NIS2 macht Penetrationstests zum Standardinstrument Ein Schwachstellenscan ersetzt keinen Pentest

Anbieter zum Thema

GEMAKOM GmbH

cidaas by Widas ID GmbH

FAST LTA GmbH

FTAPI Software GmbH

Der Penetrationstest war lange die Kür für IT-Teams, jetzt gehört er für rund 29.500 deutsche Unternehmen zur gesetzlichen Nachweispflicht. Wer die Wirksamkeit seiner Sicherheitsmaßnahmen nicht belegen kann, riskiert Bußgeld und persönliche Haftung der Geschäftsleitung. Doch nicht jede Testform passt zu jedem Unternehmen.

Jahrzehntelang galt der Penetrationstest als Werkzeug ambitionierter IT-Sicherheitsteams, die freiwillig mehr tun wollten als das Minimum. Mit dem NIS2-Umsetzungsgesetz, das im Dezember 2025 in Kraft trat, hat sich das grundlegend geändert: Für rund 29.500 deutsche Unternehmen ist der Nachweis einer funktionierenden Sicherheitsarchitektur heute Pflicht, und der Penetrationstest ist das schärfste Instrument, um diesen Nachweis zu erbringen. Wer jetzt noch zögert, riskiert nicht nur Bußgelder, sondern auch die persönliche Haftung der Geschäftsleitung.

Interview mit Dr. Jürgen Dürrwang, Head of Pentesting bei ITK Engineering

Pentesting ist geduldiges Handwerk und ein bisschen Kunst

Vom Goodwill zur Rechtspflicht

Das novellierte BSI-Gesetz (BSIG) verpflichtet wesentliche und wichtige Einrichtungen in 18 Sektoren, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen" zum Schutz ihrer Netz- und Informationssysteme zu ergreifen (§ 30 BSIG). Die Registrierungspflicht beim BSI endete für bestehende Unternehmen am 6. März 2026. Was folgt, sind Prüfwellen: Das BSI baut seine Aufsichtsstrukturen aus, erste Stichproben laufen bereits, und Bußgeldverfahren werden vorbereitet.

Die Zahlen sprechen für sich. Laut BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 wurden im Berichtszeitraum täglich im Schnitt 119 neue Schwachstellen registriert, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Rund 80 Prozent der dokumentierten Ransomware-Angriffe trafen kleine und mittlere Unternehmen. Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage auf 289,2 Milliarden Euro, rund 8 Prozent mehr als im Vorjahr.

Für Geschäftsführer und Vorstände bedeutet das eine neue Qualität von Verantwortung. Das novellierte BSIG macht Cybersicherheit zur Chefsache mit persönlicher Haftung. Vorstände müssen Sicherheitsmaßnahmen aktiv überwachen und sich regelmäßig schulen lassen. Wer Nachweispflichten nicht erfüllt, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wobei der höhere Wert gilt.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Was NIS2 konkret fordert und was Penetrationstests leisten

§ 30 BSIG benennt explizit, was betroffene Einrichtungen umsetzen müssen: Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity Management, Sicherheit der Lieferkette sowie die Überprüfung der Wirksamkeit von Cybersicherheits­maß­nahmen. Genau dieser letzte Punkt ist entscheidend. Das Gesetz und seine Anforderungen sind auf der Informationsplattform OpenKRITIS vollständig dokumentiert.

Ein Penetrationstest ist das präziseste Instrument für diesen Nachweis. Anders als automatisierte Schwachstellenscans, die bekannte Lücken in Datenbanken abgleichen, simuliert ein Penetrationstest den realen Angriff: Ein autorisierter Sicherheitsexperte versucht, mit denselben Methoden in die Infrastruktur einzudringen, die auch ein Angreifer nutzen würde. Das Ergebnis ist kein Ampelreport, sondern ein detaillierter Befund mit Angriffspfaden, ausgenutzten Schwachstellen und konkretem Handlungsbedarf.

Für NIS2-pflichtige Unternehmen empfehlen Umsetzungsleitfäden mindestens einen jährlichen Penetrationstest des Außenperimeters sowie anlassbezogene Tests nach größeren Infrastrukturveränderungen, etwa nach Cloud-Migrationen oder dem Einführen neuer Systeme.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Drei Testformen und wann welche passt

In der Praxis unterscheiden Sicherheitsexperten drei wesentliche Testformen.

• Black-Box-Test: Der Tester erhält keine Vorinformationen über die Zielinfrastruktur. Dieser Ansatz bildet den realistischsten Angriffsvektor ab: den externen Angreifer ohne Insiderwissen. Black-Box-Tests eignen sich besonders für den Außenperimeter und zeigen, wie ein opportunistischer Angreifer vorgeht.

• Grey-Box-Test: Der Tester kennt grundlegende Informationen wie Netzwerkstruktur oder Benutzerrollen, simuliert aber keinen privilegierten Angreifer. Dieser Ansatz bildet den häufigsten realen Bedrohungsvektor ab: den kompromittierten Mitarbeiteraccount oder den Angreifer mit erstem Fuß in der Tür. Für die meisten mittelständischen Unternehmen ist der Grey-Box-Test das beste Kosten-Nutzen-Verhältnis.

• White-Box-Test: Vollständige Systemkenntnis, inklusive Quellcode und Architektur­do­ku­men­ta­ti­on. Dieser Ansatz eignet sich für tiefe Anwendungssicherheitsprüfungen und liefert eine vollständige Schwachstellenabdeckung, ist aber zeitintensiver.

Eine häufig unterschätzte Variante ist der kombinierte Ansatz aus technischem Penetrations­test und Social-Engineering-Komponente. Dabei wird geprüft, ob Mitarbeiter auf gefälschte Phishing-Mails hereinfallen oder einem angeblichen IT-Techniker unbegleiteten Zugang zum Serverraum gewähren. Das BSI-Melde- und Informationsportal liefert tagesaktuelle Warn­meldungen und zeigt, wie schnell neue Angriffsmethoden in die Breite gehen. Ein Pe­ne­tra­ti­ons­test, der die menschliche Dimension auslässt, testet nur die Hälfte der Angriffsfläche.

KI-Tools als Helfer für Sicherheitsspezialisten

Pentests mit KI erfolgreich automatisieren

Die häufigsten Schwachstellen, die Tests aufdecken

Aus der Praxis wiederholen sich bei mittelständischen Unternehmen, Kommunen und Versorgern bestimmte Befundkategorien zuverlässig.

• Veraltete Systeme und fehlende Patches: Der BSI-Lagebericht 2025 nennt unzureichendes Patchmanagement als eine der häufigsten Schwachstellen bei Kommunen und KMU. Systeme ohne aktuelle Sicherheitsupdates tragen bekannte Lücken, für die öffentliche Exploits existieren.

• Flat Networks ohne Segmentierung: In gewachsenen IT-Umgebungen ohne Netz­werk­trennung kann ein einziger kompromittierter Arbeitsplatz direkten Zugriff auf Produktivsysteme, Backups oder OT-Netzwerke erlangen. Das BSI bezeichnet Netzwerksegmentierung im Lagebericht 2025 explizit als Pflichtdisziplin für 2026.

• Schwache Authentifizierung und Berechtigungschaos: Geteilte Passwörter, niemals geänderte Standardzugangsdaten und Konten ehemaliger Mitarbeiter mit aktiven Berechtigungen sind in Penetrationstests regelmäßige Befunde. Multi-Faktor-Authentifizierung (MFA) ist heute Mindeststandard, von Cyberversicherern ebenso gefordert wie von NIS2.

• Exponierte Fernzugänge: VPN-Zugänge ohne MFA und Remote-Desktop-Dienste mit direktem Internetzugang sind beliebte Einstiegspunkte. Laut BSI-Lagebericht 2025 hat die Ausnutzung von Schwachstellen in Web-Angriffsflächen weiter an Bedeutung gewonnen.

Vom Security Assessment zum Penetrationstest

Wann ein Pentest sinnvoll ist

Was nach dem Test passiert: Der Weg von der Lücke zur Härtung

Ein Penetrationstest ist kein Selbstzweck. Sein Wert entsteht erst durch die strukturierte Nacharbeit. Ein guter Abschlussbericht enthält nicht nur eine Schwachstellenliste, sondern eine nach Kritikalität priorisierte Handlungsempfehlung, die zwischen sofortigem Handlungsbedarf, mittelfristigen Maßnahmen und strategischen Verbesserungen unterscheidet.

In der Praxis empfiehlt sich ein dreistufiger Prozess: Erstens die sofortige Behebung kritischer Lücken. Zweitens die strukturierte Härtung mittelfristiger Befunde im Rahmen eines dokumentierten Maßnahmenplans. Drittens die Etablierung eines kontinuierlichen Verbesserungsprozesses, der den Penetrationstest nicht als einmaliges Projekt, sondern als regelmäßigen Bestandteil des Sicherheitszyklus begreift.

Für NIS2-pflichtige Unternehmen ist dieser Dokumentationsweg nicht optional: § 30 BSIG fordert nachweisbar umgesetzte Maßnahmen. Der Penetrationstestbericht wird damit Teil der Compliance-Dokumentation, die im Falle einer BSI-Prüfung vorgelegt werden muss. Betreiber kritischer Anlagen müssen ihre Sicherheitsnachweise dem BSI gegenüber alle drei Jahre erbringen (§ 39 BSIG).

KI-Unterstützung für Penetrationstests mit Kali Linux

KaliGPT automatisiert Pentest in Kali Linux mit natürlicher Sprache

Praktische Hinweise für die Vorbereitung

Wer einen Penetrationstest beauftragen möchte, sollte einige Punkte klären, bevor der Test beginnt. Der Scope muss klar definiert sein: Welche Systeme, IP-Bereiche und Anwendungen sind Teil des Tests, welche sind ausgenommen? Eine unklare Scope-Definition führt zu Lücken oder unerwarteten Auswirkungen auf Produktionssysteme.

Eine schriftliche Genehmigung ist unverzichtbar. In Deutschland bewegt sich ein Penetrations­test rechtlich im Bereich des § 202c StGB (Hackerparagraf). Nur eine klare Beauftragung und Dokumentation des autorisierten Scopes schützt alle Beteiligten. Seriöse Dienstleister bestehen auf einem solchen Dokument.

Der Test sollte außerhalb der Kernbetriebszeiten oder mit Notfallkommunikationsplan durchgeführt werden. Auch wenn ein guter Penetrationstester keinen Produktionsausfall verursachen wird, kann das Auslösen von Sicherheitssystemen zu automatisierten Sperrungen führen.

Schließlich: Der Penetrationstest ist keine einmalige Feuerwehrübung. Mit jeder Infrastruktur­veränderung und jeder neuen Anwendung entsteht neue Angriffsfläche. NIS2 gibt den regulatorischen Rahmen vor, die Bedrohungslage die tägliche Begründung.

Tool-Tipp 31: Metasploit Framework

Einfacher Einstieg ins Pentesting mit Metasploit

Fazit

Der Penetrationstest ist 2026 kein Luxus mehr, den sich nur Großunternehmen leisten. Er ist das präziseste Mittel, um die NIS2-Anforderung zur Wirksamkeitsprüfung von Sicherheits­maß­nahmen zu erfüllen, und gleichzeitig der ehrlichste Spiegel, den eine Organisation ihrer eigenen IT-Sicherheit vorhalten kann. Wer auf den Test verzichtet, verzichtet auf die wichtigste Erkenntnis: ob die eigene Verteidigung im Ernstfall hält.

Über den Autor: Rainer Albrecht ist Geschäftsführer der GEMAKOM GmbH IT & Telekommunikation in Ketsch (Baden-Württemberg) und begleitet seit über 30 Jahren mittelständische Unternehmen, Kommunen und Versorger in der Metropolregion Rhein-Neckar bei IT-Security, Infrastruktur und Cloud. Sein Arbeitsschwerpunkt 2026 liegt auf NIS2-Compliance und Penetrationstests als strategischem Sicherheitsinstrument für den Mittelstand.

KI in der IT-Sicherheit

BurpGPT hilft bei Penetrationstests

(ID:50941791)