Eine feste Frist schreibt ISO 27001 nicht vor; verbreitet ist eine jährliche Wiederholung oder ein Test nach jeder wesentlichen Änderung an kritischen Systemen. Unternehmen, die unter NIS2 fallen, sollten sich an den dort vorgesehenen regelmäßigen Testzyklen orientieren und diesen im ISMS als festen Turnus dokumentieren.