Penetrationstests für KMU: Lohnt sich das?

Die Frage kommt meist aus zwei Richtungen: Entweder hat ein Kunde, eine Versicherung oder ein Auditor nach einem Penetrationstest gefragt, oder die Berichte über Angriffe auf mittelständische Firmen haben die Geschäftsführung aufgeschreckt. Beides sind legitime Anlässe, aber keiner beantwortet die eigentliche Frage: Bringt ein simulierter Angriff auf das eigene Netz einem Unternehmen mit überschaubarer IT tatsächlich etwas, oder ist das Geld anders besser angelegt? Die ehrliche Antwort lautet: Es kommt darauf an, was vorher im Unternehmen passiert ist.

Was ein Penetrationstest leistet – und was nicht

Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf die eigene IT. Ein Spezialist versucht mit den Methoden echter Angreifer, in Systeme einzudringen, Rechte auszuweiten oder an Daten zu gelangen – mit schriftlicher Erlaubnis, festgelegtem Rahmen und ohne Schaden anzurichten. Das Ergebnis ist ein Bericht, der zeigt, welche Wege ein Angreifer tatsächlich gehen könnte, statt nur aufzulisten, welche Schwachstellen theoretisch existieren.

Das unterscheidet ihn vom automatisierten Schwachstellen-Scan. Ein Scan durchsucht Systeme nach bekannten Lücken und liefert eine Trefferliste. Ein Pentester denkt wie ein Angreifer: Er kombiniert mehrere kleine Schwächen zu einem Angriffspfad, prüft, ob das Passwort aus der Buchhaltung auch am Server funktioniert, und testet, ob Mitarbeiter auf eine gefälschte Anmeldeseite hereinfallen. Beides hat seinen Platz, aber wer einen Scan kauft und einen Pentest erwartet, bezahlt für das falsche Ergebnis.

Was ein Pentest nicht leistet: Er macht das Netz nicht sicherer. Er zeigt nur, wo es unsicher ist. Sicherheit entsteht erst, wenn die gefundenen Probleme behoben werden.

Wann sich der Test lohnt

Ein Penetrationstest lohnt sich, wenn drei Voraussetzungen erfüllt sind.

Erstens stehen die Grundlagen: Updates werden zeitnah eingespielt, Backups existieren und werden auf ihre Wiederherstellung getestet, Zugänge sind mit Mehr-Faktor-Authentifizierung abgesichert, Benutzerrechte sind eingeschränkt, und die Systeme sind dokumentiert. In diesem Zustand liefert der Test echte Erkenntnisse, weil er die verbleibenden, nicht offensichtlichen Schwächen aufdeckt.

Zweitens gibt es einen konkreten Anlass. Typisch sind Anforderungen aus Kundenverträgen, etwa wenn ein Großkunde von seinen Lieferanten Sicherheitsnachweise verlangt, die Vorbereitung auf eine Zertifizierung nach ISO 27001 oder branchenspezifische Prüfungen wie TISAX im Automobilumfeld, Auflagen einer Cyberversicherung, größere Veränderungen der IT wie eine neue Software, ein Umzug in die Cloud oder eine Firmenübernahme – oder der Verdacht, dass bereits jemand im Netz war.

Drittens ist jemand da, der die Ergebnisse umsetzt. Ein Bericht, der im Schrank liegt, ist rausgeworfenes Geld.

Wann Sie das Geld besser anders ausgeben

Ein Penetrationstest auf ein Netz ohne Grundlagen ist wie eine Einbruchssimulation in einem Haus ohne Türschloss: Der Tester wird hereinkommen, und der Bericht wird Dinge bestätigen, die man auch ohne ihn wissen könnte. Wenn keine Patchprozesse existieren, Backups nie getestet wurden, alle Mitarbeiter mit Administratorrechten arbeiten und dieselben Passwörter überall gelten, dann investieren Sie zuerst in diese Punkte. Das bringt mehr Sicherheit pro eingesetztem Euro.

Ebenso wenig lohnt sich der Test als reine Alibi-Maßnahme, um gegenüber Kunden ein Papier vorweisen zu können, ohne etwas ändern zu wollen. Und er ersetzt keine laufende Absicherung: Ein Pentest ist eine Momentaufnahme. Wer danach nichts weiter unternimmt, steht bald wieder vor einem ungeprüften Netz.

So bereiten Sie den Test vor

Bevor Sie Angebote einholen, klären Sie intern vier Punkte:

• Ziel: Was soll geprüft werden – das interne Netz, der Außenauftritt, eine bestimmte Anwendung, die Reaktion der Mitarbeiter auf Phishing? Je klarer das Ziel, desto vergleichbarer die Angebote.
• Verantwortung: Bestimmen Sie eine Person, die dem Tester als Ansprechpartner zur Verfügung steht und später die Umsetzung der Maßnahmen verfolgt. In kleinen Unternehmen ist das oft der IT-Verantwortliche oder der externe IT-Betreuer; die Entscheidung über Budget und akzeptierte Risiken bleibt Geschäftsführersache.
• Rahmenbedingungen: Legen Sie fest, welche Systeme tabu sind, etwa Produktionsanlagen, deren Ausfall teuer wäre, zu welchen Zeiten getestet werden darf und wer im Notfall informiert wird.
• Rechtliches: Der Test braucht eine schriftliche Beauftragung mit klarem Umfang. Ohne diese Vereinbarung handelt es sich juristisch um einen unbefugten Angriff – für beide Seiten.

Fragen, die Sie dem Anbieter stellen sollten

Seriöse Anbieter erkennen Sie daran, dass sie zuerst Fragen stellen, statt sofort ein Angebot zu schicken. Stellen Sie selbst diese Fragen:

• Wie sieht die Methodik aus, und orientiert sie sich an anerkannten Vorgehensweisen?
• Wer führt den Test durch, und welche Qualifikationen hat diese Person? Zertifizierungen wie OSCP oder vergleichbare praxisorientierte Nachweise sind ein Hinweis, keine Garantie.
• Was steht im Bericht? Verlangen Sie eine anonymisierte Beispielversion. Ein guter Bericht beschreibt jeden Befund, seine Auswirkung, den Nachweis und eine konkrete Empfehlung zur Behebung – sortiert nach Dringlichkeit.
• Ist ein Nachtest enthalten, der prüft, ob die gemeldeten Lücken geschlossen wurden?
• Wie geht der Anbieter mit Funden um, die sofortiges Handeln erfordern, etwa einer offen erreichbaren Datenbank?
• Wie werden die während des Tests erlangten Zugangsdaten und Informationen nach dem Auftrag gelöscht?

Warnsignale im Angebot und während des Tests

Vorsicht ist geboten, wenn der Anbieter kein Gespräch über Umfang und Ziele führen will, wenn der vermeintliche Pentest nur aus dem Ausdruck eines Scan-Werkzeugs besteht, wenn keine schriftliche Beauftragung mit Regeln vorgesehen ist oder wenn der Bericht Befunde ohne Nachweis und ohne Handlungsempfehlung auflistet. Auch ein Test, bei dem niemand aus Ihrem Haus eingebunden ist, ist ein schlechtes Zeichen: Seriöse Tester stimmen kritische Schritte ab, bevor sie Systeme belasten.

Während des Tests sollte der Anbieter erreichbar sein und Zwischenstände melden. Wenn Ihre Systeme ausfallen und niemand vom Anbieter Bescheid weiß, stimmt die Abstimmung nicht.

Nach dem Test beginnt die eigentliche Arbeit

Der Bericht ist der Anfang, nicht das Ende. Planen Sie direkt nach der Übergabe eine Sitzung, in der die Befunde priorisiert werden: Was wird sofort behoben, was in den nächsten Wochen, was nimmt man bewusst in Kauf? Nicht jeder Befund muss beseitigt werden – aber die Entscheidung, ein Risiko zu akzeptieren, gehört in die Geschäftsführung und sollte schriftlich festgehalten werden. Lassen Sie die wichtigsten Korrekturen im Nachtest bestätigen, und legen Sie fest, wann der nächste Test sinnvoll ist: nach größeren Veränderungen oder in regelmäßigen Abständen, nicht nach Gefühl.

Fazit

Für kleine und mittlere Unternehmen lohnt sich ein Penetrationstest, wenn die grundlegende Absicherung steht, ein konkreter Anlass besteht und jemand die Ergebnisse umsetzt. Ohne diese Voraussetzungen ist das Budget in Patchmanagement, Backups, Schulungen und Zugangskonzepten besser angelegt. Wer die Reihenfolge einhält, bekommt vom Pentest genau das, was er verspricht: einen ehrlichen Blick darauf, wie weit ein Angreifer käme – und eine belastbare Liste, was dagegen zu tun ist.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.