Pentesting

Ein Unternehmen weiß selten genau, wie sicher seine Computer und Programme wirklich sind. Beim Pentesting beauftragt es deshalb Fachleute, die versuchen, in die eigenen Systeme einzubrechen. Diese Fachleute gehen genauso vor wie Kriminelle: Sie suchen Fehler in Programmen, raten Passwörter oder tricksen Mitarbeiter aus. Der Unterschied ist, dass sie ausdrücklich beauftragt sind und nichts kaputt machen dürfen. Am Ende liefern sie keinen Schaden ab, sondern einen Bericht mit allen Schwachstellen, die sie gefunden haben. Der Name kommt vom englischen « penetration test », also Eindringtest.

Warum Firmen sich freiwillig angreifen lassen

Sicherheitslücken sind fast immer schon da, bevor jemand sie bemerkt. Die Frage ist nur, wer sie zuerst findet. Findet sie ein Pentester, kostet das ein paar Tage Arbeit und eine Rechnung. Findet sie eine kriminelle Gruppe, stehen am Ende oft gestohlene Kundendaten oder verschlüsselte Server. Ein Angriff mit Erpressersoftware legt mittelgroße Firmen regelmäßig für Wochen lahm.

Dazu kommt der rechtliche Druck. Banken, Krankenhäuser und Betreiber von Stromnetzen müssen in Europa nachweisen, dass sie ihre Systeme regelmäßig prüfen. Wer Kreditkartenzahlungen abwickelt, braucht ebenfalls regelmäßige Tests. Pentesting ist deshalb nicht nur Technik, sondern oft auch eine Pflicht gegenüber Behörden und Prüfern.

Ein wichtiger Punkt wird oft übersehen: Ein Pentest prüft nicht nur die Technik. Er prüft auch, ob die Verteidiger im Unternehmen den Angriff überhaupt bemerken. Wenn ein Tester drei Tage lang unentdeckt im Firmennetz unterwegs ist, ist das ein eigenständiges Ergebnis. Es zeigt, dass die Überwachung versagt hat, unabhängig von der einzelnen Lücke.

Vom Auftrag bis zum Bericht

Am Anfang steht ein Vertrag, der genau festlegt, was getestet werden darf. Darin steht, welche Server und Anwendungen zum Ziel gehören und welche tabu sind. Diese Abgrenzung heißt Scope. Ohne sie wäre der Test schlicht eine Straftat, denn das Eindringen in fremde Systeme ist strafbar.

Dann sammeln die Tester Informationen: welche Programme laufen, welche Versionen, welche Zugänge es von außen gibt. Danach suchen sie nach bekannten Fehlern in genau diesen Versionen. Gelingt ein erster Einbruch, versuchen sie, sich weiter auszubreiten und höhere Rechte zu bekommen. Dieses Vorgehen nennt man Rechteausweitung: aus einem normalen Nutzerkonto wird ein Administratorkonto mit vollem Zugriff.

Man unterscheidet nach dem Wissen der Tester. Beim Black-Box-Test bekommen sie nur den Firmennamen, wie ein echter Angreifer von außen. Beim White-Box-Test erhalten sie Zugangsdaten und den Programmcode und finden dadurch deutlich mehr. Verwandt, aber nicht dasselbe ist ein automatischer Schwachstellenscan: Der listet nur bekannte Probleme auf, während ein Pentester sie tatsächlich ausnutzt und kombiniert.

Pentesting in Nachrichten und Werkzeugen

In Meldungen über Datenlecks taucht der Begriff fast immer auf. Oft heißt es dann, ein Pentest habe die Lücke bereits Monate vorher gemeldet, ohne dass jemand reagiert hat. Ähnlich funktionieren Bug-Bounty-Programme: Firmen wie Google zahlen Prämien an alle, die Fehler melden. Der Unterschied ist, dass ein Pentest beauftragt und zeitlich begrenzt ist, während ein Bug-Bounty dauerhaft offensteht.

Beruflich ist das ein eigenes Feld. Wer als Pentester arbeitet, braucht meist Zertifikate, bei denen man mehrere Stunden lang echte Systeme knacken muss. Die Werkzeuge sind frei verfügbar und werden auch an Schulen und Hochschulen eingesetzt, allerdings nur in abgeschotteten Übungsnetzen.

Neu ist die Rolle der künstlichen Intelligenz. Sprachmodelle helfen inzwischen dabei, Programmcode nach Fehlern zu durchsuchen und Angriffsschritte vorzuschlagen. Gleichzeitig werden KI-Systeme selbst zum Testziel. Dabei prüft man etwa, ob sich ein Chatbot durch geschickt formulierte Eingaben zu verbotenen Auskünften überreden lässt. Diese Sonderform heißt Red Teaming und ist bei großen KI-Anbietern fester Teil der Entwicklung.