Penetration Testing (Pentesting) ist die kontrollierte, autorisierte Simulation realer Angriffe auf IT-Systeme, Anwendungen, Netzwerke oder Cloud-Umgebungen mit dem Ziel, ausnutzbare Schwachstellen zu identifizieren und ihre Auswirkungen zu bewerten. Ein Pentest geht über automatisierte Schwachstellenscans hinaus: Tester:innen kombinieren manuelle Analyse, kreative Angriffstechniken, Lateral Movement und Exploit-Entwicklung, um realistische Bedrohungsszenarien nachzubilden. Üblich ist die Einteilung in Black-Box (ohne Vorabwissen), Grey-Box (mit eingeschränkten Informationen) und White-Box (mit vollständigem Codezugang).
Eingesetzt werden Pentests vor Go-Live neuer Anwendungen, in regelmäßigen Sicherheits-Audits, im Rahmen von Compliance-Anforderungen (PCI DSS, ISO 27001, HIPAA, BSI), nach größeren Architekturveränderungen sowie als Teil von Red-Team-Übungen. Methodiken sind unter anderem das OWASP Web Security Testing Guide, das PTES (Penetration Testing Execution Standard), NIST SP 800-115 und die OSSTMM. Werkzeuge sind Burp Suite, Metasploit, Nmap, Nessus, OpenVAS, sqlmap, Wireshark, Cobalt Strike (kommerziell, für Red Teams), Bloodhound (AD-Enumeration) sowie spezialisierte Cloud-Tools wie Pacu (AWS) und MicroBurst (Azure).
Der Einsatzzweck und das gelöste Problem liegen in der Validierung der tatsächlichen, nicht nur der theoretischen Sicherheitslage. Schwachstellenscanner liefern eine Liste potenzieller Probleme, treffen aber keine Aussage darüber, ob sie in der konkreten Umgebung tatsächlich ausnutzbar sind und welche Auswirkungen ihre Ausnutzung hätte. Ein Pentest beantwortet genau diese Fragen, deckt Verkettungen mehrerer kleiner Schwachstellen auf und liefert priorisierte Handlungsempfehlungen.
Historisch reicht Pentesting bis in die 1960er-Jahre zurück, als "Tiger Teams" im US-Verteidigungsumfeld gezielt versuchten, eigene Systeme anzugreifen, um Schwächen zu finden. Mit dem Aufstieg des Internets und der Veröffentlichung des Morris-Wurms (1988), der frühen Hacker-Kultur (CCC, L0pht, Cult of the Dead Cow) und der Etablierung von DEFCON (1993), Black Hat (1997) und Schwachstellen-Datenbanken (CVE, ab 1999) hat sich Pentesting zu einer eigenständigen Berufsdisziplin entwickelt. Mit Programmen wie Bug Bounties (HackerOne, Bugcrowd) ist die Praxis seit etwa 2012 zusätzlich crowd-basiert geworden.
Eingeführt und geprägt wurde die Disziplin durch eine Mischung aus Behörden, Hacker-Kultur und Sicherheitsfirmen. Bei einem Pentest stehen Tester regelmäßig in der Spannung, mehr zu finden, als dem Auftraggeber lieb ist. In der Branche kursiert das Sprichwort "you wanted us to test, but we found something we shouldn't have" als Hinweis darauf, dass Pentests immer wieder zufällig auf grobe organisatorische Defizite stoßen — etwa exponierte Backup-Server oder vergessene Cloud-Buckets — die zwar nicht im Scope lagen, aber zu groß sind, um ignoriert zu werden. Der Umgang mit solchen Out-of-Scope-Funden gilt als Lehrstück professioneller Tester-Ethik.
Bei bluehands führen wir Pentest mit unseren Partnern durch, um unsere Lösungen und die unserer Kunden kontinuierlich zu verbessern. Dabei setzen wir auf eine Kombination aus automatisierten Scans und manueller Analyse, um ein umfassendes Bild der Sicherheitslage zu erhalten.