{"id":34247,"date":"2026-11-11T20:09:17","date_gmt":"2026-11-11T19:09:17","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/penetrationstest\/"},"modified":"2026-11-12T10:43:09","modified_gmt":"2026-11-12T09:43:09","slug":"penetrationstest","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/security-operations\/penetrationstest\/","title":{"rendered":"Penetrationstest"},"content":{"rendered":"

Was ist ein Penetrationstest?<\/h2>\n

Nach dem BSI-Leitfaden zum IS-Penetrationstest werden bei einem Penetrationstest die Erfolgsaussichten eines vors\u00e4tzlichen Angriffs auf einen Informationsverbund oder ein einzelnes IT-System eingesch\u00e4tzt. Daraus werden notwendige erg\u00e4nzende Sicherheitsma\u00dfnahmen abgeleitet oder die Wirksamkeit bereits umgesetzter Sicherheitsma\u00dfnahmen \u00fcberpr\u00fcft. Die IS-Revision auf Basis von IT-Grundschutz soll \u00fcberpr\u00fcfen, ob die vorher festgelegten Sicherheitsma\u00dfnahmen wie vereinbart umgesetzt sind; der Penetrationstest geht einen Schritt weiter und sucht gezielt nach Wegen, diese eingesetzten Sicherheitsma\u00dfnahmen zu umgehen. Der Test soll so dimensioniert werden, dass Schwachstellen zwar nachgewiesen, aber nur dann aktiv ausgenutzt<\/strong> werden, wenn es nicht vermeidbar ist und die Exploits ausreichend getestet wurden. Nach OWASP kann ein Penetrationstest in der Praxis nur eine kleine repr\u00e4sentative Stichprobe<\/strong> der m\u00f6glichen Sicherheitsrisiken in einem System erkennen.<\/p>\n

Ein Versicherer kann sein Kundenportal in vereinbartem Umfang auf ausnutzbare Schwachstellen pr\u00fcfen lassen, w\u00e4hrend Artikel 26 DORA f\u00fcr bestimmte, von der zust\u00e4ndigen Beh\u00f6rde ermittelte Finanzunternehmen<\/strong> zus\u00e4tzlich bedrohungsorientierte Penetrationstests vorsieht. Im Testprogramm eines Finanzunternehmens nennt Artikel 25 Absatz 1 DORA Penetrationstests neben Schwachstellenbewertung und -scans, Quellcodepr\u00fcfungen soweit durchf\u00fchrbar und weiteren angemessenen Tests.<\/p>\n

Wie l\u00e4uft ein Penetrationstest ab?<\/h2>\n

Nach dem BSI-Leitfaden sollte der Vertrag zu einem Penetrationstest Rahmenbedingungen wie Pr\u00fcfzeitraum, Pr\u00fcfobjekt und Pr\u00fcftiefe spezifizieren, und Pr\u00fcfer sollten nur mit schriftlichem Auftrag testen. Zu den Pr\u00fcftiefen z\u00e4hlen unter anderem ein technisches Sicherheitsaudit und ein nicht invasiver Schwachstellenscan, bei dem der Pr\u00fcfer zus\u00e4tzlich zum technischen Sicherheitsaudit mit eigenen Ger\u00e4ten im Netz nach Schwachstellen sucht. Ein bedrohungsorientierter Penetrationstest schlie\u00dft nach Artikel 26 DORA mehrere oder alle kritischen oder wichtigen Funktionen eines Finanzunternehmens ein und l\u00e4uft an Live-Produktionssystemen, die diese Funktionen unterst\u00fctzen<\/strong>.<\/p>\n

Bei einem Blackbox-Test stehen den Pr\u00fcfern lediglich die Adressinformationen des Ziels zur Verf\u00fcgung, bei einem Whitebox-Test dagegen umfangreiche Informationen \u00fcber die Systeme<\/strong>. Die OWASP beschreibt den Penetrationstest einer Anwendung als Test aus der Ferne ohne Kenntnis der inneren Abl\u00e4ufe, also nahe am Blackbox-Test; der Tester handelt wie ein Angreifer und versucht, Schwachstellen zu finden und auszunutzen, erh\u00e4lt dabei aber in vielen F\u00e4llen ein oder mehrere g\u00fcltige Konten. Blackbox- und Whitebox-Test unterscheiden sich damit im Informationsstand der Pr\u00fcfer.<\/p>\n

Penetrationstest im Vergleich<\/h2>\n

Ein nicht invasiver Schwachstellenscan ist nach dem BSI-Leitfaden eine Pr\u00fcftiefe, bei der Schwachstellenscanner eingesetzt, die Schwachstellen aber nicht ausgenutzt werden; beim Penetrationstest wird nach dem BSI der Weg, den Angreifende gehen w\u00fcrden, nachvollzogen. Red Teaming im Sinne des bedrohungsorientierten Penetrationstests nach Artikel 3 Nummer 17 DORA bildet dagegen Taktik, Techniken und Verfahren realer Angreifer<\/strong> nach und erm\u00f6glicht einen kontrollierten, ma\u00dfgeschneiderten, erkenntnisgest\u00fctzten Test der kritischen Live-Produktionssysteme des Finanzunternehmens.<\/p>\n

Wann ist ein Penetrationstest sinnvoll?<\/h2>\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Informationsstand der Pr\u00fcfer<\/td>\nDas BSI empfiehlt grunds\u00e4tzlich Whitebox-Tests, weil bei einem Blackbox-Test aufgrund nicht vorliegender Informationen Schwachstellen \u00fcbersehen werden k\u00f6nnen.<\/td>\n<\/tr>\n
TLPT nach DORA<\/td>\nVon der zust\u00e4ndigen Beh\u00f6rde ermittelte Finanzunternehmen, die weder die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch Kleinstunternehmen sind, f\u00fchren nach Artikel 26 Absatz 1 DORA grunds\u00e4tzlich mindestens alle drei Jahre erweiterte Tests anhand von TLPT durch; die zust\u00e4ndige Beh\u00f6rde kann die H\u00e4ufigkeit auf Grundlage des Risikoprofils verringern oder erh\u00f6hen.<\/td>\n<\/tr>\n
Ermittlung durch die Beh\u00f6rde<\/td>\nDie zust\u00e4ndigen Beh\u00f6rden ermitteln die Finanzunternehmen, die TLPT durchzuf\u00fchren haben, unter Ber\u00fccksichtigung der in Artikel 4 Absatz 2 aufgef\u00fchrten Kriterien.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Ein unter DORA fallender Versicherer, der kein Kleinstunternehmen ist, erstellt, pflegt und \u00fcberpr\u00fcft nach Artikel 24 DORA unter Ber\u00fccksichtigung der in Artikel 4 Absatz 2 aufgef\u00fchrten Kriterien ein solides und umfassendes Programm f\u00fcr das Testen der digitalen operationalen Resilienz.<\/li>\n
  • Ist er kein Kleinstunternehmen, stellt er dabei sicher, dass die Tests von unabh\u00e4ngigen, internen oder externen Parteien durchgef\u00fchrt werden und dass bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterst\u00fctzen, mindestens einmal j\u00e4hrlich angemessene Tests stattfinden.<\/li>\n
  • Pr\u00fcfer w\u00e4hlen: Nach dem BSI-Leitfaden m\u00fcssen IS-Penetrationstests immer von fachlich qualifizierten Personen durchgef\u00fchrt werden, die unabh\u00e4ngig von den untersuchten Bereichen sind und nicht an Konzeption, Aufbau oder Betrieb des untersuchten Informationsverbundes mitgewirkt haben.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Den Bericht auf Empfehlungen pr\u00fcfen: Nach dem BSI-Leitfaden sollten darin auch Empfehlungen enthalten sein, welche Ma\u00dfnahmen die gefundenen Schw\u00e4chen beseitigen.<\/li>\n
    • Ein unter DORA fallender Versicherer, der kein Kleinstunternehmen ist, legt nach Artikel 24 DORA Verfahren und Leitlinien zur Priorisierung, Klassifizierung und Behebung der bei den Tests zutage getretenen Probleme fest.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[431,434,393],"class_list":["post-34247","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-security-operations","glossary_intl_topic-offensive-security-red-teaming","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Penetrationstest: Pr\u00fcfung, die den Weg von Angreifenden nachvollzieht, um m\u00f6gliche Schw\u00e4chen in IT-Systemen und IT-Netzen zu finden.","nav_theme":"Security Operations","nav_subtheme":"Offensive Security & Red Teaming","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Pentest"},{"value":"IT-Penetrationstest"}],"lead_definition":"Ein Penetrationstest ist ein erprobtes Vorgehen, um das Angriffspotenzial auf ein IT-Netz, ein einzelnes IT-System oder eine Anwendung festzustellen, indem der Weg, den Angreifende gehen w\u00fcrden, simuliert und nachvollzogen wird, um eventuell noch vorhandene Schwachstellen zu finden.","at_a_glance":[{"bullet":"Nach OWASP kann ein Penetrationstest in der Praxis nur eine kleine repr\u00e4sentative Stichprobe der m\u00f6glichen Sicherheitsrisiken in einem System erkennen."},{"bullet":"Die Ergebnisse gelten nur zum Zeitpunkt des Tests, und dass s\u00e4mtliche vorhandenen Fehler gefunden werden, ist nicht gew\u00e4hrleistet."},{"bullet":"Bedrohungsorientierte Penetrationstests (TLPT) nach DORA betreffen nur Finanzunternehmen, die die zust\u00e4ndige Beh\u00f6rde daf\u00fcr ermittelt."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine Organisation plant einen Test ihrer Produktivsysteme und schlie\u00dft destruktive Tests aus, also Tests, bei denen die Zielsysteme zu Schaden kommen k\u00f6nnten."},{"example":"Ein Team nutzt den Penetrationstest als einen Baustein seines Testprogramms; OWASP h\u00e4lt ihn nicht f\u00fcr die prim\u00e4re und nicht f\u00fcr die alleinige Testtechnik."},{"example":"Ein Versicherer k\u00f6nnte etwa sein Kundenportal in vereinbartem Umfang testen lassen und die Qualit\u00e4tssicherung fortf\u00fchren, denn ein Penetrationstest ersetzt sie nicht: Er betrachtet keine funktionalen Aspekte und erfolgt nur stichprobenartig."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34257,34249,33696,33661],"pillar_link":null,"sources":[{"publisher":"","name":"Leitfaden f\u00fcr die Informationssicherheitsrevision (IS-Revision)","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Sicherheitsberatung\/Pentest_Webcheck\/Leitfaden_Penetrationstest.pdf?__blob=publicationFile&v=3","doc_type":"2016","group":"used"},{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"WSTG - v4.2 | OWASP Web Security Testing Guide","url":"https:\/\/owasp.org\/www-project-web-security-testing-guide\/v42\/2-Introduction\/","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t