Penetrationstest & Pentest — Schwachstellen finden, bevor Angreifer es tun

Inhalt in Kürze

• Ein Penetrationstest (Pentest) ist ein kontrollierter, manueller Angriff auf Ihre IT-Systeme durch ausgebildete Sicherheitsexperten — er deckt Schwachstellen auf, die kein automatisierter Vulnerability Scanner findet.
• Professionelle Penetrationstests folgen anerkannten Standards (BSI-Leitfaden, OWASP Top 10, NIST SP 800-115) und kombinieren automatisierte Tools mit manueller Analyse durch erfahrene Spezialisten (OSCP, CEH, GPEN).
• NIS2 (seit Oktober 2024) und ISO 27001 fordern regelmäßige Tests der Wirksamkeit von IT-Sicherheitsmaßnahmen — Pentests sind die anerkannte Methode dafür.
• frag.hugo koordiniert Penetrationstests bundesweit für Unternehmen jeder Größe — mit verständlichem Reporting, priorisierten Handlungsempfehlungen und Begleitung der Maßnahmenumsetzung.

Was ist ein Penetrationstest?

Ein Penetrationstest — kurz Pentest — ist ein kontrollierter Angriff auf Ihre IT-Systeme, durchgeführt von spezialisierten IT-Sicherheits-Experten. Das Ziel: Schwachstellen aufdecken, bevor echte Angreifer sie ausnutzen und auf sensible Daten zugreifen.

Tester versetzen sich in die Rolle eines Angreifers und analysieren Ihre Systeme systematisch. Sie nutzen dieselben Werkzeuge und Techniken wie ein Hacker — aber in kontrollierter, dokumentierter Form und mit Ihrem schriftlichen Einverständnis. Das Ergebnis: ein realistisches Bild Ihrer Sicherheitslage und konkrete Empfehlungen.

Für Unternehmen wird das Verfahren immer wichtiger — nicht nur wegen der steigenden Bedrohungslage, sondern auch wegen regulatorischer Anforderungen wie NIS2, ISO 27001, DORA und der zunehmenden Lieferantenanforderungen großer Konzerne.

Penetrationstest, Pentest oder Penetration Testing — Synonyme im Pentesting

Pentest, Penetrationstest und Penetration Testing bezeichnen dasselbe Verfahren — die Begriffe werden synonym verwendet. Penetrationstest ist die deutsche Bezeichnung, Penetration Testing der internationale Fachbegriff aus dem Englischen, Pentest die etablierte Kurzform aus dem Alltag der IT-Security-Branche. Auch Pentesting beschreibt denselben Prozess: die systematische, kontrollierte Prüfung von IT-Systemen auf Sicherheitslücken durch einen erfahrenen Tester.

Vulnerability Scan vs. manueller Test — der Unterschied

Ein verbreitetes Missverständnis: „Wir machen regelmäßig Vulnerability Scans — das reicht.” Das stimmt leider nicht.

Kriterium	Vulnerability Scan	Manueller Test
Methode	Automatisiert	Manuell + automatisiert
Tiefe	Bekannte CVEs	Auch unbekannte Lücken und Logikfehler
Angriffsketten	Nein	Ja — Lücken werden kombiniert
Geschäftslogik	Nein	Ja — branchenspezifische Risiken
Falsch-Positive	Hoch	Niedrig (manuell verifiziert)
Aufwand	Stunden	Tage bis Wochen
Aussagekraft	Bestandsaufnahme	Tatsächliche Angreifbarkeit

Ein Vulnerability Scan ist ein sinnvoller Baustein der IT-Sicherheit und sollte regelmäßig als Bestandteil eines IT-Sicherheitsaudits durchgeführt werden. Er ersetzt aber keine manuelle Sicherheitsprüfung, die die tatsächliche Angreifbarkeit Ihrer Systeme zeigt — und damit die Frage beantwortet: „Würde ein echter Angreifer reinkommen?”

Pentesting Services: Welche Arten von Penetrationstests gibt es?

Externer Pentest

Der externe Penetrationstest prüft alle aus dem Internet erreichbaren Systeme und Dienste:

• Webanwendungen und APIs
• E-Mail-Server (Exchange, Microsoft 365)
• VPN-Zugänge und Remote-Access-Lösungen
• Cloud-Infrastruktur (Azure, AWS, Google Cloud)
• DNS-Konfiguration und Subdomain-Sicherheit
• Öffentlich erreichbare Managementinterfaces

Der externe Test beantwortet die Frage: Kann ein Angreifer aus dem Internet in Ihre Systeme eindringen?

Interner Pentest

Der interne Penetrationstest simuliert einen Angreifer, der bereits Zugang zum internen Netzwerk hat — etwa durch einen kompromittierten Mitarbeiter-Account, einen erfolgreichen Phishing-Angriff oder physischen Zugang zum Büro.

Geprüft werden:

• Netzwerksegmentierung und Firewall-Regeln
• Active-Directory-Sicherheit (Kerberoasting, AS-REP-Roasting)
• Rechteerweiterung (Privilege Escalation)
• Zugriff auf kritische Systeme und sensible Daten
• Lateral Movement (Ausbreitung im Netzwerk)
• Ausleitung von Daten (Data Exfiltration)

Webapp-Pentest nach OWASP

Ein spezialisierter Pentest Ihrer Webanwendungen nach OWASP Top 10:

• SQL-Injection und andere Injection-Angriffe
• Cross-Site-Scripting (XSS)
• Authentifizierung und Session-Management
• Zugriffskontrollen und Berechtigungen
• Geschäftslogik-Schwachstellen
• API-Sicherheit (REST, GraphQL, SOAP)
• Server-Side Request Forgery (SSRF)
• Insecure Deserialization

Cloud Security: Penetrationstests in Azure, AWS und M365

Cloud-Tests erfordern besondere Expertise. Die Sicherheitsverantwortung teilt sich zwischen Cloud-Anbieter und Unternehmen (Shared Responsibility Model). Häufige Schwächen: falsch konfigurierte S3-Buckets, offene Datenbanken, zu weit gefasste IAM-Rollen, ungeschützte API-Endpoints. Wichtig: Voranmeldung bei AWS und Azure ist Pflicht, sonst verstößt der Test gegen die AGB.

Social Engineering simulieren und Awareness Training kombinieren

Neben technischen Verfahren ist Social Engineering ein zunehmend relevanter Testbereich. Tester versuchen, Mitarbeitende durch Phishing-E-Mails, Telefonanrufe oder persönliche Kontaktaufnahme zur Preisgabe von Zugangsdaten oder sensiblen Informationen zu bewegen — wir simulieren professionelle Angriffsszenarien dieser Art realistisch und ohne echten Schaden. Technische Prüfungen kombiniert mit einem Awareness Training für Mitarbeitende bilden die wirksamste Strategie.

Blackbox, Greybox oder Whitebox?

Die Pentest-Methodik bestimmt, wie viel Vorwissen der Tester über Ihre IT-Infrastruktur erhält:

• Blackbox: Der Penetration Tester hat keine Vorinformationen — simuliert einen externen Hacker, der nichts über das Ziel weiß. Realistisch, aber zeitintensiv.
• Greybox: Teilwissen (z. B. Benutzerkonten, Netzwerkpläne) — simuliert einen Angreifer mit Insiderwissen oder einen kompromittierten Mitarbeiter. Bestes Aufwand-Nutzen-Verhältnis.
• Whitebox: Vollständiger Zugang zu Quellcode, Konfigurationen und Dokumentation — tiefgehende Analyse, ideal für sicherheitskritische Anwendungen vor dem Go-Live.

Für die meisten Unternehmen empfehlen wir einen Greybox-Ansatz mit klar definiertem Scope. Er bietet das beste Verhältnis von Aufwand und Aussagekraft und deckt die realistischsten Bedrohungsszenarien ab.

Standards & Methodik: BSI, OWASP, NIST und PTES

Professionelle Penetrationstests folgen anerkannten Standards. Wir kombinieren die wichtigsten Frameworks:

• BSI-Praxis-Leitfaden für IS-Penetrationstests: Risikoklassifizierung und Vorgehensmodell des Bundesamts für Sicherheit in der Informationstechnik
• OWASP Testing Guide & Top 10: Gold-Standard für Webapplikations-Pentests
• NIST SP 800-115: Internationale Methodik für Sicherheitsprüfungen
• OSSTMM (Open Source Security Testing Methodology Manual): Wissenschaftliche Methodik
• PTES (Penetration Testing Execution Standard): Branchenstandard für die Durchführung

Diese Standards sichern Reproduzierbarkeit, Vollständigkeit und Vergleichbarkeit der Ergebnisse — und sind anerkannte Nachweise für NIS2, ISO 27001 und Cyber-Versicherer.

Was kostet ein Penetrationstest?

Ein seriöser Pentest-Anbieter gibt Ihnen vor Testbeginn einen festen Preis auf Basis des definierten Scopes. Orientierungswerte:

• Webanwendung (einzelne App): 4.500 – 8.000 Euro
• Externer Pentest (gesamte Angriffsfläche): 8.000 – 15.000 Euro
• Interner Pentest: 10.000 – 25.000 Euro
• Kombinierter Test (extern + intern): 15.000 – 35.000 Euro
• Cloud-Pentest (Azure / AWS / M365): 6.000 – 18.000 Euro
• Red-Teaming-Engagement: ab 30.000 Euro

Die Kosten stehen in keinem Verhältnis zu den potenziellen Schäden eines erfolgreichen Cyberangriffs: Betriebsausfall (durchschnittlich 23 Tage bei Ransomware), Datenverlust, Reputationsschaden, DSGVO-Bußgelder und mögliche persönliche Geschäftsführerhaftung.

Häufige Fragen aus der Praxis: Professionelle IT-Sicherheit und Schwachstellen-Behebung

Bevor wir zu den Detail-FAQs kommen: In der Praxis tauchen vor jedem Pentest dieselben Sorgen auf — „Beeinträchtigt das den Betrieb?”, „Bekommen wir wirklich alle sensible Schwachstellen erklärt?”, „Können wir Schwachstellen anschließend wirklich erkennen und beheben?”. Unsere Antwort: Ja, mit klarem Scope, technische Expertise vor Ort und einem Re-Test ist ein Penetrationstest gut planbar und liefert Schritt für Schritt nachvollziehbare Ergebnisse. Sensibel mit den Befunden umzugehen, ist Teil unserer Methodik — der Bericht bleibt vertraulich, die Kommunikation läuft über verschlüsselte Kanäle.

Branchen mit besonderem Bedarf

Sicherheitsprüfungen sind in fast jeder Branche sinnvoll, in einigen aber faktisch Pflicht:

• Banken & Finanzdienstleister: DORA, BAIT, MaRisk fordern regelmäßige Sicherheitsprüfungen
• Versicherungen: VAIT verlangt klare Konzepte und regelmäßige Tests
• KRITIS & Energieversorger: NIS2 und BSI-Kritisverordnung verpflichten zu Sicherheitstests
• Gesundheitswesen: KRITIS-Schwellen, MDR und Patientendatenschutz
• Öffentliche Verwaltung: BSI-Grundschutz mit Sicherheitsprüfungen als Pflichtbaustein
• IT-Dienstleister & SaaS: Lieferantenaudits durch Großkunden, ISO-27001-Anforderung
• E-Commerce: PCI DSS für Kreditkartenverarbeitung, sensible Kundendaten
• Industrie & Automotive: TISAX-Audit, NIS2-Lieferkette, OT-Sicherheit
• Anwaltskanzleien & Steuerberater: Berufsgeheimnis, sensible Mandantendaten

Für NIS2-Beratung und die Einordnung Ihres Unternehmens unterstützen wir Sie ebenfalls — und definieren auf dieser Basis das Prüfprogramm.

Anbieter für Pentests und maßgeschneiderte IT-Security Analysen

Als Anbieter für professionelle Penetrationstests und Sicherheitsanalysen liefern wir massgeschneiderte Lösungen für Ihre IT — vom ersten Scoping bis zum Re-Test. Tester mit Offensive Security Expertise (Offensive Security Certified Professional, CEH, GPEN) helfen Ihnen, mögliche Schwachstellen zu identifizieren, zu erkennen und zu beheben. Wir simulieren reale Angriffe auf Ihre Systeme, dokumentieren jede Sicherheitslücke nachvollziehbar und liefern priorisierte Handlungsempfehlungen für IT und Geschäftsführung — ohne sensible Informationen, sensible Daten und Systeme weiterzugeben.

Die Durchführung eines Penetrationstests planen wir gemeinsam: kontinuierlich begleitete Tests statt Einmal-Aktion, klare Eskalationswege und ein vertraulicher Bericht. Mandanten wie der IT-Dienstleister mioso – IT bestätigen, dass dieses Vorgehen Ergebnisse liefert, die im Audit halten. Häufig gestellte Fragen klären wir vorab im Workshop, sodass Sie kritische Lücken identifizieren und zu schließen können, bevor ein Angreifer sie ausnutzt.

Unser Hauptsitz liegt in Hamburg — von dort betreuen wir Unternehmen in Hamburg sowie bundesweit. Penetrationstests in Hamburg führen wir vor Ort durch, für Mandanten außerhalb der Region remote oder mit kurzem Anfahrtsweg. Ob Pentest Hamburg oder Pentests in Hamburg: Wir koordinieren das Projekt persönlich.

DIN SPEC 27076 und der Cyber-Risiko-Check für KMU

Die DIN SPEC 27076 ist der IT-Sicherheitscheck speziell für kleine und mittlere Unternehmen — entwickelt vom BSI und Bitkom. Sie empfiehlt regelmäßige technische Sicherheitsprüfungen als Bestandteil eines wirksamen IT-Sicherheits-Managements. Professionelle Penetrationstests sind die umfassendste Methode, um Schwachstellen in der IT-Infrastruktur systematisch zu identifizieren. In Kombination mit einem Vulnerability Scan und regelmäßigen Pentests durch zertifizierte Experten erhalten Unternehmen ein realistisches Bild ihrer Sicherheitslage und können gezielt Maßnahmen ableiten.

Pentest Anbieter auswählen: Worauf Sie achten sollten

Bei der Auswahl sollten Sie folgende Kriterien prüfen:

• Zertifizierte Experten: Achten Sie auf anerkannte Offensive-Security-Zertifizierungen wie OSCP, CEH, GPEN oder GWAPT
• Referenzen in Ihrer Branche: Wer Ihre Branche kennt, erkennt branchenspezifische Risiken
• Klare Methodik: Strukturierter Ansatz nach BSI, OWASP, NIST oder PTES — schriftlich dokumentiert
• Haftpflichtversicherung: Seriöse Anbieter sind gegen Schäden ausreichend versichert (mind. 5 Mio. €)
• Verständliches Reporting: Der Bericht muss für IT-Abteilung und Geschäftsführung gleichermaßen verständlich sein
• Re-Test inklusive: Nachtest nach Behebung der Lücken sollte zum Standardumfang gehören
• Datenschutz: AVV-Vertrag nach DSGVO, deutsche Server, deutscher Gerichtsstand

Pentest und NIS2: Was Geschäftsführer wissen müssen

NIS2 bringt seit Oktober 2024 weitreichende Pflichten für Unternehmen — auch für mittelständische Betriebe. Die EU-Richtlinie zur Netz- und Informationssicherheit betrifft nicht nur kritische Infrastrukturen, sondern auch deren Zulieferer und Dienstleister.

NIS2 fordert in Artikel 21 ausdrücklich „Strategien für die Risikoanalyse und Sicherheit der Informationssysteme” sowie „Maßnahmen zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen”. In der Praxis: regelmäßige Penetrationstests sind die anerkannte Methode dafür.

Hugo Shield hilft Ihnen, Ihre NIS2-Compliance zu bewerten und die notwendigen Sicherheitsmaßnahmen — einschließlich regelmäßiger Pentests — zu planen. Für eine ganzheitliche Strategie kombinieren wir Pentest mit externem CISO und BSI-Grundschutz-Beratung.

IT Security Services in der Lieferkette: Wenn Großkunden den Pentest fordern

Immer mehr Großkonzerne verlangen von ihren Lieferanten konkrete Sicherheitsnachweise — darunter aktuelle Pentest-Berichte. Hintergrund: NIS2 verpflichtet wesentliche Einrichtungen, die Sicherheit ihrer Lieferkette zu steuern. Wer als Zulieferer keinen aktuellen Pentest vorweisen kann, verliert Aufträge.

Unser Vorgehen: kompakter externer Pentest als „Eintrittskarte”, Report im Format des Großkunden, gezielte Behebung kritischer Funde und Re-Test innerhalb von 30 Tagen. So bleiben Sie lieferfähig und sichern Folgeaufträge.

Cyber-Versicherung: Pentest als Voraussetzung

Cyber-Versicherer verlangen zunehmend regelmäßige Pentests als Voraussetzung für den Versicherungsschutz oder als Bedingung für günstigere Prämien. Der Pentest-Report dient als Nachweis der „angemessenen Sicherheitsmaßnahmen” — eine Pflicht, die in den meisten Policen verankert ist. Im Schadensfall prüfen Versicherer genau, ob solche Nachweise vorliegen. Ohne aktuellen Pentest droht die Leistungsverweigerung.

Wie läuft ein Pentest bei frag.hugo? Ablauf vom Erstgespräch zum Report

1. Kostenfreies Erstgespräch (15 Minuten): Wir klären Ihre Anforderungen, Compliance-Vorgaben und das passende Pentest-Format
2. Scoping-Workshop: Welche Systeme werden getestet? Blackbox, Greybox oder Whitebox? Eskalationswege, Zeitfenster, rechtliche Rahmenbedingungen
3. Festpreis-Angebot: Klarer Festpreis nach Scoping — keine versteckten Kosten, kein Tagessatz-Risiko
4. Durchführung des Pentests: Reconnaissance, Schwachstellenanalyse, Exploitation — durch zertifizierte Pentest-Experten (OSCP, CEH)
5. Reporting: Detaillierter Pentest-Bericht mit Executive Summary, technischer Analyse und priorisierten Empfehlungen
6. Ergebnisbesprechung: Wir präsentieren die Ergebnisse Ihrer IT und Geschäftsführung — verständlich, ohne Fachjargon
7. Begleitung der Behebung: Auf Wunsch unterstützen wir bei der Umsetzung der Empfehlungen
8. Re-Test: Nachtest zur Verifizierung, dass alle kritischen Schwachstellen geschlossen sind

Warum frag.hugo?

frag.hugo ist Ihr Partner für professionelle Penetrationstests bundesweit. Wir vermitteln zertifizierte Pentest-Experten mit Offensive-Security-Hintergrund (OSCP, CEH, GPEN) und über 25 Jahren IT-Sicherheits-Erfahrung im Mittelstand.

Unsere Stärken:

• Bundesweite Durchführung von Penetrationstests, persönliche Ansprechpartner aus Hamburg
• Kombinierte Expertise: Datenschutz (TÜV-zertifiziert) und IT-Security aus einer Hand
• Verständliche Reports — für IT und Geschäftsführung gleichermaßen
• Festpreise nach Scoping, keine versteckten Kosten
• Re-Test inklusive bis Mängelbehebung verifiziert ist
• Begleitung der NIS2- und ISO-27001-Vorbereitung als Komplettpaket

Nächste Schritte

Lassen Sie Ihre IT-Sicherheit professionell prüfen, bevor ein Angreifer es tut. Ein Pentest mit klarem Scope deckt Sicherheitslücken auf, die automatisierte Scans nicht erkennen — und schützt Ihr Unternehmen vor Cyberangriffen, dem Verlust sensibler Daten und Reputationsschäden.

Buchen Sie ein kostenloses Erstgespräch — wir besprechen Ihre Anforderungen, klären den passenden Pentest-Umfang und erstellen ein Festpreis-Angebot. Ergänzend empfehlen wir den kostenlosen Hugo Check, der Ihre Website automatisiert auf DSGVO-Verstöße prüft — ein erster Schritt zur Identifikation Ihrer öffentlich erreichbaren Angriffsfläche.

Für eine umfassende IT-Security-Strategie beraten wir Sie in unserer IT-Sicherheitsberatung und unterstützen Sie als externer CISO bei der strategischen Steuerung Ihrer Informationssicherheit. Standortgebundene Pentests bieten wir in Hamburg, Bremen, Hannover, Kiel und weiteren Städten Norddeutschlands an.