Penetrationstest, kurz Pentest, ist der fachsprachliche Ausdruck für einen umfassenden Sicherheitstest einzelner Rechner oder Netzwerke jeglicher Größe. Unter einem Penetrationstest versteht man in der Informationssicherheit die Prüfung der Sicherheit möglichst aller Systembestandteile und Anwendungen eines Netzwerks oder Softwaresystems mit Mitteln und Methoden, die ein Angreifer anwenden würde, um unautorisiert in das System einzudringen (Penetration). Der Pentest ermittelt somit die Empfindlichkeit des zu testenden Systems gegen derartige Angriffe. Wesentlicher Teil eines Penetrationstests sind Werkzeuge, die dabei helfen, möglichst alle Angriffsmuster nachzubilden, die sich aus den zahlreichen bekannten Angriffsmethoden herausbilden.

Penetrationstests sind heute ein unverzichtbares Instrument in einer modernen Cyber-Sicherheitsinfrastruktur. Dabei unterscheiden man zwischen zwei Arten von Tests. Diese sogenannten Black- bzw. Whitebox Tests starten einen Angriff aus der Sicht eines externen Angreifers ebenso, wie aus der Sicht einen internen Angreifers. Dadurch decken sie möglichst alle Aspekte der Cyber-Sicherheit ab. Dabei ist auch eine Kombination von beiden Modellen sinnvoll und möglich.

Angriff aus der Sicht eines externen Angreifers

• Blackbox Test
• Geschäftsgeheimnisse/Abläufe müssen nicht offen gelegt werden

Angriff aus der Sicht eines internen Angreifers

• Whitebox Test
• Eventuell liegt Quellcode von Produkten vor oder ein Zugang zum internen Netz ist offen (Entry Point durch Insider)

Die Ziele unserer Pentests sind:

• die Identifikation von Schwachstellen
• das Aufdecken potentieller Fehler, die sich aus der Bedienung ergeben
• die Erhöhung der Sicherheit auf technischer und organisatorischer Ebene und
• die Bestätigung der IT-Sicherheit durch einen externen Dritten.

Durch die ständige Änderung der Bedrohungsbilder und sicherheitsrelevanten Faktoren in der Informationstechnik ist ein Pentest allerdings eher als Momentaufnahme zu begreifen. Im Extremfall kann ein System unmittelbar nach dem Beheben der durch den Test aufgedeckten Schwachstellen durch eine neue Sicherheitslücke wieder verwundbar sein. Allerdings deckt ein Test in der Regel auch die Ursachen auf, welche zu den festgestellten Problemen führen (z. B. Personalmangel). Jedoch ist die Behebung der Ursachen in der Regel Sache des Betreibers der getesteten Systeme und Anwendungen.