Active Penetration

Ein Active Penetration Test ist ein beauftragter, kontrollierter Angriff auf ein Computersystem oder ein Netzwerk. Ein Sicherheitsexperte — oft « Ethical Hacker » oder « Pentester » genannt — versucht dabei, echte Schwachstellen auszunutzen, genau wie es ein krimineller Angreifer tun würde. Der entscheidende Unterschied: Der Betreiber weiß davon und hat ausdrücklich zugestimmt. Das Ziel ist nicht, Schaden anzurichten, sondern Lücken zu finden, bevor jemand anderes sie findet. Das Ergebnis ist ein Bericht, der zeigt, wo das System verwundbar ist und wie man es absichert.

Warum aktive Tests mehr verraten als passive Analysen

Es gibt auch passive Sicherheitsprüfungen: Man schaut sich den Code an, liest Konfigurationsdateien durch oder vergleicht Software-Versionen mit bekannten Schwachstellenlisten. Das ist nützlich, aber begrenzt. Eine Schwachstelle auf dem Papier ist nicht dasselbe wie eine Schwachstelle, die sich in der Praxis wirklich ausnutzen lässt.

Active Penetration geht einen Schritt weiter: Der Tester probiert es wirklich aus. Erst dann zeigt sich, ob ein Angreifer tatsächlich in das System eindringen, Daten einsehen oder andere Systeme im Netzwerk erreichen kann. Viele Organisationen sind gesetzlich oder durch Industriestandards wie PCI-DSS — ein Regelwerk für Zahlungssysteme — dazu verpflichtet, solche Tests regelmäßig durchzuführen.

Für Unternehmen, die mit sensiblen Daten arbeiten, ist das keine Formalität. Ein einziger erfolgreicher Angriff kann Millionen Euro Schaden kosten und das Vertrauen von Kunden dauerhaft zerstören. Ein rechtzeitig gefundener Fehler ist um ein Vielfaches günstiger.

Ablauf eines Active Penetration Tests

Ein Test folgt in der Regel einem festen Schema. Zuerst sammelt der Pentester Informationen: Welche Server sind erreichbar? Welche Software läuft darauf? Welche Ports — also Kommunikationskanäle des Systems — sind offen? Dieser erste Schritt heißt Reconnaissance, auf Deutsch etwa « Aufklärung ». Er ist rein passiv und hinterlässt kaum Spuren.

Danach beginnt der aktive Teil. Der Tester versucht, gefundene Schwachstellen tatsächlich auszunutzen — zum Beispiel durch veraltete Software, schwache Passwörter oder falsch konfigurierte Zugriffsrechte. Wenn er erfolgreich eindringt, versucht er weiterzukommen: tiefere Zugriffsrechte erlangen, andere Systeme im Netzwerk erreichen oder Daten einsehen. Jeder dieser Schritte wird dokumentiert.

Am Ende steht ein detaillierter Bericht. Er unterscheidet üblicherweise nach Schweregrad: kritisch, hoch, mittel, niedrig. Kritische Lücken erlauben es einem Angreifer, vollständige Kontrolle über ein System zu übernehmen. Niedrige Lücken sind unangenehm, aber allein nicht gefährlich. Diese Einstufung hilft dem Unternehmen, seine Ressourcen gezielt einzusetzen.

Active Penetration in der Praxis: Wer testet wen?

Banken, Krankenhäuser, Behörden und große Tech-Konzerne beauftragen regelmäßig externe Sicherheitsfirmen mit solchen Tests. Auch viele Start-ups lassen sich vor dem Launch eines Produkts prüfen. In Nachrichtenartikeln taucht der Begriff oft im Zusammenhang mit Datenpannen auf — wenn eine Schwachstelle erst nach einem echten Angriff bekannt wird, hätte ein früherer Pentest sie möglicherweise aufgedeckt.

Manche großen Unternehmen unterhalten eigene interne Teams für solche Tests, sogenannte Red Teams. Das Red Team spielt den Angreifer, das Blue Team verteidigt — ein kontrolliertes Kräftemessen, um die eigene Sicherheitslage realistisch einzuschätzen. Active Penetration ist dann ein Werkzeug unter mehreren in diesem Prozess.

Im Kontext von KI taucht der Begriff zunehmend neu auf: Sprachmodelle und KI-Systeme werden ebenfalls aktiv auf Schwachstellen getestet — etwa ob sie sich durch geschickte Eingaben dazu bringen lassen, gesperrte Inhalte preiszugeben. Diese Form heißt dann oft « AI Red Teaming », funktioniert aber nach demselben Grundprinzip wie klassisches Active Penetration Testing.