Was ist ein Penetrationstest?
Ein Penetrationstest – auch Pentest genannt – ist eine gezielte und kontrollierte Sicherheitsüberprüfung von IT-Systemen, Netzwerken oder Anwendungen. Dabei simulieren ethische Hacker reale Angriffe, um potenzielle Schwachstellen frühzeitig zu identifizieren und zu bewerten. Ziel ist es, Sicherheitslücken zu entdecken, bevor sie von Cyberkriminellen ausgenutzt werden. Penetrationstests sind somit ein zentraler Bestandteil jeder ganzheitlichen IT-Sicherheitsstrategie.
Ziel und Nutzen eines Penetrationstest-Angebots
Ein professionell erstelltes Angebot für einen Penetrationstest dient nicht nur der Preiskalkulation, sondern liefert dem Kunden transparente Informationen zu Inhalt, Ablauf und Zielen des Tests. Es beantwortet unter anderem folgende Fragen:
Was wird getestet? (z. B. Anwendungen, Netzwerke, APIs)
Wie wird getestet? (Testmethodik, Testarten, Standards)
Warum wird getestet? (Compliance, Sicherheitsüberprüfung, Angriffssimulation)
Unter welchen Bedingungen? (rechtliche Grundlagen, Haftung, Vertraulichkeit)
Was kostet der Test? (Tagessätze, Festpreise, Zusatzleistungen)
Ein klar formuliertes Angebot schafft Rechtssicherheit, Vertrauen und bildet die Grundlage für eine erfolgreiche Zusammenarbeit zwischen Anbieter und Auftraggeber.
Wichtige Inhalte eines Penetrationstest-Angebots
Ein gut strukturiertes Penetrationstest-Angebot sollte alle relevanten Informationen enthalten, um Missverständnisse und Unsicherheiten zu vermeiden. Die folgenden Bestandteile sind essenziell:
Einleitung und Zielsetzung
Beschreibung des Projekts und des Sicherheitskontextes
Definition der Testziele (z. B. Risikoanalyse, Auditvorbereitung, Angriffssimulation)
Ausgangslage, z. B. vor dem Go-Live einer neuen Anwendung
Testumfang (Scope)
Auflistung der zu prüfenden Systeme, IP-Ranges, Domains oder Schnittstellen
Eingrenzung des Umfangs (z. B. nur externe Webanwendungen)
Ausnahmen und Einschränkungen, z. B. Ausschluss produktiver Systeme
Vorgehensweise und Methodik
Beschreibung des Testtyps (Black-Box, Grey-Box, White-Box)
Einsatz von Tools und manuelle Prüfmethoden
Orientierung an anerkannten Standards (z. B. OWASP Top 10, OSSTMM, NIST)
Rechtliche und organisatorische Rahmenbedingungen
Nachweis der Zustimmung autorisierter Ansprechpartner
Benennung von Kontaktpersonen während der Testphase
Umgang mit kritischen Schwachstellen (z. B. Sofortmeldung)
Haftungsregelungen, Verantwortlichkeiten, NDA (Vertraulichkeitserklärung)
Reporting und Ergebnisdokumentation
Struktur und Tiefe des Abschlussberichts
Risikobewertung nach Schweregrad
Konkrete und umsetzbare Handlungsempfehlungen
Möglichkeit eines Re-Tests, um die Wirksamkeit von Maßnahmen zu prüfen
Zeitplan und Ablauf
Geplanter Projektstart, Dauer des Tests, Fristen für die Berichtserstellung
Berücksichtigung möglicher Verzögerungen oder Abstimmungen
Preisstruktur und Kostenübersicht
Detaillierte Aufschlüsselung nach Aufwand (Vorbereitung, Test, Auswertung)
Tagessätze oder Festpreise
Zusatzleistungen wie Workshops, Präsentationen oder Re-Tests
Kontakt- und Unternehmensdaten
Ansprechpartner auf beiden Seiten
Nachweis von Qualifikationen und Zertifizierungen (z. B. OSCP, CEH, ISO 27001)
Referenzen vergleichbarer Projekte
Worauf Kunden bei einem Pentest-Angebot achten sollten
Bei der Auswahl eines passenden Dienstleisters sollten Unternehmen auf folgende Kriterien besonders achten:
Klar definierter Scope: Nur ein präzise abgegrenzter Testumfang liefert belastbare Ergebnisse.
Transparente Methodik: Vorgehen und Standards müssen verständlich und nachvollziehbar sein.
Erfahrung und Zertifizierungen: Qualifizierte Pentester sind der Schlüssel für zuverlässige Ergebnisse.
Verständlicher Bericht: Ergebnisse müssen auch für Nicht-Techniker nachvollziehbar aufbereitet sein.
Rechtliche Absicherung: Ein sauberes rechtliches Fundament schützt beide Parteien.
Re-Test-Option: Nur durch einen Nachtest lässt sich die Effektivität ergriffener Maßnahmen validieren.
Fazit: Ein gutes Angebot ist der erste Schritt zu mehr IT-Sicherheit
Ein Penetrationstest-Angebot ist weit mehr als nur ein Kostenüberblick – es definiert die Qualität, den Ablauf und die Zielsetzung eines sicherheitskritischen Projekts. Für Anbieter ist es die Gelegenheit, Kompetenz und Seriosität unter Beweis zu stellen. Für Kunden ist es die Grundlage für eine fundierte Entscheidung, mit der sich die Sicherheit der IT-Infrastruktur gezielt und messbar verbessern lässt.
