Penetrationstest: 9 häufige Fragen von KMU-Geschäftsführern
Stand: November 2026
Was ist ein Penetrationstest?
Ein Penetrationstest simuliert gezielte Angriffe auf IT-Infrastrukturen, um Schwachstellen aufzudecken, bevor Angreifer sie ausnutzen. Anders als automatisierte Vulnerability-Scans arbeitet ein Pentest manuell und nutzt echte Exploitation-Techniken. Die Methodik folgt definierten Phasen: Reconnaissance, Scanning, Exploitation und Reporting. Ziel ist eine realistische Risikobewertung, die Entscheidern zeigt, wo Schutzmaßnahmen greifen und wo Lücken klaffen.
Der Unterschied zum reinen Schwachstellenscan liegt in der Tiefe: Scanner finden bekannte CVEs, Pentester prüfen, ob sich diese im konkreten Umfeld tatsächlich ausnutzen lassen — etwa durch Kettenangriffe, Privilegieneskalation oder Pivoting in interne Netze. Das Ergebnis ist kein reiner Findings-Katalog, sondern eine priorisierte Handlungsempfehlung mit Business-Impact-Bewertung. Compipower beschreibt den Ablauf der vier Phasen praxisnah; Cloudflare definiert den Begriff als autorisierten simulierten Angriff zur Sicherheitsvalidierung.
Für KMU bedeutet das: Ein Pentest deckt nicht nur technische Lücken auf, sondern testet auch Prozesse — Incident Response, Patch-Management, Zugriffssteuerung. Die Durchführung erfolgt meist nach Standards wie OSSTMM, PTES oder BSI-Leitfaden, wahlweise als Black-, Grey- oder White-Box-Test. Die Wahl des Scopes (Web-App, internes Netz, Cloud, OT) richtet sich nach der individuellen Bedrohungslage und Compliance-Anforderungen.
Welche Arten von Penetrationstests gibt es?
Anbieter unterteilen Penetrationstests nach dem Wissensstand der Prüfer. Dieser entscheidet, welche Angriffsvektoren simuliert werden und welche Einblicke in die Angriffsfläche entstehen.
Black-Box-Test
Die Tester erhalten keine internen Informationen. Sie agieren wie externe Angreifer und prüfen die sichtbare Angriffsfläche von außen.
White-Box-Test
Prüfer bekommen vollständige Dokumentation, Quellcode und Zugangsdaten. Sie suchen gezielt nach Logikfehlern und Konfigurationsschwächen im Systeminneren.
Grey-Box-Test
Hier liegen Teilinformationen vor, etwa ein Benutzeraccount oder eine Architekturübersicht. Der Test simuliert einen Angreifer mit begrenzten internen Rechten.
Spezialisierte Varianten ergänzen diese Kategorien. Web-App-Pentests prüfen Applikationen nach Standards wie den OWASP Top 10. Netzwerk-Pentests untersuchen Infrastrukturkomponenten. Cloud-Pentests fokussieren auf Fehlkonfigurationen in S3-Buckets oder Azure-Umgebungen. Mobile-Pentests analysieren Applikationen für iOS und Android.
Die Auswahl hängt vom Schutzziel ab. Ein öffentlicher Webshop benötigt andere Prioritäten als ein internes ERP-System. KMU-Pentest-Anbieter gliedern ihre Angebote häufig nach Zielsystem und verfügbaren Informationen. Passende Testverfahren für den Mittelstand beschreibt ein Fachartikel ausführlich.
Wie läuft ein Penetrationstest ab?
Ein professioneller Penetrationstest folgt einem standardisierten Ablauf in fünf Phasen. Zunächst steht die Vereinbarung und das Scoping: Auftraggeber und Tester definieren Zielsysteme, Zeitfenster, Testtiefe und rechtliche Rahmenbedingungen. Klare Rules of Engagement schützen produktive Systeme und stellen Compliance sicher.
In der zweiten Phase betreiben die Tester Informationsbeschaffung (Reconnaissance). Sie sammeln öffentliche und nicht-öffentliche Daten zu IP-Bereichen, Domains, Mitarbeiterstrukturen und eingesetzten Technologien. Diese Aufklärung bildet die Basis für gezielte Angriffe.
Darauf folgt die Schwachstellenanalyse. Automatisierte Scanner und manuelle Prüfungen identifizieren offene Ports, fehlerhafte Konfigurationen, veraltete Software und logische Fehler. Die Ergebnisse werden nach Auswirkungswahrscheinlichkeit im konkreten Umfeld priorisiert, nicht nur nach CVSS-Score.
In der Ausnutzungsphase (Exploitation) versuchen die Tester, identifizierte Lücken aktiv auszunutzen – ohne Daten zu manipulieren oder Dienste lahmzulegen. Ziel ist der Nachweis, wie weit ein Angreifer im Netzwerk vordringen könnte.
Der Abschluss bildet das Reporting mit Retest-Option. Der Bericht listet Findings nach Risiko sortiert, liefert technische Details und konkrete Handlungsempfehlungen. Qualitätsanbieter wie Sodusecure bieten eine erneute Prüfung behobener Lücken ohne Aufpreis an. Der TÜV Rheinland beschreibt diesen phasenbasierten Ansatz als bewährten Standard für nachvollziehbare und vergleichbare Ergebnisse.
Wie oft sollte ein Penetrationstest durchgeführt werden?
Experten empfehlen einen Turnus von 12 bis 24 Monaten für den klassischen Penetrationstest. Hinzu kommen anlassbezogene Tests nach größeren IT-Veränderungen – etwa beim Umzug in die Cloud, beim Rollout neuer Applikationen oder nach Zukäufen. Für Unternehmen, die unter die NIS2-Richtlinie fallen, wird der jährliche Rhythmus zur verbindlichen Compliance-Pflicht.
Ein einmaliger Test bildet nur eine Momentaufnahme ab. Angreifer scannen kontinuierlich nach neuen Schwachstellen, die durch Patches, Konfigurationsänderungen oder Shadow-IT entstehen. Daher gewinnt kontinuierliches Vulnerability Scanning als Ergänzung an Bedeutung. Automatisierte Scanner decken bekannte CVEs fortlaufend auf, während der manuelle Pentest tiefe Logikfehler und Kettenangriffe aufdeckt, die Scanner übersehen.
Die Kombination aus jährlichem Deep-Dive und permanenter Oberflächenüberwachung hat sich in der Praxis bewährt. Wer nur alle zwei Jahre testet, riskiert blinde Flecken von mehreren Monaten. Wer jährlich testet, aber nie nachscannt, übersieht Lücken zwischen den Terminen. Ein risikobasierter Plan berücksichtigt Schutzbedarf, Veränderungsrate der IT und regulatorische Vorgaben gleichermaßen.
Was kostet ein Penetrationstest für KMU?
Typische Preisspannen in Deutschland bewegen sich zwischen 1.500 € und 15.000 € netto, abhängig von Scope und Tiefe der Prüfung. Web-App-Tests nach OWASP Top 10 starten oft bei ca. 1.500 €, Corporate-Network-Tests (intern und extern) bei ca. 3.500 €. Ein detaillierter Kostenüberblick zeigt, wie sich Aufwand und Preis je nach Angriffsfläche und Testtiefe verschieben.
Festpreis-Modelle bieten Planungssicherheit: Der Anbieter definiert den Scope vorab verbindlich, liefert einen Report mit priorisierten Findings und schließt oft einen Retest zur Fix-Verifikation ohne Mehrkosten ein. Wer Unterstützung bei Auswahl und Beauftragung braucht, findet bei Experten für Penetrationstests passende Angebote für Web-Anwendungen, Cloud-Umgebungen und interne Netze.
Zusätzliche Faktoren wie Testart (Black‑, Grey‑, White-Box), Compliance-Anforderungen (NIS2, ISO 27001, TISAX) und gewünschter Beratungsumfang beeinflussen den Endpreis. Ein einmaliger Test reicht nicht: BSI und Branchenverbände empfehlen Wiederholungen alle 12 bis 24 Monate sowie nach größeren IT-Veränderungen.
Welche Fördermöglichkeiten gibt es für Pentests?
In Nordrhein-Westfalen unterstützt das Landesprogramm MID-Digitale Sicherheit Penetrationstests mit bis zu 50 Prozent Zuschuss. Voraussetzung ist ein Projektvolumen von mindestens 8.000 Euro; die Vergabe erfolgt per Losverfahren. Wer die Kriterien früh prüft, sichert sich Planungssicherheit für den Testzeitraum.
Darüber hinaus bieten weitere Bundesländer eigene Digitalisierungs‑ und Sicherheitsförderungen an, die Pentests als förderfähige Maßnahme listen. Auf Bundesebene können KMU über KfW-Programme wie den ERP-Digitalisierungs‑ und Innovationskredit günstige Darlehen für IT-Sicherheitsprojekte beantragen. Einige Regionalförderbanken bündeln Zuschuss und Darlehen in kombinierten Paketen.
Ein Blick in die aktuellen Förderdatenbanken lohnt sich: Fristen, Antragsberechtigung und Kumulierungsregeln unterscheiden sich teils stark. Erfahrene Pentest-Dienstleister kennen die relevanten Programme und unterstützen bei der Antragstellung. So lässt sich der Eigenanteil spürbar senken, ohne qualitative Abstriche beim Testumfang zu machen.
Wie bereitet man sich auf einen Penetrationstest vor?
Eine sorgfältige Vorbereitung entscheidet über die Qualität und den Nutzen des Tests. Zunächst definieren Sie gemeinsam mit dem Anbieter den Testumfang: Welche Systeme, Netzwerke und Anwendungen werden geprüft, welche bleiben außen vor? Stellen Sie aktuelle Netzwerkpläne, Asset-Inventare und Zugriffsrechte bereit – idealerweise in einer separaten Testumgebung, um Produktionssysteme nicht zu gefährden. Benennen Sie feste Ansprechpartner auf Ihrer Seite (IT, Sicherheit, Management), die während des Testzeitraums erreichbar sind und Entscheidungen kurzfristig treffen können.
Informieren Sie interne Stakeholder frühzeitig: IT-Betrieb, Helpdesk, Compliance und gegebenenfalls Datenschutzbeauftragte. Stimmen Sie Notfallpläne ab – was passiert, wenn der Test einen kritischen Dienst lahmlegt oder sensible Daten offenlegt? Ein Eskalationspfad mit klaren Verantwortlichkeiten und Kommunikationskanälen vermeidet Panikreaktionen. Wie ccvossel.de empfiehlt, sollten Sie zudem Logging und Monitoring temporär anpassen, damit Testaktivitäten nicht als echte Angriffe alarmieren.
Klären Sie vorab, ob ein White-Box-, Grey-Box- oder Black-Box-Ansatz zum Ziel passt, und dokumentieren Sie Ausschlusskriterien (z. B. DoS-Tests, Social Engineering). Nach Keeper Security verbessert eine transparente Kommunikation vor, während und nach dem Test die Ausbeute erheblich – das Team findet relevantere Lücken, und Ihr Haus erhält einen Bericht, der direkt in Maßnahmen mündet.
Was sind typische Findings bei KMU-Pentests?
Penetrationstests bei kleinen und mittleren Unternehmen fördern immer wieder dieselben Schwachstellen zutage. Eine Analyse häufiger Befunde nennt drei Hauptkategorien: fehlerhafte Active-Directory-Konfigurationen, die Kerberoasting-Angriffe ermöglichen, veraltete VPN- oder RDP-Zugänge ohne Mehrfaktorauthentifizierung sowie falsch konfigurierte Cloud-Speicher wie offene S3-Buckets oder Azure Blobs. Hinzu kommen unpatchte Systeme und Standardpasswörter, die nie geändert wurden.
Ein Bericht über automatisierte Angriffe bestätigt, dass KMU zunehmend im Fokus breit angelegter Kampagnen stehen. Angreifer scannen gezielt nach genau diesen Mustern, weil sie zuverlässig Einstiegspunkte liefern. Ein einzelner offener RDP-Port oder ein überberechtigter Service-Account genügt oft, um sich im Netzwerk lateral zu bewegen.
- Active Directory: Schwache Delegationen, fehlende Tiering-Modelle
- Remote Access: VPN/RDP ohne MFA, veraltete Zertifikate
- Cloud Storage: Öffentlich lesbare Blobs, überberechtigte Keys
- Patch-Management: Veraltete Windows-Server, ungepatchte Appliances
- Credentials: Default-Passwörter an Druckern, NAS, IoT-Geräten
Die Befunde sind selten exotisch – sie resultieren aus Zeitmangel, fehlendem Know-how oder gewachsenen Strukturen ohne härtende Begleitung. Ein Pentest deckt sie systematisch auf und priorisiert nach Ausnutzbarkeit.
Was ist der Unterschied zwischen IT-Security-Check und Penetrationstest?
Ein IT-Security-Check arbeitet mit standardisierten Checklisten und automatisierten Scannern. Er erfasst den Reifegrad technischer und organisatorischer Maßnahmen, deckt Konfigurationsfehler auf und liefert eine erste Risikoeinschätzung. Der Aufwand bleibt überschaubar, die Ergebnisse sind gut vergleichbar.
Ein Penetrationstest geht einen Schritt weiter. Er simuliert gezielt echte Angreifer, kombiniert automatisierte Erkennung mit manueller Exploitation und prüft, ob sich Schwachstellen tatsächlich ausnutzen lassen. Tester bewegen sich laterale durch Netze, umgehen Schutzmechanismen und dokumentieren konkrete Angriffspfade bis zum kritischen Asset.
Beide Formate ersetzen sich nicht. Der Security-Check schafft Transparenz über den Ist-Stand und eignet sich für wiederkehrende Audits. Der Penetrationstest validiert die Wirksamkeit der Abwehr unter realistischen Bedingungen. Unternehmen, die beide Instrumente rhythmisch kombinieren – etwa halbjährlicher Check, jährlicher Pentest plus nach größeren Änderungen –, reduzieren blinde Flecken messbar.
Wie wird der Pentest-Bericht genutzt?
Der Bericht fasst technische Befunde, Risikobewertungen und konkrete Handlungsempfehlungen zusammen. Er dient als Nachweis für Audits nach ISO 27001 oder TISAX, für Cyber-Versicherungen und für Lieferantenbewertungen. Geschäftsführer können damit gegenüber Prüfern und Partnern belegen, dass Schwachstellen systematisch erfasst und priorisiert wurden. Ein Retest nach der Behebung der Findings bestätigt die Wirksamkeit der getroffenen Maßnahmen und schließt den Prüfzyklus ab. Auch Versicherer verlangen zunehmend einen aktuellen Bericht, um Deckungsbedingungen zu prüfen. Lieferanten fordern ihn im Rahmen von Sicherheitsfragebögen, um die eigene Supply-Chain abzusichern. Die Dokumentation sollte daher strukturiert, nachvollziehbar und mit klaren Prioritäten versehen sein. Ein praxisnaher Leitfaden zeigt, wie KMU den Bericht in ihre Compliance-Prozesse einbinden.
Zudem dient der Bericht als Basis für interne Schulungen, für die Planung weiterer Tests und für die kontinuierliche Verbesserung des ISMS. Die klare Zuordnung von Schweregraden erleichtert die Ressourcenallokation im IT-Betrieb. Ein regelmäßiger Abgleich mit neuen Bedrohungslagen hält den Nachweis aktuell und erhöht die Glaubwürdigkeit gegenüber Auditoren. Unternehmen, den Bericht in ihr Risikomanagementsystem einpflegen, profitieren von schnelleren Entscheidungswegen und geringeren Reaktionszeiten bei neuen Vorfällen. Damit wird der Pentest-Bericht zum strategischen Instrument für nachhaltige IT-Sicherheit.
Welche Rolle spielt NIS2 für Pentest-Pflichten?
Die NIS2-Richtlinie verpflichtet seit 2024/25 eine deutlich größere Zahl mittelständischer Unternehmen zu jährlichen Penetrationstests. Die Vorgabe ist im Risikomanagement verankert: Betroffene müssen Nachweise über Durchführung und Beseitigung gefundener Schwachstellen vorlegen können. Der Geltungsbereich erweitert sich gegenüber der Vorgänger-Richtlinie massiv – viele KMU, die zuvor nicht erfasst waren, fallen nun unter die Pflicht.
Wer in Sektoren wie Energie, Transport, Gesundheit, digitale Infrastruktur oder öffentliche Verwaltung tätig ist, muss prüfen, ob die Schwellenwerte (50 Beschäftigte oder 10 Mio. € Umsatz) greifen. Auch Lieferkettenverantwortung zieht weitere Unternehmen in den Anwendungsbereich. Ein einmaliger Test genügt nicht; die Richtlinie fordert eine fortlaufende Überprüfung der Wirksamkeit getroffener Maßnahmen.
Praktisch bedeutet das: Scoping und Methodik müssen auditorenfest dokumentiert sein. Automatisierte Scans ersetzen den manuellen Pentest nicht, dienen aber als Ergänzung zwischen den jährlichen Terminen. Fachbeiträge zur Umsetzung empfehlen, die Testfenster fest in den Wartungskalender zu integrieren und Retests nach Behebung kritischer Findings einzuplanen. Wer die Fristen verpasst, riskiert Bußgelder und Haftungsfragen im Schadensfall.
Welche Kriterien sind bei der Anbieterauswahl wichtig?
Bei der Auswahl eines Penetrationstest-Anbieters sollten KMU auf nachweisbare Qualitätsmerkmale achten. Ein Leitfaden von Turingpoint nennt Zertifizierungen, Referenzprojekte im KMU-Umfeld, transparente Scoping‑ und Reporting-Prozesse sowie Festpreis-Modelle als Kernkriterien. Der Penetration Testing Guide von Ecosire ergänzt, dass ein kostenfreier Retest nach Behebung der Findings und die Bereitschaft zur Zusammenarbeit mit internen Teams die Planungssicherheit erhöhen. Erfahrung, Branchenfokus, DSGVO-Konformität und Support-Erreichbarkeit gehören ebenfalls zu den Entscheidungsfaktoren.
Die folgende Checkliste fasst die wichtigsten Auswahlkriterien zusammen, die sich in der Praxis bewährt haben.
- Zertifizierungen der Tester (z. B. OSCP, OSWE)
- Referenzprojekte im KMU-Umfeld
- Transparentes Scoping und Reporting
- Festpreis-Modelle ohne versteckte Kosten
- Kostenfreier Retest nach Behebung der Findings
- Bereitschaft zur Zusammenarbeit mit internen IT-Teams
- Regionaler Standort oder deutschsprachiger Support
Ein fester Ansprechpartner und kurze Reaktionszeiten erleichtern die Nachverfolgung offener Punkte. Wer diese Punkte prüft, reduziert das Risiko, an einen Anbieter zu geraten, der nur oberflächlich testet oder nachträglich Zusatzkosten fordert.