Ein Penetrationstest, kurz "Pentest", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.

ISMS steht für Information Security Management System. Es handelt sich dabei um ein strukturiertes und systematisches Vorgehen, um die Informationssicherheit in einer Organisation zu managen. Ein ISMS umfasst nicht nur Technologie und technische Maßnahmen, sondern auch Aspekte wie Organisationsstrukturen, Policies, Prozesse und Menschen. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in der Organisation zu gewährleisten. Ein ISMS folgt in der Regel einem iterativen Prozess auf der Grundlage eines risikobasierten Ansatzes. Dies umfasst:

1 Bewertung der Risiken: Hierbei werden die Bedrohungen und Schwachstellen, die die Informationen in der Organisation gefährden könnten, identifiziert und bewertet. Dies kann auch eine Bewertung der möglichen Auswirkungen eines Sicherheitsvorfalls umfassen.
2 Implementierung von Maßnahmen: Basierend auf der Risikobewertung werden geeignete Sicherheitskontrollen implementiert, um die identifizierten Risiken zu behandeln. Dies kann physische Kontrollen, technische Kontrollen oder administrative Kontrollen umfassen.
3 Überwachung und Überprüfung: Die Effektivität der implementierten Kontrollen wird regelmäßig überwacht und überprüft. Dies kann durch interne Audits, Überprüfungen und andere Methoden erfolgen.
4 Kontinuierliche Verbesserung: Basierend auf den Ergebnissen der Überwachung und Überprüfung werden Verbesserungen am ISMS und an den Sicherheitsmaßnahmen vorgenommen.

Ein ISMS sollte in die Gesamtstrategie und -ziele einer Organisation eingebettet sein, um sicherzustellen, dass die Informationssicherheit im Einklang mit den Geschäftszielen steht. Es sollte auch eine Verpflichtung des Managements zur Informationssicherheit und eine klare Kommunikation der Sicherheitspolitik an alle Mitarbeiter geben.

Eine Frage, die nicht oft genug gestellt wird, ist, wie viel von den Tests automatisiert und wie viel manuell ist. Automatisierte Tools, insbesondere zu Beginn eines Projektes, können einem Pentester viel Zeit sparen und der Einsatz ist auch abhängig von Projekt zu Projekt. Erfahrungsgemäß sind jedoch ca. 90-95% des Pentets "Handarbeit".

Das soll nicht heißen, dass automatisierte Schwachstellen-Scanner keinen Mehrwert bieten; Schwachstellen-Scans sind schnelle und einfache Tools, die regelmäßig eingesetzt werden sollten, um fehlende Patches oder veraltete Software in größeren Umgebungen zu identifizieren.

Zugegeben, das ist gar nicht so einfach - wenn Ihnen jemand erzählt, dass er nur mit den besten Pentestern arbeitet, mag das schwer nachzuprüfen sein. Pentester mit mehr Erfahrung und aufwändigerer Ausbildung sind auch häufig teurer. Denken Sie einfach daran, dass Sie das bekommen, wofür Sie bezahlen. Hüten Sie sich vor Pentestern, die Preise anbieten, die zu gut sind, um wahr zu sein. Sie machen wahrscheinlich keine gründliche Arbeit. Ich schlage vor, nach Penetrationstestern zu suchen, die eine oder - besser - mehrere anerkannte Pentester-Zertifizeriungen haben.

Zu den in Sicherheitskreisen am meisten geachteten (und aufwändigsten) Zertifizierungen im Bereich Penetration Testing gehören die Zertifizierungen von Offensive Security (insbes. OSCP - Offensive Security Certified Professional, OSCE - Offensive Security Certified Expert) und von SANS/GIAC.

Ein IT-Sicherheitsaudit untersucht die Sicherheit der IT-Systeme eines Unternehmens aus einer ganzheitlichen Perspektive. Sicherheitsbedrohungen können nicht nur durch Angriffe entstehen, sondern auch durch technische Vorfälle, organisatorische Mängel oder höhere Gewalt.
Sicherheitsaudits finden oft im Rahmen eines ISMS (Informationssicherheits-Managementsystems) und prüfen nicht nur technische Sicherheitselemente, sondern auch die Einhaltung der eigenen Standards und Richtlinien, Sicherheitsprozesse, Schulung der Mitarbeiter (Stichwort Information Security Awareness) und ähnliche Aspekte. Manche Sicherheitsaudits beinhalten auch Elemente eines Schwachstellen-Scans.
Allerdings geht ein Sicherheitsaudit meist nicht so sehr ins technische Detail wie ein manueller Penetrationstest.

Der Umfang eines Penetrationstests sollte gemeinsam immer an die Besonderheiten des Unternehmens sowie des zu prüfenden Systems angepasst werden.

Im Falle einer Web-Applikation besteht der Umfang häufig aus der Server- und Betriebslandschaft sowie die Benutzeroberflächen und APIs. Oftmals gibt es Unternehmensanwendungen, die speziell für Ihre Informationen geschrieben wurde und die Sie sich ansehen lassen möchten.

Bei einem Netzwerk-Pentest spielen auch andere Überlegungen eine Rolle. Der gewählte Umfang sollte insbesondere unternehmenskritische Systeme umfassen, die im Falle einer Kompromittierung die Sicherheit beeinträchtigen können, z.B. weil sie sensible Daten speichern, wie beispielsweise Benutzerinformationen, Passwörter oder Kundendaten.

Sowohl Penetrationstests als auch automatisierte Schwachstellenscans sind nützliche Werkzeuge zum Erkennen von technischen Risiken und Sicherheitslücken. Obwohl es sich um unterschiedliche Testmethoden handelt, ergänzen sie sich und sollten beide durchgeführt werden.

Ein Schwachstellen-Scan ist eine automatisierte, kostengünstige Methode zum Testen gängiger Netzwerk- und Server-Schwachstellen. Dies wird manchmal auch als automatisierter Pen-Test bezeichnet. Es gibt viele automatisierte Tools, und die meisten lassen sich vom Endbenutzer leicht so konfigurieren, dass sie zeitgesteuert nach veröffentlichten Schwachstellen scannen. Ein automatisierter Schwachstellen-Scan ist zwar sehr effizient und kostengünstig, wenn es darum geht, allgemeine Schwachstellen wie fehlende Patches, Fehlkonfigurationen von Diensten und andere bekannte Schwachstellen zu identifizieren, aber sie sind nicht so genau, wenn es darum geht, die Richtigkeit von Schwachstellen zu überprüfen, und sie bestimmen auch nicht vollständig die Auswirkungen durch Ausnutzung. Automatisierte Scanner sind anfälliger für die Meldung von False Positives (falsch gemeldete Schwachstellen) und False Negatives (nicht identifizierte Schwachstellen, insbesondere solche, die Webanwendungen betreffen). Automatisiertes Schwachstellen-Scanning wird durch den Payment Card Industry Data Security Standard (PCI DSS) vorgeschrieben.
Bekannte Schwachstellen-Scanner sind beispielweise und OpenVAS. Beispiele für Scanner, welche auf das Finden von Schwachstellen von Webapplikationen spezialisiert sind Netsparker Security Scanner und Acunetix Vulnerability Scanner.

Ein Penetrationstest konzentriert sich auf die Umgebung als Ganzes. In vielerlei Hinsicht knüpft er dort an, wo die Scanner aufhören, um eine umfassende Analyse der gesamten Sicherheitslage zu liefern. Obwohl Skripte und Tools von einem Penetrationstester eingesetzt werden, ist ihre Verwendung weitgehend auf Erkundungsaktivitäten beschränkt. Der Großteil eines Penetrationstests ist von Natur aus manuell. Ein Penetrationstest identifiziert Schwachstellen, die Scanner nicht erkennen können, wie z. B. Schwachstellen in drahtlosen Systemen, Schwachstellen in Webanwendungen und noch nicht veröffentlichte Schwachstellen. Darüber hinaus beinhaltet ein Penetrationstest Versuche, Schwachstellen sicher auszunutzen, Privilegien zu erweitern und letztendlich zu demonstrieren, wie ein Angreifer Zugang zu sensiblen Informationsbeständen erlangen könnte. Bei Penetrationstests werden häufig auch unternehmensspezifische "Testszenarien" angewendet.

Penetrationstests und automatisierte Schwachstellen-Scans erfüllen beide einen Zweck und beide Arten von Tests gehören in ein umfassendes Programm zur Schwachstellenbewertung. Automatisierte Schwachstellen-Scans sollten in regelmäßigen Abständen, idealerweise mindestens wöchentlich, durchgeführt werden, während Penetrationstests für das Netzwerk vierteljährlich oder bei geplanten signifikanten Änderungen an der Umgebung geplant werden sollten.

Das kann – je nach Art des Pentests – verschieden sein. Häufig sind die Folgenden Punkte aber Teil des Scopes bzw. der gemeinsam getroffenen Vereinbarung:

- Zielsysteme (IP/Hostname) oder IP-Adressräume
- Testzeiträume sowie Ansprechpartner

Cloud-Provider wie AWS, Azure und Google haben für bestimmte Bereiche pauschale Einverständniserklärungen gegeben, jedoch kann dies je nach Provider unterschiedlich sein. Grundsätzlich muss eine solche vorliegen, falls die zu testenden System nicht auf eigener Infrastruktur liegen. Häufig ist es sinnvoll die betroffenen Systemverantwortlichen frühzeitig in den Planungsprozess mit einzubinden damit der „Pentest“ nicht als Angriff sondern als Potentialanalyse zur Verbesserung der IT-Sicherheit wahrgenommen wird. Um ehrlich zu sein, uns geht es auch nicht darum zu zeigen, dass wir ein Unternehmen hacken können, sondern in einer kollaborativen Arbeitsatmosphäre Verbesserungspotentiale der IT-Landschaft aufzudecken, Maßnahmen abzuleiten und zu priorisieren und so effektiv und effizient wie möglich die IT-Sicherheit zu verbessern.

Bei einem White-Box-Test erhält der Pentester alle relevanten Informationen über das oder die Zielsystem(e). Der Vorteil ist, dass dieses Vorgehen Zeit – und damit Kosten – spart. Auch generell gilt, dass White-Box-Tests bei der Verbesserung der Sicherheit von IT-Systemen effektiver sind und üblicherweise bevorzugt werden sollten.
Allgemein gilt, dass Black-Box-Tests ein geeignetes Mittel sein können um Sicherheitsprobleme gegenüber einer Spezifikation (z.B. einer Web-API Schnittstelle) aufzudecken, jedoch nur sehr wenig geeignet sind um Fehler innerhalb von bestimmten Komponenten zu identifizieren. Im letzteren Falls sollten White-Box-Tests das bevorzugte Mittel sein.

Beim Black-Box-Testing versucht der Pentester, das Ziel ohne Vorkenntnisse über Adressen, Systeme, Anwendungen und Prozesse anzugreifen. Das Hauptargument für diesen Ansatz ist, dass dieses Szenario der realen Welt am nächsten kommt und somit ein reales Angriffsszenario simuliert. Dies ist jedoch nur zum Teil richtig, denn ein echter Angreifer hat nicht nur eine oder zwei Wochen Zeit wie ein beauftragter Pentester, sondern hat die gesamte Zeit, auch Monate oder Jahre, um den Angriff vorzubereiten. In der Tat haben einige der erfolgreichsten Hackerangriffe über einen Zeitraum von bis zu 12 Monaten stattgefunden.
Diese Voreingenommenheit bedeutet, dass Black-Box-Tests oft nicht aussagekräftig sind und dem Kunden ein falsches Gefühl von Sicherheit vermitteln. Redlings empfiehlt Black-Box-Tests daher nur in Ausnahmefällen. Auch das Argument, dass Angreifer einen Black-Box Ansatz umsetzten (müssen) wirkt nur bedingt, da eine lange Vorbereitungszeit zu weitgehenden internen Informtionen führen kann.