Ein System kann gut abgesichert wirken und trotzdem einen Angriffspfad offenlassen. Denn für einen erfolgreichen Cyberangriff braucht es nicht immer die eine kritische Sicherheitslücke. Häufig entsteht das Risiko erst, wenn mehrere kleinere Schwachstellen zusammenspielen. Ein Pentest macht sichtbar, was Angreifer*innen unter realistischen Bedingungen tatsächlich erreichen könnten und wo Unternehmen nachbessern sollten.
Wenn einzelne Schwachstellen zum Angriffspfad werden
Für einen erfolgreichen Angriff braucht es nicht zwangsläufig eine neuartige oder besonders schwerwiegende Sicherheitslücke. Häufig reichen bekannte Schwachstellen, Fehlkonfigurationen, fehlende Sicherheitsupdates, ungeeignet verwaltete Zugangsdaten oder zu weitreichende Berechtigungen.
Für sich genommen muss keiner dieser Befunde unmittelbar kritisch sein. Problematisch wird es, wenn mehrere Schwachstellen zusammenspielen. Eine falsch gesetzte Berechtigung kann beispielsweise den Zugriff auf einen weiteren Bereich ermöglichen. Dort finden Angreifer*innen unter Umständen zusätzliche Informationen oder Zugangsdaten und können ihren Zugriff Schritt für Schritt ausweiten.
Genau solche Angriffsketten machen den praktischen Wert eines Penetrationstests, kurz Pentest, aus. Sicherheitsexpert*innen betrachten einen zuvor definierten Teil der Informationstechnologie (IT) aus der Perspektive potenzieller Angreifer*innen. Sie identifizieren Schwachstellen und prüfen kontrolliert, welche Möglichkeiten daraus innerhalb der konkreten Umgebung entstehen.
Die zentrale Frage lautet daher nicht nur, ob eine Schwachstelle existiert. Relevant ist vor allem, was sich mit ihr tatsächlich erreichen lässt.
Mehr als ein Schwachstellenscan
Damit unterscheidet sich ein Pentest von einem rein automatisierten Schwachstellenscan. Ein Scan kann bekannte technische Schwachstellen identifizieren. Pentester untersuchen darüber hinaus, ob sich einzelne Befunde miteinander kombinieren lassen und welche Auswirkungen daraus entstehen könnten.
Umfang und Grenzen des Tests werden vorab eindeutig festgelegt. Ziel ist es, mögliche Angriffspfade sichtbar zu machen und eine fundierte Grundlage für Verbesserungsmaßnahmen zu schaffen.
Ein klar abgegrenzter erster Anwendungsfall schafft Orientierung. Unternehmen können Erfahrungen sammeln, Ergebnisse sichtbar machen und ihre Cloud-Umgebung anschließend kontrolliert erweitern.
Der Mehrwert einer unabhängigen Perspektive
Neben der manuellen Prüfung kann auch eine unabhängige Perspektive dazu beitragen, bisher übersehene Angriffsmöglichkeiten sichtbar zu machen.
Interne IT-Sicherheitsteams kennen ihre Systeme, Prozesse und Abhängigkeiten sehr genau. Diese Kenntnis ist für die tägliche Absicherung unverzichtbar. Bei einer Sicherheitsprüfung kann die große Vertrautheit mit der eigenen Umgebung jedoch dazu führen, dass bestimmte Annahmen nicht mehr hinterfragt werden.
Externe Pentesting-Teams bringen eine unabhängige Perspektive und Erfahrungen aus unterschiedlichen technischen Umgebungen mit. So können sie Angriffsmuster oder Kombinationen von Schwachstellen erkennen, die innerhalb der eigenen Organisation bislang keine Rolle gespielt haben.
Der Blick von außen ersetzt interne Sicherheitskompetenz nicht, sondern ergänzt sie.
Black Box, Grey Box und White Box im Vergleich
Wie viel Wissen Pentester vor Beginn der Prüfung erhalten, richtet sich nach dem jeweiligen Prüfungsziel. Üblicherweise werden drei Ansätze unterschieden.
Ein Black Box Test bildet den Blick von außen besonders konsequent ab. Grey Box und White Box Tests ermöglichen dagegen eine gezieltere und tiefere Untersuchung bestimmter Systeme oder Funktionen. Welcher Ansatz geeignet ist, hängt deshalb vor allem von der Fragestellung und dem gewünschten Prüfumfang ab.
Wie Unternehmen Pentests sinnvoll in ihre Sicherheitsprozesse integrieren, wann der richtige Zeitpunkt für einen Test ist und warum ein einmaliger Pentest nicht ausreicht, zeigt Teil 2.
Sie möchten das Thema vertiefen?
Auf der Pentesting-Seite von DATAGROUP finden Sie weiterführende Informationen rund um Pentesting und IT-Sicherheit sowie ein Whitepaper, das das Thema fachlich vertieft.
Dieser Beitrag basiert auf dem Expertenwissen von Patrick Ungeheuer & David Kettner aus unserem Podcastgespräch und wurde redaktionell aufbereitet.