Penetrationstest
Penetrationstest: Ablauf, Dauer und was ihn kostet
Wer zum ersten Mal einen Penetrationstest einkauft, will drei Dinge wissen: wie er abläuft, wie lange er dauert und was er kostet. Die ehrliche Antwort auf die dritte Frage lautet: es hängt vom Scope ab. Dieser Artikel erklärt, warum das keine Ausweichantwort ist, sondern die einzig seriöse, und worauf es beim Ablauf und bei der Dauer wirklich ankommt.
- Ein Penetrationstest läuft in klaren Phasen: Scope, Aufklärung, Prüfung, Verifikation, Bericht, Nachtest.
- Die Dauer richtet sich nach Größe der Anwendung, Zahl der Rollen und Tiefe der Prüfung.
- Die Kosten hängen am Scope. Wer eine feste Zahl ohne Blick auf das System nennt, rät.
- Was einen belastbaren Test ausmacht: ein Nachweis pro Befund statt einer Liste voller Vermutungen.
Wie ein Penetrationstest abläuft
Ein guter Test folgt einem nachvollziehbaren Ablauf. Die Phasen bauen aufeinander auf, und jede hat einen klaren Zweck.
Scope und Freigabe
Zuerst wird festgelegt, welche Systeme, Rollen und Wirkungen geprüft werden und welche ausdrücklich nicht. Diese Grenzen und die Freigabe gehören schriftlich fixiert, bevor irgendetwas getestet wird.
Aufklärung und Kartierung
Die Angriffsfläche wird kartiert: Eingänge, Vertrauensgrenzen, Berechtigungen. Hier entscheidet sich, wo ein Angreifer ansetzen würde.
Prüfung und Verkettung
Jede relevante Schwachstellen-Klasse wird geprüft. Einzelne Schwächen werden zu Ketten verbunden, denn der echte Impact entsteht meist erst im Zusammenspiel mehrerer kleiner Lücken.
Verifikation je Befund
Jeder Kandidat wird gegengeprüft. Nur was sich mit einem ausgeführten Nachweis belegen lässt, wird als Befund geführt. Der Rest wird ehrlich verworfen, statt die Liste aufzublähen.
Bericht und Übergabe
Das Ergebnis ist ein prüffähiger Bericht mit Executive-Summary, Risiko-Register, Nachweis und Fix-Vorschlag je Befund, plus ein Gespräch zur Priorisierung.
Nachtest
Nach den Korrekturen werden die behobenen Befunde erneut geprüft, damit die Behebung belegt ist und nicht nur behauptet.
Wie lange ein Penetrationstest dauert
Die Dauer ist keine feste Größe, sondern eine Funktion des Scopes. Drei Faktoren treiben sie am stärksten:
- Größe und Komplexität der Anwendung. Eine einzelne Schnittstelle ist schneller geprüft als eine gewachsene Plattform mit vielen Modulen.
- Zahl der Rollen und Berechtigungsstufen. Jede zusätzliche Rolle bedeutet neue Vertrauensgrenzen, die einzeln geprüft werden müssen.
- Tiefe der Prüfung. Ein breiter Überblick braucht weniger Zeit als eine Prüfung, die jeden Befund mit einem ausgeführten Nachweis belegt.
Seriös lässt sich die Dauer erst nach einem Blick auf das System einordnen. Deshalb steht am Anfang immer ein Gespräch über den Scope, nicht eine Zahl aus der Preisliste.
Was ein Penetrationstest kostet
Hier ist die ehrliche Antwort, und sie ist wichtiger als eine Zahl: der Preis hängt vom Scope ab. Ein Anbieter, der eine feste Summe nennt, ohne Ihr System gesehen zu haben, macht eines von zwei Dingen. Entweder er hat einen festen, engen Rahmen im Kopf, der zu Ihrem Produkt vielleicht nicht passt. Oder er rät, und ein geratener Preis führt entweder zu einer oberflächlichen Prüfung oder zu einer Nachforderung.
Die Faktoren, die den Aufwand bestimmen, sind dieselben wie bei der Dauer: Größe, Rollen und Prüftiefe. Dazu kommt, ob ein Nachtest der behobenen Befunde eingeschlossen ist, denn eine belegte Behebung ist mehr wert als eine gemeldete Lücke. Der sinnvolle Weg ist deshalb kein Pauschalpreis, sondern: erst den Scope besprechen, dann ein individuelles Angebot. So bezahlen Sie für die Prüfung, die Ihr System braucht, nicht für ein Standardpaket.
Aus gutem Grund nennen wir hier keine Beträge. Eine Zahl ohne Scope wäre irreführend, und ein Preis hängt immer am konkreten Projekt.
Woran Sie einen belastbaren Test erkennen
Nicht jeder Test ist gleich viel wert. Der wichtigste Qualitätsunterschied liegt darin, ob Befunde verifiziert oder nur vermutet werden. Ein reiner Scanner-Report listet, was an bekannten Mustern auffällt, samt vieler Fehlalarme. Ein belastbarer Test belegt jeden Einzelbefund mit einem ausgeführten Nachweis. Was sich nicht bestätigen lässt, verwirft er, statt es zur Zahl hochzustufen.
Achten Sie auf drei Dinge: Kommt jeder gemeldete Befund mit einem reproduzierbaren Nachweis? Werden Fehlalarme ehrlich aussortiert, statt die Liste zu füllen? Und ist der Bericht so aufgebaut, dass ein Enterprise-Einkauf oder ein externer Prüfer damit arbeiten kann? Wenn ja, halten Sie ein Ergebnis in der Hand, das trägt.
Reden wir über Ihren Scope
In einem kostenlosen 30-minütigen Gespräch ordnen wir ein, was ein sinnvoller Penetrationstest für Ihr System umfasst und wie er abläuft. Danach wissen Sie, worauf es ankommt, bevor über Aufwand gesprochen wird.
Gespräch anfragenCyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung.
Häufige Fragen
Wie läuft ein Penetrationstest ab?
In klaren Phasen: Scope und Freigabe festlegen, Angriffsfläche kartieren, Schwachstellen-Klassen prüfen und verketten, jeden Befund verifizieren, einen prüffähigen Bericht übergeben und die behobenen Befunde im Nachtest erneut prüfen.
Wie lange dauert ein Penetrationstest?
Das hängt vom Scope ab: von der Größe der Anwendung, der Zahl der Rollen und der Tiefe der Prüfung. Eine belastbare Einordnung ist erst nach einem Blick auf das System möglich.
Was kostet ein Penetrationstest?
Der Preis richtet sich nach dem Scope. Eine feste Zahl ohne Kenntnis des Systems wäre geraten. Der sinnvolle Weg ist, zuerst den Umfang zu besprechen und danach ein individuelles Angebot zu machen.
Warum werden hier keine konkreten Preise genannt?
Weil ein Preis ohne Scope irreführend wäre. Größe, Rollenanzahl, Prüftiefe und ein möglicher Nachtest bestimmen den Aufwand, und die lassen sich nur am konkreten Projekt einschätzen.
Was unterscheidet einen guten von einem oberflächlichen Test?
Ob Befunde verifiziert oder nur vermutet werden. Ein belastbarer Test belegt jeden Einzelbefund mit einem ausgeführten Nachweis, sortiert Fehlalarme aus und liefert einen Bericht, der einer Prüfung standhält.