Ein Informationsangebot für Unternehmen, Behörden und Dienstleister, welche Penetrationstests planen, durchführen lassen oder in Auftrag geben möchten.
Der Bundesverband IT-Sicherheit e.V. hat eine Handreichung zu Penetrationstests veröffentlicht, welche demnach vom TeleTrusT-Arbeitskreis „PenTests“ erarbeitet wurde und sich an Unternehmen, Behörden und Dienstleister richtet, welche Penetrationstests planen, durchführen lassen oder in Auftrag geben möchten. Diese aktuelle Version soll praktische Ratschläge geben und dabei helfen, Penetrationstests gut zu organisieren und Gesetze sowie Standards zu beachten.
Erfüllung spezifischer Compliance-Anforderungen mittels Penetrationstests
Mit Hilfe von Penetrationstests können Unternehmen und Institutionen Aspekte ihrer IT-Sicherheit systematisch prüfen und verbessern.
Da IT-Systeme komplexer werden, die Gefahr durch Angriffe steigt und immer mehr spezifische Compliance-Anforderungen Penetrationstests einfordern, gewinnen diese zunehmend an Bedeutung.
Sie helfen dabei, frühzeitig aufzuzeigen, wo IT-Systeme und Anwendungen anfällig sind. Einmal aufgedeckt, können diese Schwachstellen dann behoben werden – möglichst noch bevor Angreifer sie ausnutzen.
„Penetrationstest“ bisher kein geschützter Begriff
Laut TeleTrusT gibt es mittlerweile eine Vielzahl von Dokumenten, welche versuchen zu beschreiben, was ein Penetrationstest überhaupt ist. Die Praxis aus vielen Anfragen und Ausschreibungen zeige indes, dass deren Definitionen nicht geeignet seien, ein ausreichendes Verständnis für Penetrationstestprojekte aufzubauen:
„Penetrationstest“ sei eben kein geschützter Begriff. Somit gebe es mittlerweile eine Vielzahl von Anbietern am Markt, die in sehr unterschiedlicher Güte und mit sehr unterschiedlicher Expertise Penetrationstests anbieten.
Im TeleTrusT-AK „PenTests“ hätten sich erfahrene Fachleute von Penetrationstestanbietern zusammengefunden, um nun gezielt eine praxisnahe Handreichung zu liefern.
Penetrationstests in methodisch sinnvoller Art und Weise durchführen können
Erklärtes Ziel ist es für den TeleTrusT, alle Interessierten, die Penetrationstests in einer methodisch sinnvollen Art und Weise durchführen wollen, sowie Auditoren, die die zielführende Ausführung von Penetrationstests bewerten müssen, zu unterstützen.
Jan-Tilo Kirchhoff, Leiter des TeleTrusT-AK „PenTests“, führt hierzu aus: „Ziel der jetzt veröffentlichten TeleTrusT-Handreichung ist, bei den Beteiligten ein gemeinsames Verständnis dafür zu schaffen, wie Penetrationstests geplant und durchgeführt werden können.“
Abschließend betont er: „Die Handreichung ist als zusätzliches Hilfsmittel zu den bestehenden gesetzlichen Vorgaben gedacht und stellt keinen Ersatz für individuelle technische oder rechtliche Beratung dar!“
Zentrale Erkenntnisse der DS-Redaktion
- Grundsätzlich sollte zur Einschätzung der Sicherheit eines IT-Systems von Schwachstellen ausgegangen werden – es gilt eben, sie rechtzeitig zu entdecken und zu beheben, bevor maliziöse Akteure diese missbrauchen können.
- Da der Begriff „Penetrationstest“ nicht eindeutig definiert ist, sollte sich jeder Betrieb bzw. jede Institution ein hauseigenes Regelwerk dafür aufstellen.
- Eine cyberkriminelle Penetration der IT-Systeme mag heute mehrheitlich virtuell aus der Entfernung erfolgen – dennoch sollte die Möglichkeit eines physischen Eindringens von Angreifern vor Ort im IT-Sicherheitskonzept berücksichtigt werden.
- Das Voranschreiten der Technik gebietet es, Penetrationstest als wiederkehrende Aufgabe aufzufassen und dementsprechend regelmäßig zu veranlassen.
- Neben reinen Technisch-Organisatorischen Maßnahmen (TOM) sollte stets auch der psychologische Aspekt ernst genommen werden – in diesem Zusammenhang sind regelmäßige Schulungen der Belegschaft, aber auch das Vorleben einer Sicherheitskultur durch die Entscheiderebene vorzusehen.
Fazit
Ein altes Sprichwort lautet: ,,Der Krug geht solange zum Brunnen, bis er bricht“ – übertragen auf IT-Systeme bedeutet dies, dass Hard-, Soft- und Orgware möglicherweise lange unter Alltagsbedingungen gut zu funktionieren scheinen, bis eben eines Tages inhärente Schwachstellen von Angreifern ausgenutzt werden. Beitreiber und Nutzer von IT-Systemen sollten diesen also stets voraus sein, Schwachstellen frühzeitig aufdecken und beheben.
Weitere Informationen
Bundesverband IT-Sicherheit e.V. TeleTrusT
Handreichung Penetrationstests 2026
DATENSICHERHEIT.DE, 10.06.2026
Faktor Mensch bleibt laut aktueller Cyberversicherungsstudie zentraler Angriffsvektor
DATENSICHERHEIT.DE, 18.05.2016
Penetrationtests: Notwendige, aber längst nicht hinreichende IT-Sicherheitsmaßnahme
