Penetrationstest

Bei einem Penetrationstest versuchen beauftragte Fachleute, mit den Methoden echter Angreifer in IT-Systeme einzudringen, um Schwachstellen zu finden, bevor andere sie ausnutzen.

Genauer erklärt

Ein Penetrationstest geht über einen automatisierten Schwachstellenscan hinaus: Die Prüfer kombinieren Lücken, testen Konfigurationen und bewerten, wie weit ein Angreifer tatsächlich käme. Vorab werden Umfang, Zeitraum und Grenzen schriftlich vereinbart. Ergebnis ist ein Bericht mit Befunden und Empfehlungen. Der IT-Grundschutz nennt Penetrationstests als Standard-Anforderung in mehreren Bausteinen, etwa für Firewalls (NET.3.2), Webanwendungen (APP.3.1) und Webserver (APP.3.2). Das BSI führt selbst IS-Penetrationstests durch, vor allem für Bundesbehörden.

Artikel zum Begriff

• Die eigene Website absichernWebsite-Sicherheit für kleine Betriebe: Updates, sichere Anmeldung, HTTPS, Hosting und Formulare. Was BSI APP.3.1 und APP.3.2 sowie die OWASP Top Ten empfehlen.
• SchwachstellenmanagementSchwachstellenmanagement verständlich: Sicherheitslücken erkennen, bewerten und schließen. Mit CVE, CVSS, Warnungen des CERT-Bund und einem schlanken Ablauf.