Was ist ein Penetrationstest? Ein Leitfaden für Einsteiger (2026)

Ein Penetrationstest – oder „Pentest“ – ist ein autorisierter, simulierter Cyberangriff auf ein System, um Sicherheitsschwächen zu finden, bevor es ein echter Angreifer tut. Ein Tester nimmt die Denkweise eines Gegners ein, arbeitet aber mit Erlaubnis und in einem klar definierten Scope und meldet anschließend alles, was er findet, damit es behoben werden kann.

Stellen Sie es sich so vor, als würden Sie jemanden beauftragen, jede Tür und jedes Fenster eines Gebäudes auszuprobieren, das Ihnen gehört, und Ihnen danach eine Liste dessen zu geben, was unverschlossen war.

Warum das wichtig ist

Automatisierte Scanner sind hervorragend darin, bekannte Probleme zu finden, aber sie können weder über Geschäftslogik schlussfolgern noch kleine Schwächen zu einem ernsten Einbruch verketten oder Ihnen sagen, welcher Fund tatsächlich zählt. Ein erfahrener Pentester (und zunehmend auch ein KI-gestützter) leistet genau das – er verwandelt einen Haufen „Vielleichts“ in eine kurze Liste von „So würde ein echter Angreifer vorgehen“.

Die fünf Phasen

Die meisten Prüfungen folgen demselben Lebenszyklus:

1. Aufklärung – Sammeln von Informationen über das Ziel (Domains, Dienste, Technologien, Personen). Passive Aufklärung nutzt öffentliche Quellen; aktive Aufklärung berührt das Ziel direkt.
2. Scanning – Kartierung aktiver Hosts, offener Ports und Dienste. Werkzeuge wie Nmap sind hier die Arbeitspferde.
3. Zugriff erlangen – Prüfen, ob identifizierte Schwächen tatsächlich ausnutzbar sind, immer innerhalb des Scopes.
4. Zugriff aufrechterhalten – Prüfen, ob ein Standbein bestehen bleiben könnte (relevant für die Simulation fortgeschrittener Bedrohungen).
5. Berichterstattung – die wichtigste Phase: Dokumentation von Funden, Beweisen, Auswirkung und klaren Behebungsschritten.

Penetrationstest vs. Schwachstellenscan

Diese beiden werden ständig verwechselt:

	Schwachstellenscan	Penetrationstest
Methode	Automatisiert	Von Mensch/KI geführt, manuelle Tiefe
Ergebnis	Liste potenzieller Probleme	Bewiesene, priorisierte Funde
Fehlalarme	Häufig	Vor der Meldung verifiziert
Häufigkeit	Kontinuierlich	Periodisch / bei Änderung

Ein Scan sagt Ihnen, dass eine Tür möglicherweise unverschlossen ist. Ein Pentest öffnet sie und zeigt Ihnen, was dahinter liegt.

Häufige Arten von Pentests

• Black Box – der Tester weiß vorab nichts (simuliert einen externen Angreifer).
• White Box – volles Wissen und Zugriff auf den Quellcode (tiefste Abdeckung).
• Grey Box – teilweises Wissen (ein realistisches Szenario eines „kompromittierten Nutzers“).

Prüfungen werden außerdem nach Angriffsfläche abgegrenzt: Webanwendung, Netzwerk/Infrastruktur, WLAN, Cloud, Mobile und Social Engineering.

Wie Sie mit dem Lernen beginnen

Sie brauchen kein Labor voller Server. Beginnen Sie mit den Grundlagen – Netzwerke, Linux und die Funktionsweise von Web-Apps – und üben Sie dann an legalen, absichtlich verwundbaren Zielen, die zum Lernen gedacht sind. Testen Sie niemals Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Erlaubnis haben.

Wenn Sie einen strukturierten Weg möchten, führt Sie unsere kostenlose Pentevo Academy von null durch dieselben Konzepte, die auch in der CEH-Prüfung behandelt werden – mit kurzen Videos und Quizfragen.

Die goldene Regel: immer zuerst die Autorisierung. Ein Penetrationstest ohne schriftliche Genehmigung ist kein Ethical Hacking – er ist eine Straftat.