Cyber Security Testing und Penetrationstests (eng.: „penetration testing“ oder „Pentest“) werden oft synonym verwendet. Tatsächlich stehen die Begriffe jedoch nicht auf derselben Ebene:
Cyber Security Testing ist der Oberbegriff für verschiedene Methoden, mit denen die Sicherheit von IT-Systemen geprüft wird. Ein Penetrationstest ist eine dieser Methoden. Dabei untersuchen Tester mit kontrollierten Angriffsversuchen, ob und wie sich Sicherheitsmechanismen praktisch überwinden lassen.
Diese Unterscheidung ist mehr als Wortklauberei. Wer lediglich einen „Sicherheitstest“ beauftragt, ohne Ziel, Prüfmethode und Scope festzulegen, erhält möglicherweise nicht die benötigte Abdeckung. Je nach Ausgangslage kann zunächst ein automatisierter Schwachstellenscan, eine Architektur- oder Quellcodeprüfung, ein Konfigurationsaudit oder ein gezielter Penetrationstest sinnvoll sein. Häufig liefert erst die Kombination mehrerer Methoden eine belastbare Bewertung.
Was ist Cyber Security Testing?
Cyber Security Testing bezeichnet die systematische Prüfung, ob ein System seine Sicherheitsanforderungen erfüllt und wo diese verletzt werden können. Der Begriff umfasst unterschiedliche manuelle und automatisierte Prüfmethoden, die Anwendungen, Quellcode, Infrastruktur, Konfigurationen und organisatorische Kontrollen untersuchen, wie z.B.:
- Vulnerability Scanning: automatisierte Prüfung von Systemen auf bekannte Schwachstellen, häufig unter Verwendung von Schwachstellendaten und Referenzen wie CVE-Einträgen
- Security Audits: strukturierte Überprüfung von Prozessen, Richtlinien und technischen Kontrollen gegen einen definierten Standard
- Security Code Reviews: manuelle oder werkzeuggestützte Untersuchung des Quellcodes auf sicherheitsrelevante Implementierungs- und Logikfehler.
- Static Application Security Testing (SAST): automatisierte statische Analyse des Quellcodes oder anderer Softwareartefakte anhand festgelegter Regeln und Datenflüsse
- Configuration Reviews: Prüfung der eingesetzten IT-Systeme sowie von Server-, Netzwerk- und Cloud-Konfigurationen auf Fehleinstellungen
- Compliance-Testing: Abgleich gegen regulatorische Anforderungen wie die DSGVO oder branchenspezifische Vorgaben
- Penetrations-Tests: Kontrollierte Angriffsversuche, mit denen die praktische Überwindbarkeit von Sicherheitsmechanismen untersucht wird.
Die Verfahren unterscheiden sich in Perspektive, Abdeckung und Aussagekraft. Einige eignen sich für die kontinuierliche Integration in Entwicklungs- und Betriebsprozesse. Andere werden anlassbezogen und mit einem individuell festgelegten Prüfauftrag durchgeführt. Je nach Methode können sowohl potenzielle Schwachstellen als auch konkret nachgewiesene Sicherheitsfehler das Ergebnis sein.
Was ist ein Penetrationstest?
Ein Penetrationstest, kurz Pentest, ist eine autorisierte Sicherheitsprüfung, bei der Tester durch kontrollierte Angriffsversuche untersuchen, ob und wie sich Sicherheitsmechanismen eines Systems überwinden lassen. Im Mittelpunkt stehen praktisch erreichbare Zugriffe, Aktionen und Angriffspfade innerhalb eines vorher vereinbarten Scopes.
Ein Pentest muss kein Black-Box-Test sein. Abhängig vom Prüfauftrag können den Testern Architekturinformationen, Benutzerkonten, technische Dokumentation oder der Quellcode zur Verfügung stehen. Entsprechend wird häufig zwischen Black-Box-, Grey-Box- und White-Box-Ansätzen unterschieden. Wie bei jeder professionellen Sicherheitsprüfung müssen Zielsysteme, Rollen, Testtiefe, erlaubte Methoden, Zeitrahmen und Sicherheitsgrenzen vor Beginn eindeutig festgelegt werden. Ein definierter Scope ist daher kein ausschließliches Merkmal eines Penetrationstests, bei einem solchen aber wegen der aktiven Angriffsversuche besonders wichtig.
Der typische Ablauf eines Penetrationstests
Um zu verstehen, warum ein Penetrationstest so viel tiefer geht als ein automatisierter Scan, hilft ein Blick auf den typischen Ablauf. Die meisten professionellen Pentests folgen – angelehnt an Standards wie PTES – einer ähnlichen Struktur:
- Scoping und Vorbereitung: Festlegung von Testbereich, Zielen, Methode – etwa Black Box, Grey Box oder White Box – sowie der technischen und rechtlichen Rahmenbedingungen.
- Aufklärung (Reconnaissance): Sammeln öffentlich verfügbarer Informationen über das Zielsystem, etwa Domains, Technologien oder offene Schnittstellen.
- Scanning und Analyse: Identifikation potenzieller Schwachstellen mithilfe automatisierter Tools als Ausgangspunkt für die manuelle Prüfung.
- Exploitation: Kontrollierter Versuch, identifizierte Schwachstellen innerhalb des vereinbarten Scopes auszunutzen, um zu zeigen, welche Daten oder Systemzugriffe ein Angreifer tatsächlich erlangen könnte.
- Reporting: Dokumentation aller Findings inklusive Risikobewertung, Nachweisen und konkreten Empfehlungen zur Behebung.
Die kontrollierten Angriffsversuche sind ein wesentliches Merkmal des Penetrationstests. Sie zeigen, ob sich Sicherheitsmechanismen aus Sicht eines Angreifers praktisch umgehen lassen und welche Folgen daraus entstehen können. Das bedeutet jedoch nicht, dass andere Formen des Security Testings lediglich oberflächliche Verdachtsfälle liefern. Auch ein gründliches Architektur- oder Quellcode-Review kann konkrete Schwachstellen, ihre Ursachen und plausible Angriffspfade nachweisen. Die Verfahren betrachten das System aus unterschiedlichen Perspektiven und ergänzen sich deshalb.
Die zentralen Unterschiede im Vergleich
Die folgende Übersicht fasst die wichtigsten Unterschiede zusammen:
| Kriterium | Cyber Security Testing | Penetrationstest |
|---|---|---|
| Einordnung | Oberbegriff für verschiedene Sicherheitsprüfungen | Einzelne Methode innerhalb des Security Testings |
| Ziel | Sicherheitsanforderungen, Kontrollen und mögliche Schwachstellen mit geeigneten Methoden prüfen | Durch kontrollierte Angriffsversuche untersuchen, ob sich Sicherheitsmechanismen praktisch überwinden lassen |
| Prüfgegenstand | Je nach Methode Quellcode, Architektur, Konfiguration, Infrastruktur, Prozesse oder laufende Systeme | Vereinbarte Anwendungen, APIs, Netzwerke, Systeme oder Geschäftsprozesse |
| Perspektive | Abhängig von der Methode statisch, dynamisch, technisch oder organisatorisch | Angreiferorientiert und auf aktive Umgehungsversuche ausgerichtet |
| Informationszugang | Abhängig vom Prüfauftrag | Black Box, Grey Box oder White Box möglich |
| Automatisierung | Manuell, automatisiert oder kombiniert | Üblicherweise manuell geführt und durch Werkzeuge unterstützt |
| Ergebnis | Potenzielle oder bestätigte Schwachstellen, Kontrollabweichungen, Nachweise und Risikobewertungen | Praktisch untersuchte Schwachstellen, erreichte Zugriffe, Auswirkungen und Angriffspfade |
| Durchführung | Kontinuierlich, regelmäßig oder anlassbezogen | Meist zeitlich begrenzt und anlassbezogen |
Welche Prüfmethoden werden wann benötigt?
Die geeignete Prüfmethode hängt vom Ziel, Reifegrad, Entwicklungsstand und Risikoprofil des Systems ab. Da ein Penetrationstest selbst zum Cyber Security Testing gehört, lautet die entscheidende Frage nicht „Security Testing oder Pentest?“, sondern: „Welche Kombination von Sicherheitsprüfungen benötigen wir?“
- Reifegrad der IT-Sicherheit: Unternehmen, die noch keine strukturierte Sicherheitsprüfung etabliert haben, profitieren zunächst von breiterem Cyber Security Testing, um blinde Flecken zu identifizieren.
- Anlass: Vor einem Produktivstart, nach wesentlichen Änderungen oder nach einem Sicherheitsvorfall kann ein gezielter Penetrationstest zusätzliche Erkenntnisse über praktisch ausnutzbare Angriffsmöglichkeiten liefern.
- Regulatorische Anforderungen: Bestimmte Zertifizierungen und Verträge verlangen explizit einen dokumentierten Penetrationstest, nicht nur einen allgemeinen Sicherheitscheck.
- Budget und Zeitrahmen: Kontinuierliches Security Testing lässt sich gut in laufende Entwicklungsprozesse integrieren, während ein Penetrationstest als klar abgegrenztes Projekt mit definiertem Zeitraum geplant wird.
Ein Beispiel: Während der Entwicklung einer neuen Anwendung können automatisierte Scans, Threat Modeling und Security Code Reviews Fehler frühzeitig erkennen. Vor dem öffentlichen Start kann ein zusätzlicher Penetrationstest prüfen, ob sich die Sicherheitsmechanismen der fertig bereitgestellten Anwendung praktisch umgehen lassen. Auch eine solche Kombination kann Schwachstellenfreiheit nicht garantieren, sie reduziert aber die verbleibende Unsicherheit erheblich. In der Praxis ergänzen sich unterschiedliche Methoden des Cyber Security Testings und liefern gemeinsam eine belastbarere Bewertung als eine einzelne Prüfmethode.
Wie ergänzen sich beide Ansätze?
Die verschiedenen Methoden des Cyber Security Testings betrachten ein System aus unterschiedlichen Perspektiven. Automatisierte Scans bieten eine wiederholbare Prüfung auf bestimmte bekannte Schwachstellen, unsichere Abhängigkeiten und Fehlkonfigurationen. Architektur- und Quellcodeprüfungen können interne Datenflüsse, Berechtigungsentscheidungen, Vertrauensgrenzen und die Ursachen komplexer Sicherheitsfehler nachvollziehen. Penetrationstests untersuchen durch kontrollierte Angriffsversuche, wie sich die Sicherheitsmechanismen des laufenden Systems aus Angreifersicht verhalten.
Geschäftslogikfehler, Berechtigungsprobleme und komplexe Angriffspfade können grundsätzlich sowohl durch Quellcodeprüfungen als auch durch Penetrationstests entdeckt werden. Welche Methode erfolgreicher ist, hängt unter anderem von den verfügbaren Informationen, der Testumgebung, dem Scope und der Erfahrung der Prüfer ab. Ein belastbarer Sicherheitsprozess kombiniert deshalb passende Methoden über den gesamten Softwarelebenszyklus: von Threat Modeling und Code-Reviews während der Entwicklung über kontinuierliche automatisierte Prüfungen bis zu gezielten Penetrationstests und Retests.
Relevante Standards & Frameworks
Wer Cyber Security Testing oder Penetration Testing strukturiert angehen will, orientiert sich in der Regel an etablierten Standards und Frameworks:
- OWASP Testing Guide: Vom Open Worldwide Application Security Project herausgegebener Leitfaden für die systematische Sicherheitsprüfung von Webanwendungen.
- PTES (Penetration Testing Execution Standard): Definiert die einzelnen Phasen eines professionellen Penetrationstests, von der Vorbereitung bis zur Berichterstattung.
- BSI IT-Grundschutz: Vom Bundesamt für Sicherheit in der Informationstechnik entwickeltes Vorgehensmodell für Informationssicherheit in deutschen Unternehmen und Behörden.
- ISO/IEC 27001: Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS), in dessen Rahmen unter anderem Sicherheitskontrollen, Risikomanagement und die Überprüfung ihrer Wirksamkeit betrachtet werden.
Diese Frameworks strukturieren den Prozess und schaffen eine gemeinsame Grundlage, an der sich sowohl interne Teams als auch externe Prüfer orientieren können.
Kosten- und Zeitfaktoren
Pauschale Preisangaben für Cyber Security Testing oder Penetrationstests sind wenig aussagekräftig, da die Kosten von mehreren Faktoren abhängen:
- Umfang des Scopes: Eine einzelne API unterscheidet sich im Prüfaufwand deutlich von einer komplexen Anwendungslandschaft mit mehreren Systemen.
- Systemkomplexität: Anwendungen mit vielen Schnittstellen, Benutzerrollen oder Drittanbieter-Integrationen erfordern mehr Testzeit.
- Testtiefe: Ein automatisierter Vulnerability Scan ist deutlich schneller durchführbar als ein manueller Penetrationstest mit aktiver Ausnutzung von Schwachstellen.
- Reporting-Anforderungen: Detaillierte Berichte mit Risikobewertung und Nachweisen für Audits oder Zertifizierungen erhöhen den Aufwand.
Statt sich auf pauschale Zahlen zu verlassen, lohnt sich ein individuelles Angebot, das den tatsächlichen Scope der zu testenden Systeme berücksichtigt.
Fazit
Cyber Security Testing und Penetrationstests sind keine getrennten oder konkurrierenden Ansätze. Cyber Security Testing ist der Oberbegriff für verschiedene Methoden zur Prüfung der Sicherheit von IT-Systemen. Der Penetrationstest ist eine dieser Methoden und zeichnet sich durch kontrollierte Angriffsversuche auf zuvor festgelegte Zielsysteme aus. Die Qualität einer Sicherheitsprüfung ergibt sich nicht allein aus ihrer Bezeichnung. Entscheidend sind ein klarer Scope, geeignete Methoden, fachkundige Durchführung, nachvollziehbare Nachweise und eine ehrliche Dokumentation der Abdeckung und ihrer Grenzen.
In der Praxis liefert die Kombination verschiedener Perspektiven das belastbarste Ergebnis: Automatisierte Prüfungen schaffen Wiederholbarkeit, Architektur- und Code-Reviews untersuchen interne Ursachen und ein Penetrationstest prüft die laufende Anwendung durch konkrete Angriffsversuche. Keine einzelne Methode kann für sich allein vollständige Sicherheit nachweisen.
Sicherheit ist bei x-root kein nachträglich aufgesetzter Einzeltest, sondern Bestandteil des gesamten Entwicklungsprozesses – von der Architektur über die Implementierung bis zur Prüfung der bereitgestellten Anwendung.
