Penetrationstest
Pentest
Kurz erklärt
Ein Penetrationstest ist ein geplanter, schriftlich autorisierter Angriff auf die eigene IT. Fachleute versuchen mit den Methoden echter Angreifer, in Systeme, Netzwerk oder Anwendungen einzudringen – mit dem Ziel, Lücken zu finden und zu dokumentieren, bevor jemand anderes sie nutzt. Das Ergebnis ist ein Bericht mit Befunden, Schweregrad und konkreten Massnahmen.
Was ein Pentest prüft
Der Umfang wird vorher festgelegt: von aussen erreichbare Systeme wie Website, E-Mail und Fernzugang, das interne Netzwerk, einzelne Anwendungen oder das Verhalten der Mitarbeitenden bei Phishing.
Der Unterschied zum automatischen Schwachstellen-Scan: Ein Scan listet bekannte Lücken auf. Ein Pentest prüft, ob sich daraus tatsächlich ein Weg ins Netz ergibt – und wie weit er führt.
Der häufigste Irrtum: ein Pentest macht sicher
Ein Pentest ist eine Momentaufnahme. Er zeigt den Stand an einem Tag, für den vereinbarten Umfang. Was danach installiert, geändert oder vergessen wird, sieht er nicht.
Sein Wert entsteht erst, wenn die Befunde behoben und nachgeprüft werden. Wer laufendes Patch-Management und Zwei-Faktor-Authentifizierung noch nicht hat, gewinnt dort mehr als mit einem Test.
Schweizer Rechtslage
Ohne Erlaubnis ist derselbe Vorgang strafbar: Das Strafgesetzbuch stellt das unbefugte Eindringen in ein Datenverarbeitungssystem unter Strafe (Art. 143bis StGB). Ein Pentest braucht deshalb eine schriftliche Freigabe des Systeminhabers mit Umfang, Zeitfenster und Ansprechperson.
Liegen Systeme bei einem Dienstleister oder in der Cloud, gelten zusätzlich dessen Testregeln: Manche Anbieter verlangen eine vorgängige Zustimmung, andere – etwa Microsoft Azure – nur die Einhaltung ihrer Regeln. Die eigene Unterschrift deckt fremde Systeme nicht.
Wie wir damit umgehen
Wir setzen Pentests dort ein, wo die Grundlagen stehen, und verbinden sie mit einer Schulung für das Team. Wie das in den Schutz deiner IT eingebettet ist, steht unter IT-Sicherheit.
Verwandte Begriffe
Ein Begriff im Angebot, den niemand erklärt hat?
Im Strategiegespräch übersetzen wir das Angebot, das dir vorliegt – auch wenn es nicht von uns stammt.