Penetrationstest
Lassen Sie Ihre IT absichtlich angreifen.
Ein Penetrationstest ist ein Angriff auf Ihre IT, den Sie selbst in Auftrag geben. Ein Profi versucht reinzukommen, bevor es ein Krimineller tut. Danach wissen Sie, wo es klemmt. Und wir beheben es.
Erst wenn es einer probiert, wissen Sie, ob Ihr Schutz hält.
Firewall steht, Virenschutz läuft, Backup ist eingerichtet. So sieht es in fast jedem Betrieb aus. Ob das im Ernstfall hält, steht auf einem anderen Blatt.
Ein Angreifer probiert es einfach aus. Der Penetrationstest macht genau das, nur mit Ihrer Erlaubnis, mit Vertrag und mit einem Bericht am Ende.
Es gibt zwei Arten zu erfahren, wo Ihre IT angreifbar ist. Bei einer davon ist hinterher nichts kaputt.
Der eine versucht Schwachstellen zu finden, und wir beheben sie dann wieder.
Den Test selbst macht ein Partner von uns, der nichts anderes macht: Angriffe im Auftrag des Kunden, im Fachjargon Ethical Hacking.
Warum nicht wir selbst? Weil wir Ihre IT betreuen. Wer ein System aufgebaut hat, sollte nicht selbst kontrollieren, ob es hält. Deshalb holen wir für die Prüfung bewusst jemanden von außen dazu.
Wir arbeiten da Hand in Hand: Er liefert die Funde, wir kümmern uns drum, und beim nächsten Test sind es weniger.
So lief es zuletzt bei einem Kunden: Nach dem Test stand fest, dass die Netze getrennt gehören, und genau das haben wir umgesetzt.
Was Sie davon haben
Ein Profi greift Ihre IT an
Der Tester versucht, in Ihre Systeme zu kommen. Wie ein echter Angreifer, nur abgesprochen: was getestet wird, wann und wie weit.
Sie erfahren, was er gefunden hat
Was gefunden wurde und wie schwer es wiegt. Wir setzen uns mit Ihnen hin und übersetzen, was das für Ihren Betrieb bedeutet und was zuerst dran ist.
Wir machen die Lücken zu
Das ist unser Teil. Wir arbeiten die Funde ab, nach Dringlichkeit, im laufenden Betrieb.
Und wenn NIS2 Sie betrifft: Die Richtlinie verlangt, dass Sie bewerten, ob Ihre Maßnahmen wirken. Ein Test, der es wirklich probiert, ist dafür der ehrlichste Weg.
Denselben Gedanken kennt die DSGVO: Art. 32 nennt ausdrücklich ein Verfahren, die eigenen Maßnahmen regelmäßig zu überprüfen.
Cyber-Check oder Penetrationstest?
Der Cyber-Check ist erst einmal nur eine Befragung: Wo stehen Sie, was fehlt, was ist zuerst dran. Der Penetrationstest probiert es wirklich aus.
Wer noch nie von außen auf seine IT geschaut hat, fängt mit dem Check an. Wer wissen will, ob der Schutz einem echten Angriff standhält, braucht den Test.
Wann sich ein Penetrationstest lohnt, und wann noch nicht
Ein Penetrationstest kostet Geld und bindet Ihre Leute. Ob sich das lohnt, hängt weniger am Test als an dem, was vorher bei Ihnen steht.
Das BSI hat dazu zwei ausführliche Papiere veröffentlicht, eine Studie und einen Praxis-Leitfaden. Die wichtigsten Punkte daraus, übersetzt für einen Betrieb Ihrer Größe.
Erst die Grundlagen, dann der Test
Das BSI empfiehlt, vor einem Penetrationstest zuerst eine kurze Revision zu machen. Dabei wird stichprobenartig geprüft, ob die Grundabsicherung steht. Erst danach kommt der Angriff.
Der Grund ist einfach. Ein Test ohne diese Vorstufe liefert eine Liste von Funden, die Sie auch ohne ihn gehabt hätten: fehlende Updates, zu viele Adminrechte, offene Zugänge. Dafür muss niemand einbrechen.
Im IT-Grundschutz-Kompendium des BSI, Ausgabe 2023, ist der Penetrationstest nirgends eine Basis-Anforderung. Er steht dort ausschließlich als Standard-Anforderung oder als Anforderung bei erhöhtem Schutzbedarf. Als Standard taucht er etwa bei Webanwendungen, Webservern, Routern und der Firewall auf. Basis-Anforderungen sind laut BSI „vorrangig umzusetzen“.
Und die Studie des BSI sagt klar, was ein Test nicht ersetzt: „So kann z. B. ein Berechtigungs- oder ein Datensicherungskonzept nur durch andere Maßnahmen effektiv und effizient geprüft werden.“
Für einen kleinen Betrieb heißt das: Erst Sicherung, Updates und Zugänge in Ordnung bringen. Dann testen lassen, ob das hält.
Welche Art Test das BSI empfiehlt
Viele halten den Test für den ehrlichsten, bei dem der Tester nichts über Ihre IT weiß. Das BSI rät davon ab. Es empfiehlt, im Grundsatz „Whitebox-Tests durchzuführen“. Bei einem Whitebox-Test bekommt der Prüfer vorher alle nötigen Informationen. Beim Blackbox-Test können laut BSI Schwachstellen übersehen werden. Er ist außerdem aufwendiger und birgt ein höheres Schadensrisiko.
Auch bei der Angriffsstärke empfiehlt das BSI Maß: Schwachstellen nachweisen, aber nur ausnutzen, wenn es nicht vermeidbar ist und der Angriff vorher getestet wurde.
Scanner oder Test
Ein Schwachstellenscanner prüft viele Systeme in kurzer Zeit. Er kann aber viele Lücken melden, die gar keine sind, weil er meist nur die Versionsangabe liest.
Ein Penetrationstest weist nach, dass eine Lücke wirklich ausnutzbar ist. Laut BSI geschieht der exakte Nachweis „nur, wenn sie auch ausgenutzt wird“.
Das BSI nennt den Scanner lohnend, wenn in kurzer Zeit eine große Menge Systeme geprüft werden soll. In einem Betrieb mit wenigen Servern und einer Firewall ist genau diese Begründung oft schwach. Dort ist ein gezielter, abgesprochener Test manchmal die bessere Wahl als ein breiter Scan.
Was vorher geklärt sein muss
Diese Punkte stammen aus Studie und Leitfaden des BSI. Sie sind die Liste, die Sie vor einer Beauftragung durchgehen können, egal mit wem:
- Ein schriftlicher Auftrag. Darin stehen Zeitraum, Prüfobjekt, Prüftiefe, Kosten, Haftung und Verschwiegenheit. Das BSI schreibt dazu: „Die Prüfer bzw. die Prüfstellen sollten nie ohne schriftlichen Auftrag eine IT-Anwendung bzw. IT-Systeme testen.“
- Ihre ausdrückliche Einwilligung. Die Strafnormen zum Ausspähen von Daten und zur Datenveränderung greifen bei Handeln „unbefugt“ oder „rechtswidrig“. Ihre Einwilligung ist das, was den Test von einem Angriff unterscheidet. Das BSI rät zu einer gesonderten Erklärung vor Beginn.
- Fremde Systeme bleiben draußen. Liegt Ihre Website beim Provider oder Ihre Fachsoftware beim Hersteller, sind diese Systeme auszuschließen. Es sei denn, der Betreiber hat schriftlich zugestimmt.
- Eine aktuelle Sicherung. Von den Systemen, die der Test gefährden könnte, muss vorher ein Backup existieren.
- Jemand, der abbrechen darf. Ein Mitarbeiter von Ihnen überwacht den Test und kann ihn stoppen.
- Der Datenschutz ist einbezogen. Werden personenbezogene Daten berührt, gehören Datenschutzbeauftragter und gegebenenfalls die Personalvertretung vorher dazu.
- Ein Satz über die Grenzen. Der Vertrag soll festhalten, dass die Ergebnisse nur zum Zeitpunkt des Tests gelten und nicht alle Fehler gefunden sein müssen.
Punkt 3 ist für kleine Betriebe der, der am meisten verändert. Wer seine Website beim Provider hat und die Fachsoftware in der Cloud des Herstellers, dem bleibt vom Testumfang manchmal wenig übrig. Das sollte vor dem Angebot klar sein, nicht danach.
Ein Test ist ein Foto
Die Studie des BSI sagt es deutlich: „Im Extremfall kann unmittelbar nach Abschluss eines Penetrationstests aufgrund einer neuen Sicherheitslücke ein erfolgreicher Angriff möglich sein.“
Das BSI empfiehlt deshalb Wiederholungen alle zwei bis drei Jahre, und zwar nicht immer durch dieselben Prüfer. Wer einmal testet und danach nichts ändert, hat ein Dokument, keinen Schutz.
Zum Aufwand nennt die Studie ein Rechenbeispiel: 20 Aufwandstage, verteilt auf mehrere Wochen, für ein Netz mittlerer Größe. Als Richtwert taugt das nicht. Die Studie schreibt selbst, dass sich die Dauer für ein einzelnes System nicht pauschal festlegen lässt. Was es bei Ihnen kostet, hängt am Umfang, und den klären wir vorher.
Stand dieses Abschnitts: 17.09.2026. Was hier steht, gibt die Empfehlungen des BSI wieder, aus dem Praxis-Leitfaden, der Studie und dem IT-Grundschutz-Kompendium. Die Hinweise zum Auftrag sind keine Rechtsberatung. Den Vertrag für einen Test sollte jemand prüfen, der sich mit Strafrecht und Vertragsrecht auskennt.
Sie können vorher testen lassen, ob Ihre Leute auf eine gefälschte Mail klicken
Zum selben Fach gehören Phishing-Simulationen und Schulungen. Der Partner schickt Ihren Leuten eine harmlose, aber täuschend echte Mail, und Sie sehen, wer klickt. Danach wird geschult, nicht geschimpft.
Wie Ihre Leute eine Phishing-Mail in drei Blicken erkennen, steht auf E-Mail-Probleme.
Den laufenden Schutz drumherum, Firewall, Virenschutz, Backup, beschreibt unsere Seite zur IT-Sicherheit.
Für wen das gemacht ist
Wir sind die externe IT-Abteilung für Betriebe und Vereine, die keine eigene haben.
Ein Penetrationstest ist kein Konzern-Thema. Gerade der Betrieb ohne eigene IT-Abteilung erfährt sonst nie, wo er angreifbar ist.
Sie müssen dafür kein Betreuungskunde sein. Anfragen kostet nichts.
Drei Fragen, die immer kommen
Was kostet ein Penetrationstest?
Das hängt davon ab, was geprüft werden soll: wie viele Systeme, nur von außen oder auch von innen, mit oder ohne Phishing-Probe. Im Erstgespräch klären wir, was für Ihren Betrieb sinnvoll ist, und Sie bekommen einen Preis, bevor irgendetwas passiert.
Legt der Test unsere Systeme lahm?
Der Test wird vorher abgesprochen: was geprüft wird, in welchem Zeitraum, wie weit der Tester gehen darf. Ziel ist, dass Sie vom Test nichts merken außer dem Bericht am Ende.
Machen Sie den Test selbst?
Nein, und das ist Absicht. Den Angriff macht ein spezialisierter Partner von uns, die Behebung machen wir. Wer Ihre IT betreut, sollte nicht selbst prüfen, ob die eigene Arbeit hält. So schauen zwei verschiedene Leute darauf, und jeder weiß, wofür er zuständig ist.
Melden Sie sich, dann schauen wir zusammen, was bei Ihnen passt.
Im Erstgespräch klären wir, was ein Test bei Ihnen prüfen sollte und was er kostet. Und zwar ohne Fachchinesisch.