Was ist Penetration Testing? Legal und ethisch
Ein Penetrationstest (kurz: Pentest) ist ein autorisierter, simulierter Angriff auf ein IT-System oder eine Anwendung – durchgeführt, um Sicherheitsschwachstellen zu finden, bevor echte Angreifer es tun. Das Schlüsselwort ist autorisiert: Ohne explizite schriftliche Genehmigung des Systemeigentümers ist genau dieselbe Tätigkeit eine Straftat. Penetration Testing ist das Werkzeug; die Erlaubnis ist der Unterschied zwischen Sicherheitsexperte und Kriminellem.
In Deutschland ist das rechtliche Fundament eindeutig: §202a–c StGB (Ausspähen von Daten, Abfangen von Daten, Vorbereitung einer Computerstraftat) macht den Zugriff auf fremde IT-Systeme ohne Erlaubnis strafbar – unabhängig von der Absicht. „Ich wollte nur Schwachstellen finden" ist keine Verteidigung. Der IT-Rechts-Rahmen ist hier unmissverständlich.
1) Die Hacker-Typen: White, Grey, Black Hat
In der Sicherheitsbranche hat sich eine Farbmetapher etabliert, die die Motivation und Legalität von Hacking beschreibt. Diese Begriffe tauchen in der IHK-Prüfung auf und sind in der Branche allgemein verständlich.
2) Rechtliche Voraussetzungen: was muss vor dem Pentest vorliegen
Ein professioneller Pentest beginnt lange vor dem ersten Nmap-Scan mit rechtlicher Absicherung. Die folgende Checkliste zeigt, was zwingend vorliegen muss, was empfohlen wird, und was einen Pentest sofort illegitim macht.
3) Scope-Dokument: was ist In-Scope, was Out-of-Scope
Das Scope-Dokument ist das wichtigste rechtliche Instrument eines Pentests. Es definiert exakt, was getestet werden darf – und was nicht. Ein gut definierter Scope schützt sowohl den Kunden als auch den Tester.
4) Pentest-Typen nach Wissensstand
| Typ | Wissensstand des Testers | Typischer Einsatz |
|---|---|---|
| Black Box | Kein Vorwissen – wie ein echter externer Angreifer | Realitätsnähe, externe Angriffssimulation |
| White Box | Voller Zugriff: Code, Architektur, Zugangsdaten | Tiefe Code-Analyse, maximale Abdeckung |
| Grey Box | Teilwissen: z.B. normaler Nutzeraccount | Kompromiss aus Realitätsnähe und Tiefe |
| Red Team | Kein Vorwissen, aber längere Kampagne mit sozialen Angriffsvektoren | Gesamte Verteidigungsfähigkeit testen |
Zusammenfassung
Penetration Testing ist autorisiertes ethisches Hacking zur Schwachstellenfindung. Ohne schriftliche Erlaubnis: Straftat nach §202a StGB. White Hat = autorisiert, Grey Hat = ohne Erlaubnis aber gute Absichten (trotzdem illegal), Black Hat = kriminell. Zwingend vor jedem Pentest: Scope-Dokument, Zeitfenster, Notfall-Kontakt, Genehmigung aller betroffenen Systemeigentümer. Typen: Black Box, White Box, Grey Box, Red Team. Details zum Ablauf: Phasen eines Pentests.