Penetration Testing

Entstehung und Beteiligte

Penetrationstests entwickelten sich aus militärischen und staatlichen Security-Teams der 1960er- und 1970er-Jahre, die Systeme kontrolliert angriffen. Später entstanden professionelle Methoden, Werkzeuge und Standards wie NIST SP 800-115 und der Penetration Testing Execution Standard.

Welches Problem sollte gelöst werden?

Sicherheitskonzepte und Checklisten zeigen nicht, ob reale Angriffswege funktionieren. Ein autorisierter Test soll Schwachstellen kombinieren, Auswirkungen belegen und Prioritäten für Verbesserungen liefern.

Technische Hürden und Lösungen

Tests können Systeme stören oder Daten berühren. Umfang, Zeitfenster, erlaubte Techniken, Notfallkontakte und Beweissicherung müssen vorher festgelegt sein. Ein Befund ohne reproduzierbaren Nachweis oder geschäftliche Einordnung hilft wenig.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• Ein Pentest benötigt immer eine ausdrückliche Autorisierung.
• Black Box, Grey Box und White Box beschreiben unterschiedliche Vorkenntnisse.
• Ein Schwachstellenscan ist kein vollständiger Penetrationstest.
• Der Abschlussbericht muss technische Belege und Maßnahmen enthalten.

Was ist Penetration Testing?

Penetration Testing (Pentest) ist ein autorisierter, methodischer Sicherheitstest, bei dem ein Tester versucht, in IT-Systeme einzudringen – genauso wie ein echter Angreifer. Ziel: Schwachstellen finden und dokumentieren, bevor Kriminelle sie ausnutzen.

Grundvoraussetzung ist eine schriftliche Autorisierung des Systembesitzers. Ohne Erlaubnis ist Hacking strafbar (§ 202a StGB). Der Pentest endet immer mit einem detaillierten Bericht und Empfehlungen zur Behebung.

Die 5 Phasen eines Pentests

1. Reconnaissance (Aufklärung): Passive und aktive Informationsbeschaffung – OSINT (Google Dorks, WHOIS, LinkedIn, Shodan), aktives Nmap-Scanning.
2. Scanning & Enumeration: Ports und Dienste identifizieren, Versionen ermitteln, Schwachstellen mit Nessus/OpenVAS scannen.
3. Exploitation: Gefundene Schwachstellen ausnutzen (Metasploit, Burp Suite, manuelle Exploits). CVEs und 0-Days verwenden.
4. Post-Exploitation & Pivoting: Nach dem initialen Zugang: Privilegien eskalieren, lateral bewegen, Persistenz aufbauen.
5. Reporting: Vollständige Dokumentation aller Findings mit CVSS-Score, Risikobewertung und konkreten Handlungsempfehlungen.

Wichtige Tools

Kali Linux ist die bevorzugte Pentest-Distribution mit hunderten vorinstallierten Tools. Nmap für Port-Scanning und Serviceerkennung, Metasploit Framework für Exploitation, Burp Suite für Web-Pentest, Wireshark für Paketanalyse, Hashcat für Passwort-Cracking.

Bug-Bounty-Programme (HackerOne, Bugcrowd) erlauben es ethischen Hackern, Schwachstellen in Produktionssystemen gegen Prämie zu melden. CTF (Capture The Flag) Wettbewerbe sind die perfekte Übungsumgebung.