2026-07-19 · GUIDE · Das Team von Offensive Technology

So bereiten Sie sich auf Ihren ersten Penetrationstest vor

Der Großteil des Werts eines Penetrationstests entscheidet sich, bevor überhaupt jemand eine Tastatur anfasst. Wenn ein Team mit unklarem Scope, ohne Test-Accounts und mit einem nervösen Engineering Lead antritt, verbringt es die ersten zwei Tage mit Logistik, anstatt die Schwachstellen zu finden, für die Sie es bezahlt haben. Wenn dies Ihr erster Test ist, verschafft Ihnen eine wenige Stunden dauernde Vorbereitung ein deutlich besseres Ergebnis. Hier ist die Checkliste, die wir jedem Erstkunden an die Hand geben möchten.

Klären Sie, warum Sie testen

Alles Weitere baut darauf auf. Testen Sie, weil ein Kundenvertrag oder ein Auditor es verlangt, weil Ihre Versicherung danach gefragt hat, oder weil Sie ehrlich wissen wollen, wie angreifbar Sie sind? Bei einem Compliance-getriebenen Test wird der Scope oft durch den Standard vorgegeben. Ein risikoorientierter Test sollte sich auf das konzentrieren, was bei einem Ausfall am meisten schaden würde. Formulieren Sie Ihren Grund in einem einzigen Satz. Das klärt spätere Diskussionen darüber, was im Scope liegt.

Definieren Sie den Scope schriftlich

Der Scope ist der wichtigste Parameter überhaupt. Er beschreibt exakt, was die Tester anfassen dürfen: welche Domains, welche Anwendungen, welche IP-Bereiche, welche APIs und welche Techniken ausgeschlossen sind. Der offene Penetration Testing Execution Standard (PTES) behandelt diesen Schritt vor dem Engagement aus gutem Grund als eigene Phase, denn ein schwammiger Scope führt zu einem schwammigen Test.

Seien Sie präzise und ehrlich bei den Grenzen. Wenn ein System von einem Drittanbieter betrieben wird, können Sie Tests ohne dessen Genehmigung in der Regel nicht autorisieren, und kein seriöser Tester wird es allein auf Ihre Zusage hin angreifen. Legen Sie fest, was im Scope ist und was nicht, und halten Sie dies schriftlich und unterzeichnet fest. Dieses Dokument, oft als Rules of Engagement bezeichnet, schützt Sie genauso wie die Tester.

Wählen Sie die Umgebung: Produktion oder Staging

Sie werden gefragt werden, ob gegen die Produktion oder eine Staging-Kopie getestet werden soll. Beide Optionen haben Vor- und Nachteile.

• Produktion ist das echte System, daher sind die Befunde real. Es besteht jedoch ein geringes Risiko, dass Tests Verlangsamungen oder Nebeneffekte verursachen. Gute Tester gehen vorsichtig vor, aber Sie sollten dies dennoch einplanen und vorbereitet sein.
• Staging lässt sich gefahrloser belasten, ist aber nur nützlich, wenn es die Produktion exakt widerspiegelt. Eine Staging-Umgebung, die drei Versionen zurückliegt, mit Fakedaten und anderer Konfiguration arbeitet, liefert Befunde, die auf das von Ihren Kunden genutzte System möglicherweise gar nicht zutreffen.

Wenn Sie sich für Staging entscheiden, stellen Sie sicher, dass es eine getreue Kopie ist. Eine irreführende Umgebung ist schlimmer als eine leicht risikobehaftete.

Bereiten Sie Zugänge und Test-Accounts vor

Wenn Sie möchten, dass der Test abdeckt, was ein angemeldeter Benutzer oder Kunde tun kann, und das sollten Sie fast immer, benötigen die Tester funktionierende Zugangsdaten. Unauthentifiziertes Testen sieht nur die Eingangstür. Der meiste reale Schaden entsteht hinter dem Login.

Bereiten Sie vor Testbeginn Folgendes vor:

• Benutzer-Accounts für jede relevante Rolle: Standardbenutzer, Admin und alle Stufen dazwischen.
• Mehr als einen Account pro Rolle, damit Tester prüfen können, ob ein Benutzer auf die Daten eines anderen Benutzers zugreifen kann.
• Alle API-Schlüssel, Tokens oder Dokumentationen, die erforderlich sind, um die Anwendung wie ein realer Client zu nutzen.
• Hinweise auf Mechanismen, die Kontosperrungen, Abrechnungsvorgänge oder E-Mails auslösen, damit es keine Überraschungen gibt.

Klären Sie Zeitplan und Kommunikation

Vereinbaren Sie ein Testfenster und wer informiert wird. Benennen Sie einen einzigen technischen Ansprechpartner, der Fragen schnell beantworten kann und die Befugnis hat, den Test mit einer Nachricht zu stoppen, falls etwas schiefgeht.

Entscheiden Sie im Voraus, wie mit eigenen Schutzmaßnahmen umzugehen ist. Wenn eine Web Application Firewall oder ein Monitoring-System den Test-Traffic blockieren oder Alarm schlagen würde, sollten Sie und die Tester abstimmen, ob deren Quell-IPs auf die Allowlist gesetzt werden. Eine Firewall, die den Test schlicht blockiert, kann genau die Schwachstellen verbergen, die dahinter liegen. Informieren Sie Ihr Operations- und Support-Team, damit ein ungewöhnlicher Traffic-Peak nicht um 3 Uhr morgens einen Incident-Call auslöst.

Halten Sie Ihre Dokumentation bereit

Tester arbeiten sich schneller ein, wenn Sie ihnen Kontext liefern. Der OWASP Web Security Testing Guide, eine weit verbreitete offene Methodik, betrachtet die Informationsbeschaffung als Grundlage eines guten Tests. Sie können diese Phase verkürzen, indem Sie eine Architekturübersicht, API-Dokumentation, eine Liste der Benutzerrollen sowie Hinweise auf Besonderheiten oder fragile Komponenten bereitstellen. Sie nehmen den Testern damit nicht die Arbeit ab; Sie sorgen dafür, dass deren Zeit in das Finden von Problemen fließt und nicht in das Entschlüsseln des Anwendungsaufbaus.

Widerstehen Sie dem Drang aufzuräumen

Vor dem ersten Test erliegt man leicht der Versuchung, schnell alles zu patchen und aufzuräumen, damit der Bericht gut aussieht. Tun Sie das nicht. Es geht darum, Ihren tatsächlichen Status zu ermitteln, nicht darum, einen Reinraum vorzutäuschen. Das Beheben bekannter Probleme ist generell gut und sinnvoll, aber verstecken oder deaktivieren Sie Dinge nicht nur, um dem Test zu entgehen. Sie würden nur dafür bezahlen, sich selbst zu täuschen.

Wissen Sie, was Sie am Ende erhalten

Klären Sie das Lieferergebnis vor dem ersten Tag: ein schriftlicher Bericht mit priorisierten Befunden und klaren Nachvollziehbarkeitsschritten sowie idealerweise ein Termin zur gemeinsamen Durchsprache. Fragen Sie nach, ob ein Retest Ihrer Behebungen enthalten ist oder extra kostet, denn ein Befund ist erst dann abgeschlossen, wenn bestätigt wurde, dass der Fix tatsächlich funktioniert.

Ein günstigerer erster Schritt, falls Sie noch nicht bereit sind

Wenn sich ein vollständiger Penetrationstest noch wie eine zu große Erstinvestition anfühlt, ist es sinnvoll, kleiner anzufangen und zunächst die externe Angriffsfläche zu analysieren. Genau dafür ist unser $100-Check gedacht: ein gezielter Blick auf Ihre externe Angriffsfläche, beschränkt auf von Ihnen verifizierte und schriftlich autorisierte Scopes, geprüft von einem Senior Operator und ausgeliefert inklusive einer 30-minütigen Nachbesprechung.

Seien Sie sich im Klaren darüber, was dieser Check ist und was nicht. Der Check ist ein erster Einblick, kein vollständiges Engagement, und er wird keinen Auditor zufriedenstellen, der einen Penetrationstest gefordert hat. Er zeigt Ihnen jedoch, was ein Angreifer von außen sieht, und hilft Ihnen, den eigentlichen Test richtig zu scopten, sodass Sie bestens vorbereitet sind, wenn Sie einen buchen.

Weiterführende Beiträge

• Check, Scan oder vollständiger Pentest?
• Was können Angreifer über Ihr Unternehmen sehen?