Wie lange dauert ein Penetrationstest?

Das hängt von Angriffsfläche, Rollen und Testtiefe ab. Kleine klar abgegrenzte Anwendungen können in wenigen Testtagen geprüft werden, komplexe Plattformen brauchen deutlich mehr Zeit und Vorbereitung.

Black Box, Grey Box oder White Box?

Black Box startet mit wenig Vorwissen, Grey Box mit vereinbarten Zugängen und White Box mit tiefer technischer Einsicht. Für viele Geschäftsanwendungen liefert Grey Box ein gutes Verhältnis aus realistischer Sicht und fachlicher Tiefe.

Kann ein Test den Betrieb stören?

Ja, aktive Prüfungen können Risiken erzeugen. Deshalb werden Zeitfenster, erlaubte Methoden, Ansprechpartner und Abbruchkriterien vorab vereinbart.

Ist ein automatischer Scan ein Penetrationstest?

Nein. Scanner unterstützen die Prüfung, ersetzen aber nicht die manuelle Bewertung von Rollen, Geschäftslogik, Angriffsketten und tatsächlicher Wirkung.

Ist ein Nachtest notwendig?

Er ist sehr sinnvoll, weil er prüft, ob die konkrete Schwachstelle wirksam behoben wurde. Umfang und Zeitraum sollten bereits im ursprünglichen Auftrag geklärt werden.

Cybersecurity9 Min. Lesezeitaktualisiert 11.8.2026

Penetrationstest: Ablauf, Umfang, Kostenfaktoren und Nachtest

Von Nico Freitag, Geschäftsführer, Cybersecurity und Governance

DIE KURZE ANTWORT

Ein belastbarer Penetrationstest beginnt mit einem schriftlichen Ziel, einem abgegrenzten Prüfbereich, erlaubten Methoden, Ansprechpartnern und Abbruchkriterien. Der Aufwand hängt vor allem von Angriffsfläche, Rollen, Schnittstellen, Testtiefe und benötigten Nachweisen ab. Zum Abschluss gehören priorisierte Funde, reproduzierbare Nachweise, Maßnahmen und ein Nachtest.

Was wird vor dem Test festgelegt?

Auftraggeber und Tester definieren Systeme, Konten, Rollen, Schnittstellen, Zeitfenster und ausdrücklich ausgeschlossene Aktionen. Dazu gehören erreichbare Notfallkontakte, erlaubte Testdaten und Abbruchkriterien. Das BSI fordert für Penetrationstests ein Konzept mit Rahmenbedingungen, Methoden und Erfolgskriterien. Dieser Rahmen schützt den Betrieb und verhindert, dass ein technisch guter Test am falschen Ziel arbeitet.

Wie wird der Prüfumfang bestimmt?

Eine Webanwendung besteht nicht nur aus sichtbaren Seiten. Anmeldung, Rollen, APIs, Dateiuploads, Administrationswege und angebundene Dienste gehören zur Angriffsfläche. Der OWASP Web Security Testing Guide strukturiert die Prüfung von Informationsgewinnung bis zu konkreten Anwendungskontrollen. Der OWASP ASVS kann zusätzlich als vertraglich benennbare Anforderungsbasis dienen. Umfang und Prüftiefe müssen deshalb vor dem Angebot nachvollziehbar beschrieben werden.

Welche Faktoren bestimmen die Kosten?

Entscheidend sind Zahl und Art der Systeme, Nutzerrollen, Schnittstellen, technische Vielfalt, gewünschte Testtiefe, vorhandene Dokumentation und der Berichtsumfang. Ein Test mit Quellcodezugang kann in derselben Zeit tiefer prüfen als ein reiner Black-Box-Test, ist aber ein anderes Prüfmodell. Eine belastbare Kalkulation nennt Annahmen und Grenzen, statt eine pauschale Zahl für jede Anwendung zu versprechen.

Was gehört in Bericht und Nachtest?

Jeder relevante Fund braucht eine verständliche Wirkung, einen reproduzierbaren Nachweis, betroffene Komponenten und eine umsetzbare Empfehlung. Die Priorität richtet sich nicht nur nach einem automatischen Score, sondern auch nach realer Ausnutzbarkeit und Geschäftsauswirkung. Nach der Behebung prüft der Nachtest, ob die konkrete Angriffsmöglichkeit geschlossen wurde und ob die Korrektur neue Probleme erzeugt hat.

Quellen und Grundlage

Zentrale Aussagen dieses Beitrags wurden anhand der folgenden Primärquellen geprüft.

Häufige Fragen

Wie lange dauert ein Penetrationstest?: Das hängt von Angriffsfläche, Rollen und Testtiefe ab. Kleine klar abgegrenzte Anwendungen können in wenigen Testtagen geprüft werden, komplexe Plattformen brauchen deutlich mehr Zeit und Vorbereitung.
Black Box, Grey Box oder White Box?: Black Box startet mit wenig Vorwissen, Grey Box mit vereinbarten Zugängen und White Box mit tiefer technischer Einsicht. Für viele Geschäftsanwendungen liefert Grey Box ein gutes Verhältnis aus realistischer Sicht und fachlicher Tiefe.
Kann ein Test den Betrieb stören?: Ja, aktive Prüfungen können Risiken erzeugen. Deshalb werden Zeitfenster, erlaubte Methoden, Ansprechpartner und Abbruchkriterien vorab vereinbart.
Ist ein automatischer Scan ein Penetrationstest?: Nein. Scanner unterstützen die Prüfung, ersetzen aber nicht die manuelle Bewertung von Rollen, Geschäftslogik, Angriffsketten und tatsächlicher Wirkung.
Ist ein Nachtest notwendig?: Er ist sehr sinnvoll, weil er prüft, ob die konkrete Schwachstelle wirksam behoben wurde. Umfang und Zeitraum sollten bereits im ursprünglichen Auftrag geklärt werden.