Hacking klingt nach dunklen Kellern und Kapuzenpullovern. Die Realität ist nüchterner – und deutlich spannender: Penetration Testing, kurz Pentesting, ist die legale und systematische Suche nach Schwachstellen in IT-Systemen. Unternehmen bezahlen dafür gutes Geld. Und wer es richtig lernt, versteht IT-Sicherheit auf eine Weise, die kein Lehrbuch vermitteln kann.
Was ist Penetration Testing?
Ein Penetrationstest ist ein autorisierter, simulierter Angriff auf ein IT-System. Ziel ist es, Sicherheitslücken zu finden, bevor echte Angreifer es tun. Der entscheidende Unterschied zum illegalen Hacking: die ausdrückliche Genehmigung des Eigentümers.
Pentester denken wie Angreifer – aber handeln im Auftrag der Verteidiger. Das Ergebnis ist ein Bericht mit gefundenen Schwachstellen, ihrer Kritikalität und konkreten Empfehlungen zur Behebung.
Die drei Arten von Pentests
Je nach Informationsstand des Testers unterscheidet man drei Ansätze:
| Typ | Informationsstand | Typischer Einsatz |
|---|---|---|
| Black Box | Keine Vorkenntnisse über das System | Simuliert externen Angreifer |
| Grey Box | Teilweise Informationen (z.B. Login-Daten) | Simuliert kompromittierten Nutzer |
| White Box | Vollständiger Zugang (Code, Architektur) | Gründliche interne Prüfung |
Der typische Ablauf eines Pentests
- Aufklärung (Reconnaissance): Informationen über das Ziel sammeln – öffentlich zugängliche Daten, DNS-Einträge, Mitarbeiterprofile, verwendete Technologien.
- Scanning: Offene Ports, laufende Dienste und bekannte Schwachstellen identifizieren. Tools wie Nmap oder Nessus kommen hier zum Einsatz.
- Exploitation: Gefundene Schwachstellen gezielt ausnutzen, um Zugang zu erlangen.
- Post-Exploitation: Was ist nach dem ersten Einbruch möglich? Lateral Movement, Datenexfiltration, persistenter Zugang?
- Reporting: Alle Befunde werden dokumentiert, bewertet und mit Handlungsempfehlungen versehen.
Die wichtigsten Tools im Überblick
Nmap – Netzwerkscanner
Nmap ist das Schweizer Taschenmesser der Netzwerkanalyse. Es erkennt offene Ports, laufende Dienste und Betriebssysteme:
nmap -sV -O 192.168.1.1Metasploit – Exploit-Framework
Metasploit ist das bekannteste Framework zum Testen und Ausnutzen von Schwachstellen. Es enthält Hunderte vorgefertigter Exploits. Wichtig: Ausschließlich auf eigenen oder freigegebenen Systemen einsetzen.
Burp Suite – Web Application Testing
Für das Testen von Webanwendungen ist Burp Suite der Standard. Es fungiert als Proxy zwischen Browser und Zielserver und ermöglicht das Abfangen und Manipulieren von HTTP-Anfragen. Besonders nützlich zum Auffinden von SQL-Injection, XSS und anderen OWASP-Top-10-Schwachstellen.
Wireshark – Netzwerkanalyse
Wireshark zeichnet Netzwerkverkehr auf und macht ihn sichtbar. Unverzichtbar, um zu verstehen, welche Daten unverschlüsselt übertragen werden – eine gute Ergänzung zum Thema VPN und Datenverschlüsselung.
Kali Linux – die Plattform für Pentester
Kali Linux ist die meistgenutzte Distribution für Sicherheitstests. Sie bringt über 600 vorinstallierte Security-Tools mit und ist speziell für Penetrationstests optimiert. Kali lässt sich als Live-System vom USB-Stick starten, als virtuelle Maschine oder als vollständiges System installieren.
Wer sich für Linux als tägliches Betriebssystem interessiert, findet in unserem Artikel Linux als sicheres Heimsystem einen guten Einstieg.
Legal oder illegal – wo ist die Grenze?
Die rechtliche Lage ist eindeutig: Penetrationstests ohne ausdrückliche schriftliche Genehmigung des Systeminhabers sind in Deutschland strafbar. § 202a StGB (Ausspähen von Daten) und § 303b StGB (Computersabotage) greifen unabhängig von der Absicht.
Wer legal üben will, nutzt:
- Eigene Laborumgebungen mit absichtlich verwundbaren virtuellen Maschinen
- Hack The Box – Online-Plattform mit legalen Übungszielen
- TryHackMe – anfängerfreundliche Lernpfade mit geführten Challenges
- VulnHub – kostenlose, absichtlich verwundbare VMs zum Download
Wie steigt man ein?
- Netzwerkgrundlagen verstehen: TCP/IP, DNS, HTTP, Ports und Protokolle sind das Fundament.
- Linux lernen: Die meisten Pentesting-Tools laufen auf Linux. Grundlegende Befehle und Berechtigungen sollte man im Schlaf kennen.
- Scripting lernen: Python oder Bash reichen für den Einstieg. Eigene Tools schreiben ist ein enormer Vorteil.
- Zertifizierungen anstreben: CEH, OSCP oder eJPT sind anerkannte Nachweise in der Branche.
- Üben, üben, üben: Hack The Box und TryHackMe bieten unendlich viele Szenarien für jeden Kenntnisstand.
Fazit
Penetration Testing ist eine der anspruchsvollsten und gefragtesten Disziplinen in der IT-Sicherheit. Es vereint technisches Tiefenwissen mit kreativem Denken – und wer es beherrscht, versteht Angriff und Verteidigung gleichermaßen. Der Einstieg ist heute leichter denn je: mit kostenlosen Plattformen, Open-Source-Tools und einer aktiven Community.
Wer seine Systeme schon jetzt besser absichern will, findet in unseren Artikeln zu Zwei-Faktor-Authentifizierung und Phishing erkennen konkrete erste Schritte.
