Penetrationstest

Definition

Ein Penetrationstest ist ein autorisierter, systematisch geplanter simulierter Cyberangriff auf IT-Systeme, Netzwerke oder Anwendungen, um Sicherheitslücken zu identifizieren, bevor reale Angreifer diese ausnutzen können. Im NIS2-Kontext dienen Penetrationstests als wichtiges Nachweismittel für die Wirksamkeit implementierter technischer Sicherheitsmaßnahmen. Sie sollten regelmäßig und nach wesentlichen Infrastrukturänderungen durchgeführt werden und sowohl externe Angriffsvektoren über das Internet als auch interne Angriffsszenarien durch kompromittierte Systeme oder Insider-Bedrohungen abdecken. Black-Box-, Grey-Box- und White-Box-Tests decken dabei unterschiedliche Realszenarien ab.

Rechtsgrundlage

Penetrationstests sind als Instrument zur Überprüfung der Sicherheitsmaßnahmen in § 30 Abs. 2 Nr. 7 BSIG implizit enthalten, der Konzepte und Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen fordert. Das BSI empfiehlt in seinen technischen Richtlinien und Prüfleitfäden regelmäßige Penetrationstests als zentralen Bestandteil eines umfassenden Schwachstellenmanagements. Bei besonders wichtigen Einrichtungen kann das BSI gemäß § 64 BSIG eigene Sicherheitsprüfungen anordnen oder von der Einrichtung Berichte über durchgeführte externe Tests anfordern und bewerten. Der BSI-Leitfaden zur Durchführung von Penetrationstests gibt detaillierte methodische Empfehlungen für den Testumfang, die vollständige Dokumentation aller Ergebnisse und die Qualifikationsanforderungen an externe Penetrationstest-Dienstleister.

Praktische Implikation

Mittelständische Unternehmen sollten mindestens einmal jährlich externe Penetrationstests durch BSI-akkreditierte oder nach CREST zertifizierte Dienstleister durchführen lassen. Wichtig ist ein klares schriftliches Scope-Dokument vor dem Test: Welche Systeme werden getestet? Welche Methoden sind erlaubt? Zu welchen Zeitfenstern? Alle Ergebnisse müssen in einem strukturierten Bericht dokumentiert und innerhalb definierter Fristen in konkrete Maßnahmen überführt werden. Ein abschließender Retest nach Behebung der gefundenen Schwachstellen ist unverzichtbar und gehört als Pflichtschritt zum vollständigen Penetrationstest-Zyklus. Die Penetrationstest-Berichte und Retest-Nachweise sind wichtige Nachweisdokumente und sollten vollständig archiviert werden.

Verwandte Begriffe

• Schwachstellenmanagement
• Risikoanalyse
• Zertifizierung
• ISMS