Ablauf eines Penetrationstests: sieben Schritte vom Scoping bis zum Retest
Ein Penetrationstest ist ein Projekt mit klaren Phasen, nicht ein paar Tage Hacking. Wer den Ablauf kennt, kann Freigaben, Ansprechpartner und Behebungskapazität rechtzeitig organisieren. Diese Seite beschreibt die sieben Schritte, was in jedem entsteht und worauf Sie als Auftraggeber achten sollten.
- 7 Schritte vom Scoping bis zum Retest
- 1 Unterschrift Permission to Attack vor dem ersten Paket
- CVSS Schweregrad je Befund von 0 bis 10
- Retest erst er macht den Bericht zum Nachweis
Die sieben Schritte im Überblick
Die Reihenfolge ist bei allen seriösen Anbietern gleich, weil sie aus den gängigen Vorgehensmodellen folgt: PTES als Rahmen, OWASP Testing Guide für Webanwendungen, der BSI-Praxis-Leitfaden für IS-Penetrationstests als Orientierung für Aufbau und Dokumentation.
-
Scoping
Ziel, Umfang, Testart, Box-Ansatz, Zeitfenster, ausgeschlossene Systeme. Ergebnis ist ein Scoping-Dokument, auf dessen Basis Angebote vergleichbar werden. Was hier unklar bleibt, wird später teuer.
-
Permission to Attack und Rules of Engagement
Die schriftliche Freigabe des Systemeigentümers und die Spielregeln: Notfallkontakte, Meldeweg für kritische Befunde, Umgang mit Zufallsfunden, Denial-of-Service-Verbot, Zustimmung von Hostern und Cloud-Anbietern.
-
Aufklärung
Der Tester sammelt Informationen über die Ziele: erreichbare Systeme, Dienste, Versionen, Technologien, bei Black Box auch öffentlich verfügbare Informationen über das Unternehmen. Daraus entsteht die Angriffsfläche, die im nächsten Schritt geprüft wird.
-
Test
Schwachstellen identifizieren, verifizieren und, soweit freigegeben, ausnutzen und verketten. Jeder Befund wird mit Nachweis dokumentiert, während der Test läuft. Kritische Befunde werden sofort gemeldet.
-
Bericht
Management-Summary mit Gesamtbild und Handlungsfeldern, technischer Teil mit Schweregrad nach CVSS, betroffenen Systemen, Reproduktionsschritten und Empfehlung je Befund. Der Bericht ist das Produkt, an dem sich die Qualität des Tests messen lässt.
-
Abschlussgespräch
Tester, IT und Geschäftsführung gehen den Bericht gemeinsam durch. Befunde werden in Ihren Kontext übersetzt und nach Geschäftsrisiko priorisiert. Ergebnis ist ein Maßnahmenplan mit Verantwortlichen und Terminen.
-
Retest
Nach der Behebung prüft der Tester gezielt die geschlossenen Befunde. Der Retest-Bericht belegt, welche Lücken geschlossen sind und welche offen bleiben. Erst damit ist der Zyklus abgeschlossen und der Nachweis vollständig.
Scoping: Was vor dem Angebot geklärt sein muss
Das Scoping entscheidet über Aussagekraft und Aufwand. Ein Angebot ohne Scoping-Dokument ist ein Angebot für einen anderen Test als den, den Sie brauchen.
| Festlegung | Was zu klären ist | Typischer Fehler |
|---|---|---|
| Fragestellung | Was soll der Test beantworten: Sichtbarkeit von außen, Übernahme der Domäne, Sicherheit eines Portals vor dem Go-live? | Umfang wird vom Budget statt von der Frage abgeleitet. Ergebnis ist ein breiter Scan mit Pentest-Etikett. |
| Umfang | Liste der Systeme, Adressbereiche, Anwendungen, Konten und Rollen im Scope. Ausdrücklich: was nicht im Scope ist. | Systeme von Dienstleistern oder Cloud-Anbietern stehen im Scope, ohne dass deren Zustimmung vorliegt. |
| Testart und Box-Ansatz | Extern, intern, Web/API, Cloud, Active Directory, Social Engineering; Black, Grey oder White Box je Testart. | Black Box gewählt, obwohl die Frage Berechtigungen hinter dem Login betrifft. Die Testzeit geht in Aufklärung verloren. |
| Tiefe | Nur Nachweis der Schwachstelle oder auch Ausnutzung und Weiterbewegung? Welche Systeme dürfen unter keinen Umständen beeinträchtigt werden? | Ausnutzung pauschal verboten. Dann bleibt offen, ob ein Befund tatsächlich zu einem Angriffspfad führt. |
| Zeitfenster und Ansprechpartner | Testzeiten, Sperrzeiten, Erreichbarkeit auf beiden Seiten, Eskalationskette bei Störungen. | Test läuft in einer Phase mit Release oder Inventur, niemand ist erreichbar, wenn ein System ausfällt. |
| Nachweisziel | Soll der Bericht als Nachweis für ISO 27001, NIS2, einen Kunden oder Versicherer dienen? Dann muss das Berichtsformat dazu passen. | Nachweisziel wird nach dem Test genannt, der Bericht enthält nicht die Angaben, die der Prüfer erwartet. |
Permission to Attack und Rules of Engagement
Ohne schriftliche Freigabe ist ein Penetrationstest ein Angriff. Die Freigabe schützt Sie und den Tester; die Rules of Engagement regeln, was während des Tests passiert.
- Permission to Attack
Wer was in welchem Zeitraum darf
Genaue Bezeichnung der freigegebenen Systeme, Adressbereiche und Anwendungen, der Testzeitraum, die testenden Personen und die Unterschrift der Person, die über die Systeme verfügen darf. Bei gehosteten Systemen zusätzlich die Zustimmung des Betreibers oder der Verweis auf dessen Testregeln.
- Rules of Engagement
Spielregeln für den Ernstfall
Notfallkontakte auf beiden Seiten, Meldeweg für kritische Befunde, Verbot von Denial-of-Service-Angriffen ohne gesonderte Freigabe, Umgang mit Zufallsfunden wie Spuren echter Angreifer, Verhalten bei Störungen und die Regel, wer den Test abbrechen darf.
- Daten
Umgang mit dem, was der Tester sieht
Personenbezogene Daten, Geschäftsgeheimnisse und Zugangsdaten, die im Test zugänglich werden, dürfen nur so weit erfasst werden, wie es für den Nachweis nötig ist. Vertraulichkeit, Aufbewahrung und Löschung der Testdaten werden vorab vereinbart.
- Beteiligte
Wer eingeweiht ist
Ein kleiner, definierter Kreis kennt den Test. Ob das eigene SOC oder der MDR-Dienstleister informiert wird, hängt von der Frage ab: Wer Erkennung und Reaktion prüfen will, informiert nicht. Wer Schwachstellen finden will, vermeidet unnötige Störungen und informiert.
Der Bericht: Aufbau und CVSS-Schweregrade
Ein guter Bericht hat zwei Zielgruppen und eine klare Struktur. Er beantwortet die Frage aus dem Scoping und macht jeden Befund reproduzierbar.
| Teil | Inhalt | Für wen |
|---|---|---|
| Management-Summary | Gesamtbild, Beantwortung der Scoping-Frage, die wichtigsten Handlungsfelder, Einordnung des Risikos in Worten. | Geschäftsführung, Aufsichtsgremien, Kunden und Versicherer auf Anfrage. |
| Vorgehen und Umfang | Was getestet wurde, mit welchem Box-Ansatz, in welchem Zeitraum, nach welcher Methodik, was ausgeschlossen war. | Auditoren und Prüfer, die die Aussagekraft bewerten müssen. |
| Befunde | Je Befund: Titel, Schweregrad nach CVSS, betroffene Systeme, Beschreibung, Nachweis, Reproduktionsschritte, Empfehlung zur Behebung. | IT, Entwicklung, Dienstleister, die die Behebung umsetzen. |
| Angriffspfade | Wie einzelne Befunde verkettet wurden und was am Ende erreichbar war. Dieser Teil unterscheidet einen Pentest vom Scan. | IT-Leitung und Sicherheitsverantwortliche für die Priorisierung. |
| Anhang | Rohdaten, Werkzeugausgaben, Liste der geprüften Systeme, Zeitprotokoll. | Technische Nachvollziehbarkeit und Retest. |
CVSS-Stufen: niedrig (0,1 bis 3,9), mittel (4,0 bis 6,9), hoch (7,0 bis 8,9), kritisch (9,0 bis 10,0). Der Wert beschreibt die Schwachstelle, nicht Ihr Risiko. Ein mittlerer Befund auf dem System, das Ihre Produktion steuert, kann dringender sein als ein hoher auf einem isolierten Testserver. Deshalb priorisieren wir im Abschlussgespräch nach Schweregrad und Geschäftsbedeutung.
Abschlussgespräch, Maßnahmenplan, Retest
Hier entsteht der Wert des Tests. Ein Bericht, der im Ordner landet, dokumentiert ein Problem. Ein Maßnahmenplan mit Retest dokumentiert eine Lösung.
- Abschlussgespräch
Befunde in Entscheidungen übersetzen
Tester, IT und Geschäftsführung an einem Tisch. Jeder Befund wird eingeordnet: Welches System, welcher Prozess, was passiert im Ernstfall? Daraus entsteht eine Priorisierung, die Ihr Risiko abbildet und nicht nur den CVSS-Wert.
- Maßnahmenplan
Verantwortliche, Termine, Nachverfolgung
Je Befund eine Maßnahme, eine verantwortliche Person und ein Termin. Kritische und hohe Befunde mit kurzen Fristen, der Rest im normalen Änderungsprozess. Der Plan wird nachverfolgt, nicht nur verteilt.
- Retest
Nachweis, dass es geschlossen ist
Der Tester prüft die behobenen Befunde gezielt nach. Der Retest-Bericht listet je Befund: geschlossen, teilweise geschlossen, offen. Dieses Dokument legen Sie Auditoren, Kunden und Versicherern vor, nicht den Erstbericht allein.
Was JAMORIE im Ablauf übernimmt
Wir führen den Test nicht selbst durch, sondern stehen auf Ihrer Seite: Wir planen, begleiten und werten aus. So bleibt die Priorisierung bei denen, die Ihr Risiko kennen.
- Scoping-Dokument erstellen, das die richtige Frage stellt und Angebote vergleichbar macht
- Permission to Attack und Rules of Engagement vorbereiten, einschließlich Zustimmung von Hostern und Cloud-Anbietern
- Anbieterauswahl begleiten: Methodik, Qualifikation der Tester, Berichtsformat, Retest-Regelung
- Während des Tests als Ansprechpartner für Eskalationen und kritische Befunde bereitstehen
- Abschlussgespräch moderieren und den Bericht in einen priorisierten Maßnahmenplan übersetzen
- Behebung nachverfolgen, Retest koordinieren und die Ergebnisse in ISMS, NIS2-Nachweise und Kundenfragebögen überführen
Vertiefung zu Penetrationstests
-
Arten von Penetrationstests
Extern, intern, Web/API, Cloud, Active Directory, Social Engineering, physisch. Black, Grey oder White Box und wann welche Art passt.
-
Pentest oder Schwachstellenscan?
Abgrenzung zu Scan, Red Team und Bug Bounty, Nachweiswert für ISO 27001, NIS2 und Versicherer, sinnvoller Rhythmus.
-
Penetrationstests im Überblick
Testarten, Einordnung, Ablauf, Nachweise und der Selbsttest, ob Ihr Unternehmen bereit für einen Pentest ist.
Zum Ablauf
Wie lange dauert ein Penetrationstest insgesamt?
Vom ersten Scoping-Gespräch bis zum Retest vergehen in der Regel mehrere Wochen bis wenige Monate. Die Testtage selbst sind der kleinste Teil. Vorbereitung, Freigaben, Bericht, Behebung der Befunde und Retest bestimmen die Gesamtdauer. Wer die Behebung nicht einplant, hat am Ende einen Bericht, aber keinen Nachweis.
Was ist eine Permission to Attack, und wer muss sie unterschreiben?
Die schriftliche Freigabe, in der der Eigentümer der Systeme dem Tester erlaubt, definierte Systeme in einem definierten Zeitraum anzugreifen. Ohne sie ist ein Angriff auf fremde Systeme strafbar. Unterschreiben muss, wer über die Systeme verfügen darf: die Geschäftsleitung oder eine bevollmächtigte Person. Bei gehosteten Systemen muss zusätzlich der Betreiber zustimmen oder seine Regeln für Tests eingehalten werden.
Was passiert, wenn während des Tests ein kritischer Befund auftaucht?
Er wird nicht bis zum Bericht zurückgehalten. In den Rules of Engagement ist festgelegt, dass kritische Befunde sofort an die benannten Ansprechpartner gemeldet werden, damit Sie mit der Behebung beginnen können, während der Test weiterläuft. Ebenso ist geregelt, was der Tester tut, wenn er Spuren eines echten Angreifers oder personenbezogene Daten findet.
Was bedeutet der CVSS-Wert eines Befunds konkret?
Das Common Vulnerability Scoring System bewertet eine Schwachstelle nach Kriterien wie Angriffsweg, Komplexität, erforderlichen Rechten und Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Daraus ergibt sich ein Wert von 0 bis 10 mit den Stufen niedrig, mittel, hoch und kritisch. Der Wert beschreibt die Schwachstelle an sich, nicht Ihr Geschäftsrisiko. Deshalb ergänzen wir die Priorisierung um die Frage, welches System betroffen ist und was ein Ausfall kosten würde.
Ist der Retest im Angebot enthalten?
Das sollten Sie im Scoping klären, weil es Anbieter unterschiedlich handhaben. Ein Retest prüft gezielt die behobenen Befunde und ist deutlich kürzer als der Ersttest. Erst der Retest belegt gegenüber Auditoren, Kunden und Versicherern, dass die Lücken tatsächlich geschlossen sind. Ohne ihn dokumentiert der Bericht nur den Zustand vor der Behebung.
Edouard Jacques
Ihren Pentest richtig aufsetzen
Im kostenlosen Erstgespräch klären wir Fragestellung, Umfang und Freigaben und legen fest, wie aus dem Bericht ein Maßnahmenplan mit Retest wird.
- Scoping-Dokument als Grundlage für vergleichbare Angebote
- Permission to Attack und Rules of Engagement vorbereitet
- Auswertung, Maßnahmenplan und Retest koordiniert
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen