Ein Pentest ist eines der am häufigsten verkauften und am schlechtesten genutzten Sicherheitswerkzeuge im KMU-Markt. Zu spät, zu früh oder mit dem falschen Umfang bestellt, verwandelt er sich in einen teuren Bericht, der in einer Schublade landet. Er sollte der Moment sein, an dem du erfährst, wo du wirklich stehst.
In den letzten zwei Jahren haben wir dasselbe Muster mehrfach gesehen. Ein Versicherer oder ein großer Kunde trägt „jährlicher Penetrationstest verpflichtend" in einen Fragebogen ein. Der Inhaber ruft seinen IT-Dienstleister an, bekommt ein Angebot über 15.000–20.000 PLN, unterschreibt. Drei Wochen später kommt ein 40-seitiger Bericht, in dem die ersten fünf Befunde lauten: RDP offen auf öffentlicher IP, kein MFA am Admin-Konto, Standardpasswort am Router, ungepatchter Windows Server 2012, keine Netzsegmentierung. Fazit: die Firma ist verwundbar. Preis dieser Erkenntnis: 18.000 PLN netto.
Das Problem ist nicht der Pentest. Das Problem ist die Reihenfolge.
Was ein Pentest wirklich prüft
Ein Penetrationstest ist ein simulierter Angriff, ausgeführt von einem Menschen (oder einem Team), der versucht, ein konkretes System in einem definierten Rahmen zu kompromittieren. Das ist nicht dasselbe wie ein Schwachstellenscan — ein Scanner prüft „gilt CVE-2024-xxxxx hier". Ein Pentester prüft „kann ich aus diesem CVE auf den Datenbankserver springen und Daten rausziehen".
Halte die beiden auseinander. Angebote verwischen die Grenze absichtlich.
- Schwachstellenscan — ein automatisches Werkzeug (Nessus, OpenVAS, Qualys) läuft IPs oder Anwendungen ab und gleicht Signaturen. Kosten: 2.000–5.000 PLN. Wiederholbar, günstig, kontextblind.
- Penetrationstest — ein Mensch mit Werkzeugen, der wie ein Angreifer denkt. Findet Ketten kleiner Fehler, die ein Scanner übersieht. Kosten: 15.000–60.000 PLN je nach Umfang. Wertvoll — aber nur, wenn es etwas zu testen gibt.
- Red Team — die Simulation eines realen Angreifers über Wochen, mit Phishing, physischem Zugang, MFA-Bypass-Versuchen. Kosten: 80.000 PLN aufwärts. Im KMU praktisch nie sinnvoll.
Die meisten Unternehmen, die „einen Pentest wollen", brauchen zuerst einen Schwachstellenscan und einen halben Tag Architekturgespräch. Der Pentest eines konkreten Assets kommt danach.
Wann ein Pentest sinnvoll ist
Ein Penetrationstest ist sein Geld wert, wenn drei Bedingungen gleichzeitig erfüllt sind:
- Du hast die Basics gemacht. MFA auf allen Konten mit Adminrechten, EDR auf allen Endgeräten, 3-2-1-Backup mit Wiederherstellungstest, Patches im Rhythmus, Passwörter im Manager, Netzsegmentierung zwischen Büro und Serverraum. Ohne das bestätigt der Pentest nur, was du ohnehin weißt.
- Du weißt, was du testest. Eine konkrete Anwendung (B2B-Portal, Shop, Kundenportal), eine konkrete Infrastruktur (Produktivumgebung, ein bestimmtes Netz), ein konkretes Szenario (Angriff aus dem Internet, Insider mit Mitarbeiterkonto). „Testet uns die Firma" ist kein Umfang.
- Du weißt, was du mit dem Ergebnis machst. Es gibt eine Person oder einen Dienstleister, der den Bericht nimmt, Prioritäten setzt und die Fehler behebt. Ändert sich nach dem Bericht nichts, war das ein teures Spielzeug, kein Audit.
Ein Beispiel, bei dem sich der Pentest gelohnt hat. Ein 30-köpfiges Logistikunternehmen hat für seine Partner ein B2B-Portal gebaut — Login, Bestellungen, Rechnungseinsicht. Vor dem Go-live haben sie einen Applikations-Pentest genau für dieses Portal bestellt. Kosten: 22.000 PLN, zwei Wochen Arbeit. Ergebnis: zwei schwere Autorisierungsfehler (Nutzer A konnte die Bestellungen von Nutzer B sehen, wenn er einen URL-Parameter änderte), eine SQL-Injection in der Suche, ein paar kleinere Sachen. Aufwand für die Behebung: 40 Entwicklerstunden. Ohne Pentest wäre das Portal in Produktion gegangen, und laut ihrem Anwalt hätten sie nach dem ersten Kundendatenleck einen sechsstelligen Zivilprozess plus Meldung an die Datenschutzbehörde zu erwarten gehabt.
Wann es rausgeworfenes Geld ist
Ein Pentest ist verlorenes Geld in ein paar wiederkehrenden Konstellationen:
- Du hast die Basics nicht. Wenn MFA nur am Konto des Geschäftsführers hängt, das Backup zuletzt vor zwei Jahren getestet wurde und der Drucker noch das Standardpasswort hat — der Pentest zeigt dir das für 20.000 PLN. Für dasselbe Geld bekommst du EDR auf 30 Stationen für zwei Jahre, eine Grundsegmentierung und einen Passwort-Manager. Du bist danach wirklich sicherer, statt nur bezahlt zu haben, um zu hören, dass du es nicht bist.
- Der Umfang ist „die ganze Firma". Ohne klares Ziel verteilt sich der Pentester in die Breite. Er findet die einfachen Dinge und übersieht die schweren. Du zahlst für einen breiten, flachen Bericht statt für einen schmalen, tiefen.
- Es gibt niemanden, der die Befunde behebt. Wir haben ein 12-köpfiges Handelsunternehmen gesehen, das einen Bericht mit 47 Befunden bekommen hat. Kein IT-Team, kein Plan, kein Reparaturbudget. Ein Jahr später wurde der nächste Pentest bestellt — dieselben 47 Befunde, ein Jahr später. Der Chef hatte „jährliches Sicherheitsaudit" auf der Liste des Versicherers. Verändert hat sich nichts — außer dem Kontostand.
- Du machst es „weil der Kunde es verlangt" und niemand prüft nach. Dann brauchst du einen günstigen Schwachstellenscan und eine Unterschrift auf dem Fragebogen, keinen echten Pentest. Das ist kein Betrug — das ist gesunder Menschenverstand. Will der Kunde ein Zertifikat, kauf ein Zertifikat. Will er ein echtes Ergebnis, kauf einen echten Test.
Die Anti-Hype-Version ist einfach: ein Pentest ist niemandes erster Schritt in der Sicherheit. Er ist die Kontrolle, dass die ersten Schritte richtig gemacht wurden.
Wie man den Dienstleister wählt
Der Markt spaltet sich in zwei Extreme: Garagen-„Hacker", die einen Pentest für 4.000 PLN verkaufen (und du bekommst einen Nikto-Bericht), und große Prüfgesellschaften, die OSSTMM-Methodik für 60.000 PLN verkaufen und einen Junior für zwei Tage schicken. Die Mitte — gute Spezialisten mit klarem Umfang — existiert, aber sie muss gesucht werden.
- Fordere einen anonymisierten Musterbericht an. Ein guter Bericht hat eine Schritt-für-Schritt-Reproduktion, eine Impact-Bewertung, eine konkrete Empfehlung. Bekommst du „eine Liste von Schwachstellen" ohne Kontext — das ist ein Scanner, kein Pentest.
- Frage, wer konkret testet. Vor- und Nachname, Zertifikate (OSCP, CRT, GPEN), Erfahrung. Nicht „unser Team".
- Halte den Umfang schriftlich fest. Konkrete IPs, konkrete Domains, konkrete Anwendungen, konkrete Uhrzeiten. Alles außerhalb steht außerhalb des Vertrags.
- Vereinbare einen Retest nach der Behebung. Im Preis oder gegen einen kleinen Aufschlag. Ohne Retest weißt du nicht, ob der Fix die Lücke wirklich geschlossen hat.
Was nach dem Bericht kommt
Der Bericht ist der Anfang, nicht das Ende. Öffne ihn am Tag des Eingangs und teile die Befunde in drei Töpfe: „diese Woche beheben" (kritisch, aus dem Internet ausnutzbar), „dieses Quartal beheben" (schwer, aber größerer Aufwand), „Risiko akzeptiert" (bewusste Entscheidung, begründet und aufgeschrieben). Diese Aufteilung liegt in einer Datei, nicht im Kopf.
Nach drei Monaten kommt der Retest. Nach einem Jahr überleg, ob überhaupt der nächste volle Pentest nötig ist oder ob ein Scan plus ein gezielter Test der Änderungen reicht. Nicht jedes Jahr braucht denselben Umfang.
Wenn du unsicher bist, ob deine Firma reif für einen Pentest ist oder eher dafür, die Basics zu ordnen — eine halbe Stunde Gespräch sollte reichen, um das zu klären. Ohne 20.000-PLN-Angebot zur Begrüßung.
Ein Pentest ist nicht der erste Schritt in der Sicherheit. Er ist die Kontrolle, dass die ersten Schritte richtig gemacht wurden.