Zweck eines Penetrationstests
Beim Penetrationstest wird überprüft, wie gut Systeme, Anwendungen und Dienste gegen technische Angriffe geschützt sind. Dabei geht es nicht um „Hacking um jeden Preis“, sondern um eine methodische Untersuchung nach anerkannten Vorgehensweisen. Die Ergebnisse dienen als Entscheidungsgrundlage für technische Verbesserungen, Priorisierungen und interne Sicherheitsprozesse.
Externer Penetrationstest
Ein externer Penetrationstest bewertet öffentlich erreichbare Systeme eines Unternehmens, beispielsweise:
- Webserver und Webanwendungen
- Portale, APIs oder Remote-Zugänge
- E-Mail-, DNS- und Cloud-Services
- Allgemein sichtbare Infrastrukturkomponenten
Interner Penetrationstest
Wenn ein Unternehmen zusätzlich die interne Umgebung prüfen möchte, kann ein interner Test durchgeführt werden. Dieser erfolgt über einen kontrollierten Zugangspunkt innerhalb des Netzwerks. Dabei werden unter anderem überprüft:
- interne Server und Arbeitsstationen
- Zugriffsrechte und Segmentierung
- interne Anwendungen und Datenablagen
- Konfiguration von Benutzerkonten und Sicherheitsrichtlinien
Was wird bei einem Penetrationstest getestet?
Was Sie erhalten
- Netzwerk-Penetrationstest – interne und externe Systeme, Firewalls, VPNs, Wireless-Infrastruktur
- Web- & API-Security-Test – OWASP Top 10, Authentifizierung, Session Handling, Injection-Angriffe
- Cloud & SaaS Audit – Sicherheitskonfigurationen in M365, AWS, Google Cloud, Azure
- Social-Engineering-Test – Phishing-Kampagnen, Awareness, Mitarbeitersensibilisierung
- KI-System- & Prompt-Injection-Test – Prüfung von LLM-Integrationen und Datenschutzrisiken
- Abschlussbericht – Schwachstellen, Risikoanalyse, Handlungsempfehlungen, Management Summary
Typische Einsatzszenarien
- Überprüfung der IT-Sicherheitsmassnahmen nach ISO 27001 oder NIST CSF
- Vorbereitung auf Audits, Compliance oder Kundenanforderungen
- Test vor Inbetriebnahme neuer Systeme oder Webapplikationen
- Simulation realistischer Angriffe (Red Team / Adversary Simulation)
- Risikoabschätzung bei Einsatz von KI- oder Cloud-Technologien
Methodik, Standards
Häufige Fragen zum Penetrationstest
Was ist ein Penetrationstest?
Ein Penetrationstest auch Pentest genannt ist eine kontrollierte Sicherheitsüberprüfung, bei der IT-Spezialisten gezielt Angriffe simulieren, um Schwachstellen in Systemen, Netzwerken oder Webanwendungen zu identifizieren, bevor reale Angreifer sie ausnutzen können.
Wie läuft ein Penetrationstest ab?
Ein Pentest folgt einem strukturierten Prozess: Nach der Zieldefinition erfolgt die Informationssammlung, anschliessend die Schwachstellenanalyse und – falls erlaubt – ein kontrollierter Exploit-Versuch. Am Ende erhalten Sie einen Bericht mit Risiko- und Handlungsempfehlungen.
Welche Systeme können getestet werden?
Geprüft werden können nahezu alle Systeme und Anwendungen, darunter:
- Netzwerke, Firewalls und VPN-Infrastrukturen
- Web- und API-Applikationen (nach OWASP Top 10)
- Cloud-Umgebungen (z. B. Microsoft 365, AWS, Google Cloud, Azure)
- KI-Systeme und LLM-Integrationen
- Mobile Apps und interne Anwendungen
Wie oft sollte ein Penetrationstest durchgeführt werden?
Empfohlen ist mindestens ein Test pro Jahr oder nach grösseren Änderungen an Infrastruktur, Applikationen oder Cloud-Diensten. Bei stark exponierten Systemen (z. B. Webshops, APIs, KI-Integrationen) ist eine regelmässige Überprüfung sinnvoll.
Ist ein Penetrationstest gefährlich für mein System?
Nein. Seriöse Tests erfolgen unter klar definierten Bedingungen und in enger Abstimmung mit dem Auftraggeber. Produktionssysteme werden dabei nicht beeinträchtigt; alle Tests sind dokumentiert und rückverfolgbar.
Wie lange dauert ein Penetrationstest?
Die Dauer hängt von Umfang und Komplexität ab. Ein kompakter Web- oder Netzwerktest dauert in der Regel 1 – 3 Tage, umfangreiche Projekte (z. B. Red-Team-Simulationen) können mehrere Wochen beanspruchen.
Was kostet ein Penetrationstest?
Der Preis richtet sich nach Systemumfang und Prüfmethodik. Ein einfacher Einstiegstest beginnt ab CHF 1500.– (exkl. MwSt.). Nach einer kurzen Analyse erstellen wir ein verbindliches Angebot mit Leistungsumfang und Zeitaufwand.
Was passiert nach dem Test?
Sie erhalten einen detaillierten Bericht mit allen gefundenen Schwachstellen, Prioritäten, technischen Details und Handlungsempfehlungen. Auf Wunsch unterstützen wir bei der Behebung oder führen einen Retest zur Verifikation durch.
