iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Ein Penetrationstest liefert nur dann belastbare Entscheidungen, wenn vorab klar ist, welche Frage er beantworten soll, welche Systeme geprüft werden dürfen und wie mit unerwarteten Auswirkungen umzugehen ist. Legen Sie Ziel, Scope, Zugänge, Zeitfenster, Verantwortliche und Berichtserwartungen schriftlich fest. Wählen Sie anschließend eine zur Architektur und zum Bedrohungsmodell passende Methodik. Bei der Auswertung zählen verifizierbare Nachweise, konkrete Abhilfen und die Geschäftsfolgen – nicht allein ein Schweregrad.
Was ein Penetrationstest leisten kann – und was nicht
Ein Pentest prüft ein vereinbartes System mit festgelegten Methoden und innerhalb eines bestimmten Zeitraums. Das Ergebnis hängt unter anderem vom Scope, den verfügbaren Zugängen, der Prüftiefe und der eingesetzten Methodik ab. Ein Bericht ist deshalb eine Entscheidungsgrundlage zu einem bestimmten Zeitpunkt, keine Garantie, dass alle Schwachstellen gefunden wurden. OWASP empfiehlt, Einschränkungen und den geprüften Umfang im Bericht transparent zu machen (OWASP Web Security Testing Guide: Reporting Structure).
| # | Preview | Product | Price | |
|---|---|---|---|---|
| 1 |
|
Penetration Tester's Open Source Toolkit | $93.24 | Buy on Amazon |
| 2 |
|
Penetration Tester's Open Source Toolkit | $59.95 | Buy on Amazon |
| 3 |
|
The Basics of Hacking and Penetration Testing | $39.95 | Buy on Amazon |
| 4 |
|
Penetration Tester's Open Source Toolkit | $17.98 | Buy on Amazon |
| 5 |
|
The Hacker Playbook: Practical Guide To Penetration Testing | $21.88 | Buy on Amazon |
Der Test sollte eine konkrete Fragestellung beantworten: etwa, ob eine bestimmte Anwendung unter definierten Bedingungen einen Angriffspfad zulässt oder ob eine geplante Sicherheitsmaßnahme ein Risiko ausreichend begrenzt. Eine breite Prüfung kann sinnvoll sein, ersetzt aber keine klare Zielsetzung. Ohne sie lässt sich später schwer beurteilen, ob der Test die relevanten Risiken tatsächlich adressiert hat.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
Vor der Beauftragung Ziel und Scope schriftlich festlegen
Die Prüfgrenzen eindeutig beschreiben
Der Scope bezeichnet die vereinbarten Grenzen und Anforderungen des Auftrags. Führen Sie die tatsächlich zu prüfenden Anwendungen, Hosts, Endpunkte und relevanten Technologien auf. Halten Sie ebenso fest, was ausdrücklich ausgeschlossen ist. OWASP weist darauf hin, dass nicht entdeckte Assets nicht getestet werden; aktive Erkundung muss innerhalb der festgelegten Grenzen bleiben (OWASP WSTG: Information Gathering Overview).
#1 Best Overall
- Used Book in Good Condition
Benennen Sie außerdem die Zugänge und Voraussetzungen: Welche Konten, Rollen, Quellcodebestände, Testdaten oder Umgebungen stehen bereit? Gibt es technische Grenzen oder Bereiche, die wegen möglicher Auswirkungen besonders behandelt werden müssen? Wenn Zugangsdaten fehlen oder ein Teil des Systems nicht erreichbar ist, kann das die Aussagekraft des Ergebnisses einschränken. Diese Einschränkung gehört sowohl in die Planung als auch in den späteren Bericht.
Auftrag, Zuständigkeiten und Eskalation vereinbaren
Ein schriftlicher Auftrag sollte mindestens folgende Punkte enthalten:
- Prüfziel und erwartete Art des Ergebnisses;
- Systemliste, Scope, ausgeschlossene Bereiche und bekannte Einschränkungen;
- Testart und verfügbare Zugänge, Konten sowie Testumgebungen;
- Prüfzeitraum und Regeln für zulässige Testaktivitäten;
- Ansprechpartner auf beiden Seiten und Zuständigkeiten für Entscheidungen;
- Eskalations- und Abbruchweg bei Störungen oder unerwarteten Effekten;
- Berichtsanforderungen und Vereinbarungen zu Nachprüfung und Retest.
Die BSI-Checkliste ordnet die Arbeit in Einarbeitungs-, Test- und Berichtsphase ein und nennt Prüfzeitraum, Prüfbedingungen, Verantwortlichkeiten, Vorbereitung der Prüfumgebung und mögliche Abstimmungen mit internen Stellen. Sie stammt aus November 2016 und ist als Prozesshilfe zu verstehen, nicht als Nachweis des aktuellen Stands aller Rechts- oder Organisationsanforderungen (BSI: Leitfaden Penetrationstest). Rechtliche und datenschutzbezogene Freigaben hängen vom konkreten Auftrag, den betroffenen Daten und Systemen sowie beteiligten Dritten ab; klären Sie diese fallbezogen.
Quick wins for a faster PC:
Clear out junk files and repair common Windows errorsFree Scan →Fix the driver behind crashes, sound loss and screen glitchesFind Drivers →Methodik und Prüfende passend auswählen
Eine Methodik als Rahmen nutzen, nicht als starre Checkliste
OWASP beschreibt für Penetrationstests einen Ablauf aus sieben Phasen: Vorabstimmung, Informationsbeschaffung, Bedrohungsmodellierung, Schwachstellenanalyse, Ausnutzung, Nachausnutzung und Berichterstattung. Die Phasen strukturieren den Auftrag, schreiben aber weder identische Prüftiefe noch denselben Aufwand für jedes System vor. Architektur, Datenempfindlichkeit, Bedrohungsmodell, Risikotoleranz und Entwicklungspraktiken beeinflussen, welche Prüfungen sinnvoll sind (OWASP WSTG: Penetration Testing Methodologies; OWASP WSTG: Introduction).
Ein Verfahrensmodell hilft, den Gesamtauftrag zu organisieren; ein spezialisierter Leitfaden kann konkrete Prüfbereiche und Techniken für einen bestimmten Prüfgegenstand beschreiben. Wählen Sie daher nach Systemtyp, Ziel, gewünschter Tiefe und Nutzen des Berichts – nicht nur nach dem Namen einer Methodik. Eine Webanwendung, ein internes Werkzeug und ein kundenorientiertes Finanzsystem benötigen nicht zwangsläufig dieselben Schwerpunkte.
Kompetenz und Passung des Dienstleisters prüfen
Fragen Sie nach nachgewiesener Erfahrung mit dem konkreten Prüfgegenstand, der geplanten Vorgehensweise, der Unabhängigkeit der Prüfenden und dem Umgang mit Befunden. Klären Sie, wie Findings verifiziert werden, welche Angaben der Bericht enthält und ob eine Nachprüfung vereinbart werden kann. Das BSI weist darauf hin, dass Penetrationstests an die individuelle Organisation angepasst werden müssen und nur begrenzt standardisierbar sind. Sein Zertifizierungsverfahren kann bei der Auswahl fachlich geeigneter Personen helfen, belegt aber nicht automatisch die Passung für jeden Auftrag (BSI: Certification as an IT Information Security Penetration Tester).
Durchführung sicher und kontrolliert vorbereiten
Vor dem Start sollten alle Beteiligten wissen, wann getestet wird, welche Aktivitäten freigegeben sind und wer bei unerwarteten Effekten entscheidet. Stimmen Sie Prüfbedingungen, Kommunikationsweg und Abbruchkriterien mit den Systemverantwortlichen ab. Passive Informationsgewinnung und aktive Enumeration können Teil der Angriffsflächenanalyse sein; auch dabei gilt die vereinbarte Scope-Grenze. Der OWASP-Leitfaden betont, dass Erkundung innerhalb des definierten Scopes stattfinden muss (OWASP WSTG: Information Gathering Overview).
Free tools Windows power users keep installed
One-click scans. No signup required.
Bei mehreren internen Teams oder externen Beteiligten müssen Verantwortlichkeiten und Freigaben verständlich sein, bevor technische Tests beginnen. Planen Sie zudem die Prüfumgebung und benötigte Zugänge rechtzeitig ein. So lassen sich Verzögerungen und Missverständnisse über zulässige Aktivitäten vermeiden.
Best Value
Den Pentest-Bericht auf Aussagekraft prüfen
Ein brauchbarer Bericht muss Führungskräften und technischen Teams jeweils die Informationen liefern, die sie benötigen. OWASP empfiehlt eine klare Darstellung von Auftrag, Scope, Einschränkungen, Zeitplan und Ergebnissen. Die Management-Zusammenfassung sollte Ziel, Geschäftsauswirkung und strategische Empfehlungen verständlich machen. Der technische Teil sollte die Reproduktion des Befunds, seine Ursache, das Risiko und konkrete Behebungsschritte ermöglichen (OWASP WSTG: Reporting Structure; OWASP WSTG: Introduction).
Ein Schweregrad allein erklärt nicht, warum ein Finding für die eigene Organisation wichtig ist oder was zu tun ist. Prüfen Sie deshalb, ob der Bericht für jeden relevanten Befund die betroffene Funktion, belastbare Nachweise, eine nachvollziehbare Ursache, mögliche Auswirkungen und eine umsetzbare Abhilfe nennt. OWASP warnt, dass falsche Befunde das Vertrauen in einen Bericht schwächen können; Findings sollten daher auf Nachvollziehbarkeit geprüft und mögliche Fehlalarme aussortiert werden.
Findings prüfen, priorisieren und in Maßnahmen überführen
- Auftrag abgleichen: Prüfen Sie, ob Zielsysteme, Scope, Testzeitraum und genannte Einschränkungen dem vereinbarten Auftrag entsprechen.
- Nachweise verifizieren: Prüfen Sie, ob ein Finding reproduzierbar und durch belastbare Informationen gestützt ist.
- Auswirkung verstehen: Erfassen Sie betroffene Funktion, Ursache, mögliche Folgen und konkrete Abhilfe.
- Kontextbezogen priorisieren: Berücksichtigen Sie Schweregrad, tatsächliche Exponierung, Geschäftsfolgen und Behebbarkeit. CVSS oder andere Severity-Angaben können beim Vergleich helfen, ersetzen aber nicht die organisationsspezifische Risikobewertung.
- Verantwortung und Termin festlegen: Ordnen Sie jeder Maßnahme eine zuständige Person oder ein Team sowie einen realistischen Zeitrahmen zu.
- Nachprüfungen dokumentieren: Halten Sie, sofern vereinbart, Retests und den Status früherer Befunde fest.
Die Priorität folgt nicht automatisch aus einer technischen Kennzahl. Systemverantwortliche müssen den Geschäftskontext und die Folgen für die Organisation einbeziehen und daraus den Behebungsplan ableiten. Die im Bericht vorgeschlagenen Maßnahmen sind dafür ein Input, keine automatisch gültige Entscheidung.
Recommended Free Tools
Quellen und zeitliche Einordnung
Die OWASP-Links mit „latest“ verweisen auf bewegliche Fassungen des Web Security Testing Guide. Für verbindliche Projektvorgaben sollten Sie die tatsächlich verwendete Fassung dokumentieren und vor dem Auftrag die dann aktuelle Version prüfen. Eine stabile, versionierte Alternative für Reporting und Methodik ist OWASP WSTG v4.2 (Reporting; Penetration Testing Methodologies; Introduction). Die BSI-Checkliste ist, wie oben angegeben, auf November 2016 datiert.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
