Was genau ist eigentlich ein Penetrationstest?

Der technologische Fortschritt und die Digitalisierung bescheren Unternehmen auf der einen Seite signifikante Effizienzgewinne, auf der anderen Seite entstehen zwangsläufig auch neue Angriffsvektoren, die sich Cyberkriminelle zunutze machen können. Damit es nicht so weit kommt, gibt es Penetrationstests – bei denen Systeme gezielt angegriffen und Schwachstellen so aufgedeckt werden.

Ein Angriff nach Vereinbarung

Ein Cyberangriff muss nicht zwangsläufig schlecht sein. Entscheidend ist, warum der Angriff stattfindet und, viel wichtiger noch, wer den Angriff ausführt. Bei Penetrationstests sind das professionelle Dienstleister oder interne IT-Mitarbeitende, die auf diese Weise versuchen Sicherheitslücken in Netzwerken, Anwendungen, IT-Infrastrukturen oder ganzheitlichen digitalen Systemen aufzudecken.

Der „Angriff“ erfolgt also nach Vereinbarung. Die „Angreifenden“ versuchen dabei natürlich nicht dem Unternehmen (ihrem Auftraggeber) tatsächlich Schaden zuzufügen. Vorab wird deshalb auch ein sehr enger Rahmen festgelegt, was genau angegriffen werden darf und wie weit die Dienstleister mit ihrem Auftrag tatsächlich gehen dürfen. Wie wichtig es ist, etwaige Schwachstellen zu identifizieren und zu schließen, bevor sie Cyberkriminelle tatsächlich für ihre Zwecke ausnutzen können, steht außer Frage. Nicht nur in privatwirtschaftlichen Unternehmen, sondern auch in Systemen von Staaten – jüngst konnten Hacker beispielsweise unzählige Daten der Regierung Liechtensteins entwenden.

Abgrenzung zwischen Penetrationstests und anderen Verfahren

Nicht jede Schwachstelle, die gezielt in den Fokus gerückt wird, ist automatisch ein Penetrationstest. Hierbei ist zwischen ähnlichen Begrifflichkeiten, zugleich aber anderen Verfahren zu unterscheiden:

• Bei einem Vulnerability Scan übernimmt den Angriff ein automatisiertes Tool, was meist deutlich oberflächlicher ist als es manuelle Angriffe sind.
• Beim Red Teaming findet ebenfalls ein Angriff statt, oft aber über einen längeren Zeitraum. Hier wird zudem noch getestet, wie schnell Angriffe erkannt werden und wie darauf reagiert wird.
• Beim „Ethical Hacking“ erfolgt vorab normalerweise keine Beauftragung. Hacker greifen das System an, nutzen die Schwachstelle aber nicht aus, sondern informieren das betroffene Unternehmen darüber.

3 Boxen, 3 Ansätze – Unterschiede bei Penetrationstests

Erfahrene Dienstleister haben unterschiedliche Möglichkeiten, um Schwachstellen aufzudecken und Systeme anzugreifen. Im Fachjargon spricht man von drei Boxen, die auch bei einem Syss Pentest vom gleichnamigen Dienstleister zum Einsatz kommen könnten. Differenziert wird zwischen den Boxen: Black, White und Grey.

Die Black-Box-Methode setzt voraus, dass der Tester keinerlei Know-how über das System hat. Es wird daher möglichst authentisch ein externer Angreifer simuliert. Bei der White-Box-Methode genießt der Tester hingegen den vollen Einblick in das System. Er kennt den Quellcode, die Architektur und hat oftmals sogar Zugangsdaten. Das führt im Regelfall zu einem gründlicheren, aber natürlich auch weniger realistischen Angriff. Die Grey-Box-Methode ist gewissermaßen eine Kombination aus den beiden genannten Varianten, der Tester hat also nicht alle, aber einige ausgewählte Informationen vorab zur Hand.

Penetrationstests sind legale Angriffe

Selbstverständlich dürfen Systeme nicht einfach so angegriffen werden. Damit der Pentest legal ist, muss eine ausdrückliche Zustimmung in schriftlicher Form vorliegen. Außerdem werden vorab der Rahmen, etwaige Notfallkontakte und Haftungsausschlüsse festgelegt. Für Unternehmen werden solche Penetrationstests perspektivisch immer wichtiger, zumal erst kürzlich das BSI davor warnte, dass in der Folge der weitverbreiteten KI-Systeme auch die Cyberangriffe einerseits zunehmen, andererseits aber auch komplexer werden.