Pentest beauftragen: Ablauf, Freigaben und Vorbereitung in sieben Schritten

Ein Penetrationstest läuft in der Regel in sieben Schritten ab: Ziel klären, Umfang festlegen, Regeln und Freigaben schriftlich fixieren, Test durchführen, Zwischenstand melden, Bericht besprechen und Nachtest durchführen. Die wichtigste Vorbereitung ist die schriftliche Freigabe aller Beteiligten. Ohne sie kann ein Test rechtlich problematisch werden und echte Störungen auslösen. Dieser Leitfaden führt durch den Ablauf und nennt, was Sie als Auftraggeber vorbereiten müssen.

Schritt 1: Ziel und Anlass klären

Warum soll getestet werden? Mögliche Anlässe sind ein Livegang, eine größere Änderung, Kundenanforderungen, Vorgaben der Versicherung oder ein Audit. Je klarer das Ziel, desto besser lässt sich der Test zuschneiden. Ein Test „für den Kunden“ verlangt eventuell einen Bericht in bestimmter Form, ein Test „für uns“ kann stärker auf technische Details zielen.

Schritt 2: Umfang festlegen (Scoping)

Im Scoping legen Sie gemeinsam mit dem Dienstleister fest:

Ziele: URLs, IP-Bereiche, Anwendungen, Schnittstellen, Standorte
Rollen und Testkonten: Welche Benutzertypen werden geprüft?
Testtiefe: Black Box, Grey Box oder White Box
Ausschlüsse: Produktionskritische Systeme, Drittanbieter, bestimmte Methoden wie Denial-of-Service
Zeitfenster: Wann darf getestet werden, wann nicht (etwa bei Lastspitzen)?

Das Scoping bestimmt den Aufwand und damit den Preis. Wie sich die Kosten ergeben, lesen Sie im Beitrag Penetrationstest Kosten.

Schritt 3: Rules of Engagement und Freigaben

Die Rules of Engagement sind die Spielregeln des Tests. Sie enthalten Umfang, erlaubte Methoden, Zeiten, Ansprechpartner mit Telefonnummern, Abbruchkriterien und den Umgang mit sensiblen Funden. Zusätzlich benötigen Sie schriftliche Einwilligungen:

Der Systemverantwortliche in Ihrem Unternehmen bestätigt, dass die Systeme getestet werden dürfen.
Drittanbieter: Liegen Systeme bei einem Hosting- oder Cloudanbieter, gelten dessen Regeln. Manche Anbieter erlauben Tests nur nach Anzeige oder in bestimmten Grenzen. Prüfen Sie die Bedingungen.
Eigentümer fremder Komponenten: Dienste von Zulieferern gehören nicht Ihnen und dürfen nicht ohne deren Zustimmung getestet werden.
Betriebsrat und Datenschutz: Wenn Mitarbeitende betroffen sind, etwa bei Phishing-Simulationen, sind Mitbestimmung und Datenschutz zu beachten.

Schritt 4: Vorbereitung auf Ihrer Seite

Staging-Umgebung bereitstellen, wenn möglich, damit Tests das Livesystem nicht stören.
Datensicherung prüfen: Aktuelle Backups sind Pflicht vor jedem Test.
Testkonten anlegen: Für jede Rolle ein Konto, ohne reale personenbezogene Daten.
Dokumentation bereitstellen: Architekturübersicht, API-Beschreibung, Rollenmodell.
Ansprechpersonen benennen: Erreichbar während des gesamten Testzeitraums.
Überwachung informieren: Wer Ihr IT-Betrieb oder ein externes SOC betreibt, sollte wissen, wann Tests stattfinden, oder bewusst Teile ausnehmen, wenn die Erkennung mitgeprüft werden soll.

Schritt 5: Durchführung

Die Tester arbeiten nach der vereinbarten Methodik. Üblich sind Aufklärung, Schwachstellensuche, manuelle Prüfung, Ausnutzung im vereinbarten Rahmen und Dokumentation. Kritische Funde, etwa offene Datenbanken, sollten sofort gemeldet werden und nicht erst im Abschlussbericht erscheinen. Vereinbaren Sie diese Regel vorab.

Schritt 6: Bericht und Abschlussgespräch

Ein guter Bericht enthält:

Bestandteil	Inhalt
Management-Zusammenfassung	Gesamtbewertung in verständlicher Sprache, wichtigste Risiken
Methodik und Umfang	Was wurde wann und womit geprüft, was nicht
Befunde	Beschreibung, Schweregrad, Nachweis, Schritte zur Reproduktion
Empfehlungen	Konkrete Maßnahmen, priorisiert
Anhänge	Technische Details, Werkzeuge, Zeitprotokoll

Im Abschlussgespräch erläutern die Tester die Funde. Bringen Sie Entwickler und Betrieb dazu. Wie Sie den Bericht in Maßnahmen übersetzen, steht im Beitrag Pentest-Bericht umsetzen.

Schritt 7: Behebung und Nachtest

Nach der Behebung prüft ein Nachtest, ob die Schwachstellen tatsächlich geschlossen sind. Klären Sie bereits im Angebot, ob der Nachtest enthalten ist, bis wann er möglich ist und wie viele Funde er umfasst.

Zeitplan (Beispiel)

Phase	Typische Dauer im Beispiel
Anfrage und Angebote	1 bis 3 Wochen
Scoping und Freigaben	1 bis 2 Wochen
Durchführung	1 bis 3 Wochen je nach Umfang
Berichtserstellung	1 bis 2 Wochen
Behebung	Wochen bis Monate
Nachtest	1 bis 2 Wochen

Die Angaben sind Orientierungswerte aus der Praxis und können erheblich abweichen. Buchen Sie frühzeitig, da Kapazitäten knapp sein können.

Typische Probleme

Freigabe von Drittanbietern fehlt: Der Test muss kurzfristig verschoben werden.
Testkonten funktionieren nicht: Zeit geht verloren.
Produktionssystem fällt aus: Weil kein Backup oder keine Staging-Umgebung vorbereitet war.
Bericht verschwindet: Niemand ist zuständig für die Behebung.

Wann Sie sich beraten lassen sollten

Bei Tests an kritischen Infrastrukturen, an Systemen mit besonders sensiblen Daten oder bei Beteiligung mehrerer Gesellschaften sollten Sie die Freigaben juristisch absichern. Die Checkliste vor der Beauftragung unterstützt die Vorbereitung.

Häufige Fragen

Muss ich meine Mitarbeitenden informieren?

Das hängt vom Test. Bei technischen Tests genügt die Information der Beteiligten im Betrieb. Bei Phishing-Simulationen sind Datenschutz und Mitbestimmung zu beachten.

Darf der Test auf dem Livesystem stattfinden?

Ja, wenn vereinbart und abgesichert. Besser ist eine produktionsnahe Testumgebung, weil Tests Fehler und Ausfälle verursachen können.

Wer bekommt den Bericht?

Der Bericht ist vertraulich und sollte nur an berechtigte Personen gehen. Regeln Sie, ob und wie er an Kunden weitergegeben werden darf.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise zur Durchführung von Penetrationstests
OWASP Foundation — Methodik für Webanwendungen
Gesetze im Internet — Wortlaut des Strafgesetzbuchs und weiterer Gesetze