Pentester

Ein Pentester greift Computersysteme an — allerdings mit ausdrücklicher schriftlicher Erlaubnis des Eigentümers. Der Name kommt von „Penetrationstest“: Man testet, ob jemand in ein System eindringen kann. Der Auftrag lautet, Schwachstellen zu finden, bevor jemand mit schlechten Absichten sie findet. Ein Vergleich trifft es gut: Eine Bank stellt jemanden ein, der versuchen soll, in den Tresorraum zu gelangen. Findet er einen Weg hinein, wird die Lücke geschlossen und niemand wird bestohlen. Genau das ist das Geschäftsmodell dieser Berufsgruppe.

Angriff auf Bestellung statt Schadensbegrenzung

Firmen prüfen ihre Software normalerweise darauf, ob sie das tut, was sie soll. Ein Pentester prüft das Gegenteil: was sie tun kann, obwohl sie es nicht soll. Diese Perspektive fehlt Entwicklern oft, weil sie ihr eigenes System aus der Innensicht kennen. Ein Außenstehender probiert Dinge aus, an die im Entwurf niemand gedacht hat.

Der wirtschaftliche Grund ist simpel. Ein Datenleck kostet ein mittelgroßes Unternehmen schnell Millionenbeträge — durch Betriebsausfall, Rechtsstreit und Vertrauensverlust bei Kunden. Ein Penetrationstest kostet je nach Umfang einen fünfstelligen Betrag. Für viele Branchen ist er ohnehin Pflicht: Banken, Krankenhäuser und Zahlungsdienstleister müssen regelmäßig nachweisen, dass sie ihre Systeme prüfen lassen.

Wichtig ist die Abgrenzung zum Kriminellen. Der Unterschied zwischen einem Pentester und einem Angreifer liegt nicht in den Werkzeugen, sondern im Auftrag. Beide nutzen dieselben Methoden. Nur einer von beiden hat einen Vertrag, der genau festlegt, welche Systeme er angreifen darf und welche nicht.

Vom Suchen der Lücke bis zum Bericht

Ein Test beginnt mit der Erkundung. Der Pentester sammelt alles, was über das Ziel öffentlich auffindbar ist: Servernamen, benutzte Software, Namen von Mitarbeitern. Danach sucht er nach bekannten Schwachstellen, etwa veralteten Programmversionen, für die längst Sicherheitsupdates existieren. Erstaunlich oft reicht das schon aus.

Im nächsten Schritt versucht er, eine gefundene Lücke tatsächlich auszunutzen. Ein klassisches Beispiel ist ein Eingabefeld auf einer Webseite, das nicht sauber prüft, was der Nutzer hineinschreibt. Statt eines Namens tippt der Pentester dort einen Befehl ein, den die Datenbank dahinter ausführt. Gelingt das, kann er womöglich Kundendaten auslesen. Ist er einmal drin, testet er, wie weit er sich im Netzwerk ausbreiten kann.

Nicht jeder Angriff ist technisch. Beim sogenannten Social Engineering wird nicht die Technik überlistet, sondern der Mensch. Der Pentester ruft in der Buchhaltung an, gibt sich als IT-Abteilung aus und bittet um ein Passwort. Am Ende steht immer ein Bericht: Was wurde gefunden, wie schwerwiegend ist es, was muss zuerst repariert werden. Dieser Bericht ist das eigentliche Produkt, nicht der Einbruch selbst.

Bug Bounties, KI-Modelle und der Arbeitsmarkt

Große Konzerne wie Google oder Apple zahlen Prämien an jeden, der ihnen eine Sicherheitslücke meldet. Diese Programme heißen Bug Bounty, zu Deutsch etwa Kopfgeld für Fehler. Für kritische Lücken werden sechsstellige Summen gezahlt. Manche Pentester arbeiten hauptberuflich freiberuflich auf solchen Plattformen, andere sind bei spezialisierten Beratungsfirmen angestellt.

Seit dem KI-Boom ist ein neues Feld dazugekommen. Sprachmodelle werden ebenfalls getestet, allerdings anders: Man versucht, sie durch geschickt formulierte Eingaben zu Aussagen zu bringen, die sie eigentlich verweigern sollen. Dafür hat sich der Begriff Red Teaming eingebürgert. OpenAI, Anthropic und Google beschäftigen dafür eigene Teams und laden vor großen Veröffentlichungen externe Tester ein.

In Nachrichten taucht der Beruf meist nach einem Vorfall auf — dann heißt es, ein Sicherheitsforscher habe die Lücke entdeckt und verantwortungsvoll gemeldet. Ein verbreiteter Irrtum ist, dass ein bestandener Pentest ein System sicher macht. Er ist immer nur eine Momentaufnahme. Nach dem nächsten Software-Update kann die Lage schon wieder anders aussehen.