Penetrationstest

Ein Penetrationstest ist ein absichtlicher Angriff auf die eigenen Computer, Programme oder Netzwerke. Eine Firma beauftragt dafür Fachleute und erlaubt ihnen ausdrücklich, in ihre Systeme einzudringen. Diese Fachleute gehen genauso vor wie echte Kriminelle: Sie suchen Schwachstellen, probieren Passwörter aus und versuchen, an geschützte Daten zu kommen. Der Unterschied liegt am Ende. Statt die Lücken auszunutzen, schreiben sie einen Bericht darüber, was sie geschafft haben und wie man es verhindert. Der Begriff kommt vom englischen Wort für Eindringen, oft heißt es kurz Pentest.

Warum Firmen sich freiwillig angreifen lassen

Sicherheit lässt sich schlecht am Schreibtisch beurteilen. Ein Unternehmen kann alle Vorschriften befolgen und trotzdem ein offenes Scheunentor haben, von dem niemand weiß. Erst der Versuch, tatsächlich hineinzukommen, zeigt, was hält und was nicht. Das ist ähnlich wie bei einem Rauchmelder: Man vertraut ihm nicht, weil er montiert ist, sondern weil man den Testknopf gedrückt hat.

Dazu kommt der Preis eines echten Einbruchs. Wenn Kundendaten gestohlen werden, drohen Bußgelder, Klagen und ein dauerhafter Vertrauensverlust. Bei größeren Vorfällen liegen die Kosten schnell im Millionenbereich. Ein Penetrationstest kostet dagegen meist einen mittleren fünfstelligen Betrag. Diese Rechnung ist der Hauptgrund, warum solche Tests inzwischen Standard sind.

In manchen Branchen sind sie sogar Pflicht. Banken, Versicherungen und Betreiber wichtiger Infrastruktur wie Stromnetze müssen ihre Systeme regelmäßig prüfen lassen. Auch wer Kreditkartenzahlungen abwickelt, kommt an solchen Prüfungen nicht vorbei. Ein bestandener Test ist dann nicht nur eine technische Frage, sondern auch ein Dokument gegenüber Aufsichtsbehörden.

Vom ersten Scan bis zum Abschlussbericht

Am Anfang steht ein schriftlicher Auftrag. Darin wird festgelegt, welche Systeme angegriffen werden dürfen und welche auf keinen Fall. Ohne diese Erlaubnis wäre der Test schlicht eine Straftat. Ebenso wird ein Zeitraum vereinbart, damit die IT-Abteilung nicht in Panik gerät.

Danach sammeln die Tester Informationen. Sie prüfen, welche Server über das Internet erreichbar sind, welche Software dort läuft und in welcher Version. Veraltete Versionen haben oft bekannte Fehler, die öffentlich dokumentiert sind. Im nächsten Schritt versuchen die Tester, genau diese Fehler auszunutzen und in das System hineinzukommen. Gelingt das, schauen sie weiter: Kommt man von hier aus auch an andere Rechner im Netzwerk?

Ein wichtiger Unterschied betrifft das Vorwissen. Beim Black-Box-Test wissen die Prüfer nichts über das Ziel, so wie ein echter Angreifer von außen. Beim White-Box-Test bekommen sie Zugriff auf den Programmcode und finden dadurch mehr, aber weniger realistisch. Häufig gehört auch der Mensch dazu: Ein Tester ruft an und gibt sich als Techniker aus, um ein Passwort zu erfragen. Das nennt man Social Engineering, und es funktioniert erschreckend oft.

Pentests in den Nachrichten und im Berufsalltag

In Meldungen über Datenlecks taucht der Begriff regelmäßig auf, meist in der Form: Eine Lücke war seit einem früheren Test bekannt, wurde aber nie geschlossen. Genau das ist der typische Irrtum. Ein Penetrationstest macht ein System nicht sicher. Er liefert nur eine Liste von Problemen, die jemand anschließend beheben muss.

Verwechseln sollte man den Test auch nicht mit einem automatischen Schwachstellenscan. Ein Scanner ist ein Programm, das bekannte Fehler abklappert und eine Liste ausspuckt. Beim Penetrationstest kombinieren Menschen mehrere kleine Schwächen zu einem echten Einbruchsweg. Das kann eine Software allein bisher nicht.

Beruflich ist das ein eigenes Feld. Solche Fachleute heißen ethische Hacker oder Penetration Tester und sind stark gefragt. Große Konzerne betreiben zusätzlich Bug-Bounty-Programme: Wer eine Lücke meldet, bekommt Geld statt Ärger. Neu ist, dass KI-Systeme selbst zum Ziel werden. Beim sogenannten Red Teaming versuchen Tester, einen Chatbot mit trickreichen Eingaben zu gefährlichen Antworten zu bringen. Das ist der Penetrationstest-Gedanke, angewendet auf Sprachmodelle.