Wie Unternehmen reale Angriffswege im Netzwerk identifizieren und absichern
Inhaltsverzeichnis
Warum die Wahl der richtigen Pentest-Art entscheidend ist
Ein Pentest ist immer nur so wirksam wie seine Zieldefinition. Unternehmen nutzen heute vielfältige Systeme wie Cloud‑Infrastrukturen, Webplattformen, APIs, Active Directory oder hybride Netzwerke. Angriffe erfolgen längst nicht mehr nur über öffentliche Angriffsflächen. Der BSI‑Leitfaden betont, dass Penetrationstests auf die individuelle Situation abgestimmt sein müssen und nicht rein standardisiert durchgeführt werden können.
Damit wird klar: Die Frage lautet nicht, ob ein Pentest notwendig ist, sondern welche Art davon den größten Erkenntnisgewinn liefert. Je nach Architektur, Bedrohungslage und Compliance‑Umfeld ergeben sich völlig unterschiedliche Testanforderungen.
Was ein Pentest wirklich leistet
Ein Pentest ist eine autorisierte Sicherheitsuntersuchung, die reale Angriffstechniken nutzt, um Schwachstellen, Konfigurationsfehler und Wirkungsketten aufzudecken. Der BSI definiert dies als technische Prüfung unter realitätsnahen Bedingungen, um die Wirksamkeit bestehender Sicherheitsmaßnahmen zu verifizieren.
Frameworks wie NIST SP 800‑115 geben strukturierte Verfahren vor, darunter Informationssammlung, Bedrohungsmodellierung, Exploitation und Reporting. OWASP wiederum liefert bekannte Schwachstellenmuster, insbesondere für Web‑Anwendungen und APIs.
Das Ziel besteht immer darin, konkrete Risiken sichtbar zu machen, also nicht nur zu zeigen, dass Schwachstellen existieren, sondern wie Angreifer sie ausnutzen könnten.
Externer Pentest: Schutz vor Angriffen von außen
Ein externer Pentest simuliert Angriffe über das öffentliche Internet. Dies ist besonders wichtig, weil die meisten Angriffsversuche von außen kommen.
Laut BSI werden bei externen IS‑Penetrationstests vorrangig Schnittstellen untersucht, über die Angreifer in interne Systeme gelangen könnten. Dazu gehören Konfigurationsfehler, veraltete Dienste oder ungepatchte Schwachstellen.
Beispiel aus der Praxis
Ein Unternehmen stellt fest, dass ein schlecht konfigurierter VPN‑Gateway veraltete Verschlüsselungen verwendet. Ein externer Pentest zeigt, dass ein Angreifer diese Schwachstelle nutzen könnte, um Zugangsdaten abzugreifen.
Interner Pentest: Was passiert, wenn der Angreifer bereits im Netzwerk ist
Interne Pentests setzen voraus, dass ein Angreifer bereits physischen oder logischen Zugang hat. Das kann durch kompromittierte Konten, Social Engineering oder fehlerhafte Segmentierung passieren.
Der BSI‑Leitfaden beschreibt interne Tests als Analyse der Sicherheitsmaßnahmen innerhalb des Netzwerkes, um laterale Bewegungen, Rechteausweitungen oder interne Fehlkonfigurationen sichtbar zu machen.
Beispiel aus der Praxis
Ein interner Pentest deckt auf, dass eine Dateiablage falsche Berechtigungen verwendet. Ein normaler User kann vertrauliche Personalunterlagen einsehen.
Web und API Pentest: Anwendungen und Schnittstellen im Fokus
Web‑ und API‑Pentest: Anwendungen und Schnittstellen im Fokus
Webanwendungen und APIs gehören zu den am häufigsten angegriffenen Komponenten. Die OWASP‑Testing Guides liefern detaillierte Testverfahren und Szenarien für Web‑ und API‑Sicherheit, inklusive Identifikation klassischer Schwachstellen wie Injection, Broken Access Control oder fehlerhafte Authentifizierung.
Praxisbezug
Ein E‑Commerce‑Portal arbeitet mit einer JSON‑API. Ein Pentest deckt auf, dass die API ohne Rate Limiting auskommt und sensible Endpunkte enumerierbar sind.
Cloud Pentest: Sicherheit moderner Plattformen
Cloud‑Systeme stellen besondere Anforderungen. Typische Fragestellungen betreffen Fehlkonfigurationen, IAM‑Policies, öffentlich erreichbare Ressourcen, Identity Federation oder unzureichende Segmentierung.
Der BSI betont, dass Tests an moderne Architekturen angepasst sein müssen, da viele klassische Ansätze nicht ausreichen. Cloud‑Pentests orientieren sich häufig an NIST‑ und OWASP‑Standards, da viele Risiken in API‑Strukturen, Zugriffskontrollen und Konfigurationen liegen.
Active Directory Pentest: Identitäten und Berechtigungen prüfen
Active Directory ist das Herzstück vieler Unternehmensumgebungen. Schwachstellen in Berechtigungsstrukturen, veraltete Protokolle oder Privilege‑Escalation‑Pfadabhängigkeiten führen oft zu vollständigen Domänenübernahmen.
BSI und NIST definieren beide Identitäts- und Rechteprüfung als kritische Bestandteile technischer Sicherheitsprüfungen. AD‑Pentests decken Fehlkonfigurationen, Delegationsschwächen, Kerberos‑Angriffsflächen oder ungesicherte Admin‑Konten auf.
Social Engineering Tests: Menschliche Faktoren verstehen
Sozialtechnische Angriffe sind häufig erfolgreiche Erstzugriffe in Unternehmen.
Der BSI stellt klar, dass Social Engineering nur mit sauberen Freigaben, klaren Regeln und begrenztem Umfang durchgeführt werden darf.
Praxisbeispiel
Ein kontrollierter Phishing‑Test zeigt, dass 25 Prozent der Mitarbeitenden auf verdächtige Links klicken. Das Unternehmen leitet daraus Schulungen und E‑Mail‑Härtungen ab.
Pentest-Arten im Vergleich
Pentest-Art | Fokus | Typische Ziele | Relevante Standards | Nutzen |
Externer Pentest | Angriffe aus dem Internet | Firewalls, VPN, veröffentlichte Dienste | BSI IS‑Penetrationstest | Schutz der Angriffsoberfläche |
Interner Pentest | Angreifer im Netzwerk | Lateral Movement, Segmentierung | BSI-Leitfaden | Sichtbarkeit interner Risiken |
Web‑Pentest | Web Apps | OWASP Top 10 Risiken | OWASP WSTG | Schutz vor Anwendungsschwachstellen |
API‑Pentest | APIs & Schnittstellen | Authentifizierung, Zugriff, Datenfluss | OWASP API Testing Guide | Vermeidung von Datenlecks |
Cloud‑Pentest | Cloud‑Umgebungen | Policies, IAM, Konfiguration | BSI- & NIST-Methoden | Erkennen moderner Angriffswege |
AD‑Pentest | Identitäten | Rechtewege, Kerberos, Adminstrukturen | BSI Frameworks | Schutz kritischer Identitäten |
Social Engineering | Menschlicher Faktor | Phishing, Voice Phishing | BSI-Vorgaben | Stärkung der Awareness |
Wie Unternehmen die richtige Wahl treffen
Die Wahl der passenden Pentest-Art hängt nicht vom Bauchgefühl ab. Sie ist das Ergebnis eines strukturierten Scoping‑Prozesses, wie ihn BSI und NIST empfehlen.
Wesentliche Fragen:
Welche Systeme sind kritisch für das Geschäft?
Welche Angriffswege sind realistisch?
Welche Compliance‑Vorgaben existieren?
Wie reif ist die aktuelle Sicherheitsarchitektur?
Unternehmen mit Online‑Portalen starten oft mit Web‑ und API‑Pentests.
Organisationen mit Microsoft‑Umgebung sehen meistens im AD‑Pentest die höchsten Risiken.
Cloud‑native Unternehmen benötigen Cloud‑Pentests, die Fehlkonfigurationen identifizieren.
Ein häufiges Ergebnis: Eine Kombination aus externem, internem und Anwendungstest liefert das vollständigste Bild.
Fazit
Der richtige Pentest ist kein Standardpaket, sondern eine strategische Entscheidung. Unternehmen profitieren am meisten, wenn sie ihre reale Bedrohungslage betrachten und die Testart darauf ausrichten. Externe und interne Tests decken Netzwerk‑ und Infrastrukturprobleme auf, Web‑ und API‑Pentests adressieren moderne Anwendungsschwachstellen, während Cloud‑ und AD‑Pentests zentrale Identitäten und Systeme absichern. Standards wie BSI, OWASP und NIST liefern dafür klare Orientierungspunkte.
