Wie tief muss ein Penetrationstest gehen, damit er ehrlich ist?

Ein Schwachstellen-Scan ist eine automatisierte Liste möglicher Probleme – wie ein Brandmelder, der piept. Ein Penetrationstest geht weiter: ein Mensch versucht aktiv, die Schwachstellen auszunutzen und zu zeigen, ob sie wirklich gefährlich sind und welcher Schaden entstehen würde. Der Scan sagt „Tür wirkt nicht abgeschlossen". Der Pentest probiert die Tür, kommt vielleicht rein, und dokumentiert, was im Inneren erreichbar war. Beides hat seinen Platz: Scan für Breite und Routine, Pentest für Tiefe und Realismus.

Per E-Mail. Das BKA-Lagebild Cybercrime 2025 weist Phishing-Mails als häufigsten Initial-Vektor aus. Ein Mitarbeiter klickt auf einen Link, gibt seine Anmeldedaten auf einer gefälschten Microsoft-Login-Seite ein, der Angreifer hat das Office-365-Konto. Von dort: Postfach lesen, Multi-Faktor schwächen, weitere interne Mails verschicken, Buchhaltungs-Daten kopieren. Brute-Force gegen Logins ist weiter eine Sekundär-Methode, fast immer mit gestohlenen Passwortlisten aus früheren Daten-Lecks. Echte Server-Lücken werden oft erst genutzt, nachdem der erste Fuß in der Tür war.

Weil ein moderner Angriff oft gar keine klassische Schadsoftware mehr nutzt. Phishing, Credential-Stuffing und Session-Hijacking laufen über legitime Werkzeuge: Browser, Web-Mail, Cloud-Speicher. Der Anti-Virus sieht nichts Verdächtiges, weil nichts Verdächtiges ausgeführt wird – nur ein gestohlener Login. Was heute wirklich schützt, ist eine Kombination: Multi-Faktor-Auth, Mail-Filter mit DMARC, Mitarbeiter-Awareness, Endpoint-Detection-Response statt klassischem Anti-Virus, und regelmäßige Sicherheits-Checks von außen.

Unsere Stichprobe für 290 Euro läuft ein bis zwei Werktage, das Webseiten-Audit drei bis fünf, das Komplett-Audit fünf bis zehn. Bei einem aktiven Sicherheits-Vorfall können wir den externen Check binnen 24 Stunden starten. Ein BSI-zertifizierter Penetrationstest nach Standard 200-3 läuft typischerweise zwei bis vier Wochen, oft länger, und kostet ab 8.000 Euro aufwärts.

SQL ist die Sprache, in der Webseiten mit ihrer Datenbank reden („Hol mir alle Bestellungen von Kunde 42"). Bei einer SQL-Injection schmuggelt ein Angreifer eigene Datenbank-Befehle in ein Formular-Feld ein, weil die Seite die Eingabe nicht sauber prüft. Der Server führt diese Befehle aus, als kämen sie vom eigenen Code. Folge: ein Angreifer kann ganze Tabellen auslesen – Kunden, Passwörter, Bestellungen – oder Daten verändern. SQL-Injection steht seit über 15 Jahren auf Platz 1 der häufigsten Web-Schwachstellen weltweit und ist immer noch eine der häufigsten Ursachen großer Daten-Lecks.

Ein Angreifer schmuggelt eigenen JavaScript-Code in eine Webseite ein, der dann im Browser anderer Besucher ausgeführt wird. Beispiel: Kommentar-Funktion, die HTML nicht filtert. Der Angreifer postet einen Kommentar mit Code-Schnipsel, jeder andere Besucher führt diesen Code aus – Cookies stehlen, Session übernehmen, fremde Eingaben mitschneiden. Bei reflektiertem XSS reicht ein präparierter Link, den der Nutzer anklickt. Bei gespeichertem XSS sitzt der Code dauerhaft auf der Seite. XSS ist die häufigste Schwachstelle in Web-Anwendungen überhaupt.

Brute-Force heißt: ein Programm probiert systematisch Passwörter durch. Im einfachsten Fall „aaaa, aaab, aaac …". In der echten Welt: Angreifer nutzen Listen aus bekannten Daten-Lecks, weil Menschen Passwörter wiederverwenden. Wenn Ihr LinkedIn-Passwort 2012 geleakt wurde und Sie es in Ihrem Firmen-Mail noch nutzen, probiert das Programm es dort einfach. Schutz dagegen: kein Wiederverwenden, Passwort-Manager, und vor allem Zwei-Faktor-Authentifizierung – damit reicht das Passwort allein nicht mehr.

Vier Schichten. SPF legt fest, welche Server in Ihrem Namen Mails verschicken dürfen. DKIM signiert jede ausgehende Mail mit Ihrer Domain, damit Empfänger die Echtheit prüfen können. DMARC bindet beides zusammen und sagt Empfängern, was bei einer Fälschung passieren soll. MTA-STS und DANE erzwingen verschlüsselten Mail-Transport. Ohne diese vier Schichten kann jeder Beliebige eine Mail mit Ihrer Domain als Absender verschicken – das ist die Grundlage fast jeder Phishing-Welle. Wir prüfen den aktuellen Stand, die Strenge der Policies, das DMARC-Report-Aufkommen und schlagen einen schrittweisen Härtungs-Plan vor.

Ja. Das BSI-Lagebild 2025 zeigt, dass kommunale Verwaltungen, Krankenhäuser und Hochschulen seit Jahren überdurchschnittlich oft Ziel von Ransomware sind – weil die IT-Budgets klein sind, viele Altsysteme laufen und die operative Abhängigkeit hoch ist. Der Cyber-Katastrophenfall im Landkreis Anhalt-Bitterfeld 2021 war der erste deutsche IT-Notstand auf Kreis-Ebene. Die Uniklinik Düsseldorf 2020, Funke Mediengruppe 2020, Anhalt-Bitterfeld 2021, Continental 2022 und die Deutsche Flugsicherung 2024 stehen für eine Reihe, die nicht abreißt.

Ein Vulnerability-Scanner ist ein Programm mit einer riesigen Datenbank bekannter Schwachstellen, das systematisch prüft, ob Ihre Systeme davon betroffen sind. Beispiele: Tenable Nessus, Greenbone OpenVAS, Pentest-Tools.com. Der Scanner fragt Ihre Server höflich ab: „Welche Version läuft hier? Apache 2.4.50? Das hatte die Schwachstelle CVE-2021-41773." Er gibt eine priorisierte Liste mit Schweregraden. Wir nutzen mehrere Scanner parallel, weil keiner alles findet, und prüfen die Treffer manuell – Scanner haben oft falsch-positive Befunde, die nur eine Fachperson aussortiert.

Weil das deutsche Strafrecht in §202a–c StGB das Ausspähen von Daten und das Vorbereiten solcher Taten unter Strafe stellt. Beauftragte Sicherheitsprüfungen sind ausdrücklich erlaubt – aber nur mit dokumentierter Einwilligung des Berechtigten. Ohne diesen Auftrag wäre selbst ein gut gemeinter Scan strafbar. Die Pentest-Beauftragung definiert Scope, Zeitraum, erlaubte Test-Tiefe und Notfall-Kontakt. Sie schützt beide Seiten: uns vor Strafbarkeit, Sie vor unkontrollierten Tests an Systemen, die nicht zu Ihnen gehören.

Wir prüfen ausschließlich von außen und mit authentifiziertem Cloud-Zugang. Ein interner Netzwerk-Pentest – ein Tester sitzt physisch im Firmen-Netz oder bekommt einen VPN-Zugang mit normalem Mitarbeiter-Profil – ist eine andere Disziplin, die wir nicht anbieten. Für interne Tests empfehlen wir spezialisierte Dienstleister wie secunet, SySS, syret oder lokale Sicherheits-Häuser. Wir können den externen Teil übernehmen und Ihnen einen seriösen internen Tester vermitteln.

Sie ist erlaubt, braucht aber Vorbereitung. Bei Unternehmen mit Betriebsrat ist eine Mitbestimmung nach §87 BetrVG nötig, weil personenbezogene Mitarbeiter-Daten ausgewertet werden. Datenschutzrechtlich ist die Simulation unkritisch, solange die Auswertung anonymisiert bleibt und nur Klick-Raten als Gesamtwert berichtet werden. Wir liefern eine Betriebsrats-Vorlage und eine Mitarbeiter-Information mit, übernehmen aber keine arbeitsrechtliche Beratung. Bei kleinen Firmen ohne Betriebsrat reicht eine vorherige Mitarbeiter-Information.

Der Bericht wird als verschlüsseltes PDF per Mail oder über einen verschlüsselten Übertragungs-Weg übergeben. Alle Test-Daten bleiben in deutschen Rechenzentren. Befunde löschen wir nach Abschluss des Auftrags und der gemeinsamen Nachsorge, sofern Sie nichts anderes wünschen. Eine Auftragsverarbeitung nach Art. 28 DSGVO regeln wir separat, wenn im Scope personenbezogene Daten liegen.

Drei Wege. Sie können den Bericht an Ihren bestehenden IT-Dienstleister geben – er ist so geschrieben, dass eine erfahrene Fachperson die Empfehlungen abarbeiten kann. Oder wir beheben die Mängel selbst zum Festpreis nach Befund, üblicher Bereich 590 bis 2.490 Euro für 8 bis 25 Anpassungen. Oder Sie buchen unsere Sicherheits-Pflege für 39 Euro pro Monat – quartalsweiser Re-Scan, jährlicher Stichproben-Audit, Hotline für Rückfragen, Frühwarnung bei neuen relevanten Sicherheits-Meldungen.