Zu Beginn eines Pentests wird gemeinsam mit dem Kunden festgelegt, was getestet werden soll. Dabei werden der Umfang (Scope) und die Ziele des Tests klar definiert. Es wird entschieden, ob bestimmte Systeme, Netzwerke, Webanwendungen oder andere Bereiche der IT-Infrastruktur geprüft werden. Außerdem wird festgelegt, welche Art von Pentest durchgeführt wird:

Black-Box: Die Tester haben keinerlei Informationen über die Systeme, wie ein echter Angreifer.

Grey-Box: Die Tester haben eingeschränkte Informationen, etwa Zugangsdaten oder Systempläne.

White-Box: Die Tester erhalten umfassende Informationen über das Zielsystem.

Zudem werden rechtliche Rahmenbedingungen festgelegt, z.B. wann der Test stattfindet und was genau erlaubt ist. Das verhindert Konflikte und stellt sicher, dass der Test im rechtlich sicheren Rahmen durchgeführt wird.

In dieser Phase (Reconnaissance) sammeln die Tester möglichst viele Informationen über das Zielsystem, ohne es direkt anzugreifen. Dies ist vergleichbar mit der Arbeit eines Spions, der das Gelände erkundet, bevor er eine Mission startet.

Folgende Methoden kommen zum Einsatz:

Öffentlich zugängliche Informationen: Die Tester suchen nach Informationen im Internet, die frei zugänglich sind. Dazu gehören Firmendaten, öffentliche IP-Adressen, Mitarbeiterinformationen (die für Phishing-Angriffe genutzt werden könnten) oder Datenlecks.

Netzwerkscans: Mit speziellen Tools werden Netzwerke gescannt, um herauszufinden, welche Server und Geräte erreichbar sind. Dabei werden offene Ports und laufende Dienste identifiziert.

Identifikation verwendeter Technologien: Die Tester versuchen herauszufinden, welche Software und Technologien das Zielsystem nutzt, z.B. welche Betriebssysteme, Datenbanken oder Webserver eingesetzt werden.

Ziel ist es, potenzielle Schwachstellen und Angriffsvektoren zu finden, durch die später ein Angriff simuliert werden könnte.

Jetzt wird es technischer: Basierend auf den gesammelten Informationen überprüfen die Tester das Zielsystem systematisch auf Schwachstellen. Das geschieht durch automatisierte Tools und manuelle Tests:

Automatisierte Schwachstellenscanner: Diese Tools durchsuchen das System nach bekannten Sicherheitslücken wie veraltete Softwareversionen, falsche Konfigurationen oder unsichere Dienste.

Manuelle Tests: Erfahrene Tester versuchen gezielt, Sicherheitslücken zu finden, die automatisierte Tools übersehen könnten. Sie testen, ob Passwörter zu schwach sind, Sicherheitsrichtlinien nicht richtig umgesetzt wurden oder ob ungewöhnliche Verhaltenmuster der Software auf Fehler hinweisen.

Hier ist der Fokus, Schwachstellen zu identifizieren, bevor ein echter Angreifer dies tun könnte. Jede gefundene Schwachstelle wird dokumentiert und in Kategorien (z.B. „kritisch“, „hoch“, „mittel“) eingeteilt.

In dieser heißen Phase (Exploitation) wird getestet, ob und wie die gefundenen Schwachstellen tatsächlich ausgenutzt werden können. Die Tester schlüpfen in die Rolle eines echten Angreifers und versuchen, über die identifizierten Schwachstellen in das System einzudringen:

Angriffe auf Schwachstellen: Sie versuchen, Sicherheitslücken wie SQL-Injections, Cross-Site-Scripting (XSS), oder veraltete Software zu nutzen, um Zugriff auf Systeme zu erhalten.

Rechte eskalieren: Wenn sie Zugriff haben, prüfen die Tester, ob sie noch weiter ins System vordringen und höhere Rechte erlangen können, etwa Administratorrechte.

Zugang zu sensiblen Daten: Die Tester versuchen, Datenbanken oder interne Dateien zu durchstöbern, um herauszufinden, wie weit ein Angreifer kommen könnte.

Wichtig: Ziel dieser Phase ist es nicht, Schaden anzurichten, sondern aufzuzeigen, was ein echter Angreifer tun könnte. Die Tester greifen das System so an, dass keine dauerhaften Schäden entstehen.

Nachdem alle Tests abgeschlossen sind, erstellen die Pentester einen detaillierten Bericht. Dieser Bericht enthält:

Eine Liste aller Schwachstellen: Jede gefundene Schwachstelle wird erklärt und mit einer Risikobewertung versehen. Diese zeigt, wie kritisch die Schwachstelle für das Unternehmen ist.

Ausnutzungsberichte: Hier wird beschrieben, welche Schwachstellen erfolgreich ausgenutzt werden konnten und welche Auswirkungen dies auf die IT-Sicherheit hat.

Empfehlungen: Für jede Schwachstelle gibt es klare Handlungsempfehlungen, wie diese behoben werden kann. Das kann z.B. die Aktualisierung von Software, Änderungen an der Konfiguration oder zusätzliche Sicherheitsmaßnahmen umfassen.

Der Bericht ist ein Fahrplan, wie das Unternehmen seine IT-Sicherheit verbessern kann. Zusätzlich gibt es oft ein persönliches Meeting, bei dem die Tester den Bericht erklären und Fragen beantworten.

Sicherstellen, dass alles dicht ist:

Nachdem das Unternehmen die identifizierten Schwachstellen geschlossen hat, wird dringend ein Nachtest empfohlen. Dieser Test dient dazu, sicherzustellen, dass die ergriffenen Maßnahmen wirksam waren und keine neuen Schwachstellen aufgetreten sind. Die Pentester greifen dabei erneut auf die gleichen Angriffsmethoden zurück, um zu überprüfen, ob die zuvor gefundenen Sicherheitslücken wirklich behoben wurden. Dieser Schritt ist wichtig, um sicherzugehen, dass die vorgenommenen Änderungen das System langfristig absichern und keine weiteren Sicherheitsrisiken bestehen. Ein regelmäßiger Nachtest hilft dem Unternehmen, den Sicherheitsstatus seiner IT-Infrastruktur kontinuierlich auf einem hohen Niveau zu halten.