Pentest versus Vulnerability Scan TeleTrusT veröffentlicht Leitfaden für Penetrationstests

Anbieter zum Thema

Bundesverband IT-Sicherheit e.V. (TeleTrusT)

cidaas by Widas ID GmbH

sysob IT-Distribution GmbH & Co. KG

Der IT-Sicherheitsverband TeleTrusT veröffentlicht eine neue Handreichung für die Planung und Vergabe von Penetrationstests. Sie behandelt unter anderem Scoping, Dienstleisterauswahl und die Dokumentation.

Der Bundesverband IT-Sicherheit TeleTrusT hat eine 51-seitige Handreichung zu Pe­ne­t­ra­ti­ons­tests veröffentlicht. Sie richtet sich an Unternehmen, Behörden, Auditoren und Dienstleister, die entsprechende Prüfungen planen, beauftragen oder durchführen.

Der Verband warnt vor wachsender technischer Komplexität, der zunehmenden Be­dro­hungs­la­ge sowie neuen Compliance-Anforderungen. Die Handreichung soll laut TeleTrusT vor diesem Hintergrund ein gemeinsames Verständnis dafür schaffen, wie Pentest-Projekte methodisch geplant und durchgeführt werden können.

NIS2 macht Penetrationstests zum Standardinstrument

Ein Schwachstellenscan ersetzt keinen Pentest

Pentest ist mehr als ein automatisierter Scan

Ein Schwerpunkt der Handreichung liegt auf der Abgrenzung verschiedener Sicherheits­dienst­leis­tungen. Ein automatisierter Vulnerability Scan prüft Systeme auf bekannte Schwachstellen, ist nach Darstellung von TeleTrusT aber kein Penetrationstest. Bei einem Pentest bewerten Experten die Ergebnisse zusätzlich im jeweiligen Kontext, schließen Fehlalarme aus und prüfen bei Bedarf, ob und welche Auswirkungen eine Schwachstelle tatsächlich haben kann.

Das Dokument unterscheidet außerdem Penetrationstests von Vulnerability Assessments, kontinuierlichem Attack Surface Management, Audits und Red Teaming. Letzteres bewertet vor allem die Reaktions- und Abwehrfähigkeit einer Organisation gegenüber umfassenderen Angriffsszenarien. Ein Penetrationstest konzentriert sich dagegen auf klar definierte Ziele innerhalb eines begrenzten Zeitraums.

Vom Security Assessment zum Penetrationstest

Wann ein Pentest sinnvoll ist

Scope, Risiko und Bericht früh festlegen

TeleTrusT empfiehlt, vor einem Test die Prüfziele, den Ausgangspunkt, die Berechtigungen, den Zeitraum und die zulässigen Methoden festzulegen. Auftraggeber sollten zudem rechtliche Genehmigungen, Zuständigkeiten, Kommunikationswege und Eskalationswege klären. Dies gilt insbesondere für Tests produktiver oder besonders kritischer Systeme, bei denen Betriebs­störungen nicht vollständig ausgeschlossen werden können.

Die Handreichung behandelt verschiedene Testmodule, darunter Prüfungen extern er­reich­barer IP-Adressen, interner Netzbereiche, Active Directory, Microsoft Entra ID, mobiler Anwendungen, Endgeräte und Webanwendungen. Für diese Szenarien beschreibt der Verband jeweils mögliche Schwerpunkte sowie Angaben, die für eine sinnvolle Ausschreibung erforderlich sind.

Ein weiterer Schwerpunkt liegt auf der Dokumentation. Ein Pentest-Bericht sollte unter anderem Testziel, Umfang, Vorgehensweise, Schwachstellen, deren Bewertung und priorisierte Empfehlungen enthalten. TeleTrusT hebt hervor, dass die konkrete Risikobewertung letztlich beim Auftraggeber liegt, weil nur dieser den geschäftlichen Kontext und den Schutzbedarf vollständig beurteilen kann.

Interview mit Dr. Jürgen Dürrwang, Head of Pentesting bei ITK Engineering

Pentesting ist geduldiges Handwerk und ein bisschen Kunst

Auswahl von Dienstleistern und KI-Einsatz

Da „Penetrationstest“ kein geschützter Begriff ist, widmet die Handreichung der Dienst­lei­ster­aus­wahl ein eigenes Kapitel. Unternehmen sollten nach Einschätzung des Arbeitskreises nicht nur Zertifikate, sondern auch technische Kompetenz, Praxiserfahrung, Referenzen, Methodik, sichere Kommunikationswege und die Qualität der Berichterstattung bewerten. Dazu stellt TeleTrusT eine Entscheidungsmatrix als Vorschlag bereit.

Auch der Einsatz von Künstlicher Intelligenz in Penetrationstests wird behandelt. KI könne etwa bei der Analyse großer Datenmengen, der Priorisierung von Ergebnissen und der Do­ku­men­ta­ti­on unterstützen. Die fachliche Bewertung durch erfahrene Tester bleibe jedoch erforderlich. TeleTrusT verweist dabei auf Risiken wie falsche Ergebnisse, fehlenden organisatorischen Kontext, mögliche unbeabsichtigte Belastungen der Testobjekte sowie Datenabfluss- und Compliance-Risiken bei Cloud-basierten KI-Diensten.

Die Handreichung „Penetrationstests 2026“ steht auf der TeleTrusT-Website zum Download bereit.

KI-Tools als Helfer für Sicherheitsspezialisten

Pentests mit KI erfolgreich automatisieren

(ID:50947469)