Ein Penetrationstest ist der kontrollierte, autorisierte Versuch, mit den Techniken eines realen Angriffs in ein IT-System oder Netzwerk einzudringen, um Schwachstellen zu identifizieren, bevor sie von Unbefugten ausgenutzt werden können.
Statt zu warten, bis ein echter Angriff eine Schwachstelle aufdeckt, lässt eine Organisation gezielt und mit ihrer Erlaubnis von Fachleuten prüfen, wo ihre Systeme verwundbar sind – mit denselben Methoden, die auch reale Angreifer einsetzen würden.
Ein Penetrationstest folgt einem vorab vereinbarten Testkonzept, das Umfang, Methoden und Erfolgskriterien festlegt. Bei einem Black-Box-Test verfügen die Testenden nur über wenige Ausgangsinformationen, etwa Adressdaten, und simulieren damit einen Angriff von außen ohne Insiderwissen. Bei einem White-Box-Test erhalten sie umfangreiche Informationen über das Zielsystem, etwa interne Netzstruktur und eingesetzte Software, um gezielter und tiefer prüfen zu können. Gefundene Schwachstellen werden klassifiziert, dokumentiert und der auftraggebenden Organisation mit Handlungsempfehlungen zur Behebung übergeben.
Ein Unternehmen beauftragt externe Sicherheitsfachleute damit, seine öffentlich erreichbare Webanwendung mit denselben Mitteln anzugreifen, die auch ein echter Angreifer nutzen würde. Die gefundenen Schwachstellen werden anschließend gezielt geschlossen.
Penetrationstests werden eingesetzt, um die Wirksamkeit bestehender Sicherheitsmaßnahmen zu überprüfen, bislang unbekannte Schwachstellen in Netzen, Systemen oder Anwendungen aufzudecken und notwendige zusätzliche Schutzmaßnahmen begründet abzuleiten.
Ein Penetrationstest ist eine Momentaufnahme: Er zeigt die mit vertretbarem Aufwand zum Testzeitpunkt auffindbaren Schwachstellen, garantiert aber nicht die vollständige Sicherheit eines Systems und sollte daher regelmäßig wiederholt werden. Ein Penetrationstest ist außerdem kein unautorisiertes Hacking – er findet stets im Rahmen einer vorherigen Vereinbarung mit der betroffenen Organisation statt, andernfalls wäre er rechtlich unzulässig.
Nicht zu verwechseln mit Firewall: Diese ist eine dauerhafte Schutzmaßnahme im laufenden Betrieb, kein punktueller Prüfvorgang. Ebenfalls abzugrenzen ist Malware: Diese bezeichnet tatsächlich schädliche Software für unautorisierte Angriffe, während ein Penetrationstest autorisiert und im Interesse der getesteten Organisation durchgeführt wird.