Was ist Penetration Testing wirklich?

Penetration Testing ist die Praxis, simulierte Angriffe auf ein System, Netzwerk oder eine Anwendung unter einer unterzeichneten Vereinbarung durchzuführen, mit dem Ziel, ausnutzbare Schwachstellen zu finden, bevor dies jemand ohne Berechtigung tut. Es ist eine kontrollierte, zeitlich begrenzte Übung, die in einem Bericht endet, nicht in einer offenen Hacking-Orgie.

Der Unterschied zwischen Pentesting und Vulnerability Scanning

Ein Vulnerability Scanner wie Nessus oder OpenVAS prüft ein Ziel gegen eine Datenbank bekannter Signaturen und gibt dir eine Liste potenzieller Probleme, von denen die meisten manuelle Überprüfung erfordern. Ein Pentest geht weiter: der Tester versucht tatsächlich, Findings auszunutzen, sie miteinander zu verknüpfen und echte Auswirkungen nachzuweisen. Scanning sagt dir, dass ein Port offen ist und eine Service-Version veraltet aussieht. Pentesting sagt dir, dass dieser veraltete Service verwendet werden kann, um eine Shell zu erhalten, und von dieser Shell aus kannst du dich in den Domain Controller pivotieren.

Dieser Unterschied ist auch für die Berichterstellung wichtig. Ein Scan-Bericht ist eine Liste. Ein Pentest-Bericht ist eine Geschichte mit Belegen: Screenshots, Befehlsausgaben und eine Durchleitung des Angriffspfads vom ersten Zugriff bis zum vereinbarten Ziel (Datenzugriff, Domain Admin usw.).

Wie ein Engagement abgegrenzt wird

Bevor Tests beginnen, einigen sich Client und Tester auf Einsatzregeln: was im Scope liegt (spezifische IP-Bereiche, Domains, Anwendungen), was verboten ist (Production Databases, Drittsysteme, die nicht dem Client gehören), Testfenster und Notfallkontakte, falls etwas kaputt geht. Dies wird in einem unterzeichneten Autorisierungsschreiben oder Vertrag dokumentiert. Ohne diese Autorisierung ist exakt die gleiche technische Arbeit eine Straftat nach Gesetzen wie dem US Computer Fraud and Abuse Act oder dem UK Computer Misuse Act.

Engagements werden normalerweise danach kategorisiert, wie viele Informationen der Tester anfangs hat:

• Black box — Tester erhält ein Ziel und sonst nichts, simuliert einen externen Angreifer ohne jegliches Vorwissen.
• Gray box — Tester erhält einige Informationen, wie ein Benutzerkonto oder Netzwerkdiagramm, ähnlich wie ein böswilliger Insider oder kompromittiertes Credential-Szenario.
• White box — Tester hat vollen Zugriff auf Quellcode, Architekturdokumentation und Credentials, nützlich für tiefgehende Application-Level-Tests.

Wie eine typische Methodik aussieht

Die meisten Pentests folgen grob einer Struktur ähnlich dem PTES (Penetration Testing Execution Standard) oder den Phasen in NIST SP 800-115:

1. Reconnaissance — passive und aktive Informationsbeschaffung. Tools wie theHarvester, amass oder einfaches Google Dorking für offengelegte Subdomains und Employee Emails.
2. Scanning and Enumeration — nmap -sC -sV gegen den Zielbereich, Directory Brute-Forcing mit gobuster oder ffuf auf Web Apps, SMB Enumeration mit enum4linux auf internen Netzwerken.
3. Exploitation — Verwendung bekannter CVEs, Fehlkonfigurationen, schwacher Credentials oder benutzerdefinierter Payloads, um ersten Zugriff zu erlangen. Dies könnte ein Metasploit-Modul, eine maßgeschneiderte SQL-Injection-Payload oder eine Phishing-E-Mail mit böswilligem Makro bedeuten.
4. Post-exploitation — sobald du einen Fuß in der Tür hast, beginnt die eigentliche Arbeit: Privilege Escalation, Lateral Movement, Credential Harvesting mit Tools wie Mimikatz oder secretsdump.py und Ermittlung, wie weit der Zugriff tatsächlich reicht.
5. Reporting — Findings mit CVSS-Scores, Reproduktionsschritten, Belegen und Remediationsvorgaben dokumentieren, auf die das Engineering-Team des Clients reagieren kann.

Arten von Pentests, auf die du stoßen wirst

Network Pentests betreffen interne oder externe Infrastruktur — Server, Firewalls, Router. Web Application Pentests konzentrieren sich auf Dinge in der OWASP Top 10: Injection Flaws, Broken Authentication, Insecure Deserialization. Mobile App Pentests untersuchen APK-/IPA-Dateien, API-Endpoints und Local Storage. Wireless Pentests prüfen WLAN-Sicherheit (WPA2/3 Handshake Capture, Rogue Access Points). Physical und Social Engineering Pentests prüfen, ob jemand in ein Gebäude gehen oder einen Mitarbeiter davon überzeugen kann, Credentials herauszugeben, ohne Code.

Warum Unternehmen dafür tatsächlich zahlen

Über das Finden von Bugs hinaus erfüllen Pentests Compliance-Anforderungen. PCI DSS erfordert jährliche Penetration Tests für alle, die Kartendaten verarbeiten. SOC 2 und ISO 27001 Audits erwarten oft Belege für regelmäßiges Testing. Aber der ehrliche Grund, warum gute Security Teams Pentests in Auftrag geben, ist nicht nur der Haken — es ist, dass automatisierte Scanner Business Logic Flaws, verkettete Low-Severity-Issues und die Art kreativer Exploitation, die ein geschickter Mensch findet, verfehlen. Ein Scanner wird nicht bemerken, dass das Ändern einer Order ID in einer URL dir ermöglicht, die Rechnung jemand anderen zu sehen. Ein Tester wird es bemerken.

In dieses Feld einsteigen

Wenn du Pentesting als Karriere anstrebst, ist praktische Erfahrung wichtiger als allein Zertifikationen. Plattformen wie HackTheBox und TryHackMe bauen Automatismen auf; Zertifikationen wie OSCP validieren sie. Lerne, Quellcode zu lesen, verstehe, wie HTTP tatsächlich auf Byte-Ebene funktioniert, und werde mit einem Linux Terminal vertraut, bevor du dich über glänzende Tools gedanken machst.

Wenn diese Übersicht nützlich war, hat Korra Studio weitere Segmente im Offensive Track mit spezifischen Exploitation-Techniken, Tool-Walkthroughs und Lab-basierter Praxis, denen du folgen kannst.