aktive Penetration
Bei einer aktiven Penetration versuchen beauftragte Sicherheitsexperten, gezielt in ein Computersystem oder Netzwerk einzudringen — mit denselben Methoden wie echte Angreifer, aber im Auftrag des Betreibers. Ziel ist es, Schwachstellen zu finden, bevor sie jemand mit böser Absicht ausnutzt.
Bei einer aktiven Penetration versuchen beauftragte Sicherheitsexperten, gezielt in ein Computersystem einzudringen. Sie handeln dabei wie echte Angreifer — nutzen dieselben Werkzeuge und Taktiken — aber mit ausdrücklicher Genehmigung des Systembetreibers. Das Ziel ist nicht Schaden, sondern Aufdeckung: Welche Lücken gibt es, und wie schlimm wären sie im Ernstfall? Die Experten halten am Ende schriftlich fest, was sie gefunden haben und wie man es behebt. Ein solcher Auftrag hat einen klaren Anfang und ein klares Ende — er ist kein Dauerbetrieb, sondern eine gezielte Prüfung.
Warum Unternehmen aktive Penetration beauftragen
Viele Sicherheitslücken bleiben unsichtbar, solange niemand aktiv nach ihnen sucht. Automatische Scans — Programme, die ein System auf bekannte Schwachstellen prüfen — finden nur, was sie kennen. Ein menschlicher Tester denkt um Ecken: Er kombiniert mehrere kleine Schwächen zu einem gefährlichen Angriffspfad, den kein Scan erkennen würde.
Dazu kommt der rechtliche Druck. In der Finanzbranche und im Gesundheitswesen verlangen Regulierungsbehörden in vielen Ländern regelmäßige Sicherheitsprüfungen. Ein bestandener Penetrationstest ist oft Voraussetzung für Zertifizierungen wie ISO 27001 oder für die Einhaltung von Datenschutzgesetzen. Wer ihn nicht durchführt, riskiert nicht nur einen Einbruch, sondern auch Bußgelder.
Phasen eines Penetrationstests
Ein Penetrationstest läuft in klar abgegrenzten Schritten ab. Zuerst legen Auftraggeber und Tester fest, was geprüft werden darf — welche Systeme, zu welchen Uhrzeiten, mit welchen Methoden. Dieses Dokument heißt Scope und schützt beide Seiten rechtlich. Dann folgt die Aufklärungsphase: Der Tester sammelt öffentlich verfügbare Informationen über das Ziel, etwa über Firmenwebseiten oder frei einsehbare Datenbanken.
Danach beginnt der eigentliche Angriff. Der Tester versucht, in Systeme einzudringen, Passwörter zu knacken oder Mitarbeiter durch gefälschte E-Mails zu täuschen — eine Methode namens Phishing, bei der man so tut, als käme die Nachricht von einer vertrauenswürdigen Quelle. Am Ende steht ein Abschlussbericht mit einer Liste aller gefundenen Schwachstellen, sortiert nach Gefährlichkeit, und konkreten Empfehlungen zur Behebung.
Wichtig: Der Tester versucht nicht, möglichst viel Schaden anzurichten. Er dokumentiert eine Lücke, sobald er sie nachgewiesen hat, und schließt sie nicht selbst — das ist Aufgabe des Unternehmens.
Aktive Penetration in der Praxis und in den News
Große Technologieunternehmen wie Google oder Microsoft betreiben eigene interne Teams für solche Tests. Daneben gibt es spezialisierte Sicherheitsfirmen, die Penetrationstests als Dienstleistung anbieten. Manche Unternehmen gehen noch einen Schritt weiter und veranstalten sogenannte Bug-Bounty-Programme: Jeder — auch externe Personen ohne Auftrag — darf nach Lücken suchen und bekommt eine Prämie, wenn er eine meldet.
In den Nachrichten taucht der Begriff oft im Nachgang großer Datenpannen auf. Ermittler stellen dann fest, dass eine ausgenutzten Schwachstelle bei einem früheren Penetrationstest bereits entdeckt, aber nie behoben wurde. Das zeigt: Der Test allein schützt nicht — entscheidend ist, dass die gefundenen Lücken danach auch wirklich geschlossen werden.
Verwechslungsgefahr besteht mit dem Begriff „Vulnerability Scan“, also einem automatisierten Schwachstellen-Scan. Der Scan listet potenzielle Probleme auf, ein Mensch prüft aber nicht, ob sie wirklich ausnutzbar sind. Die aktive Penetration geht weiter: Sie beweist durch den tatsächlichen Angriff, ob eine Lücke im echten Angriffsszenario gefährlich wird.